搜索

[14502] 2019-08-23_seacms9.92全局变量覆盖从越权到RCE

文档创建者：s7ckTeam
浏览次数：20
最后更新：2025-01-18
2019-08-23_seacms9.92全局变量覆盖从越权到RCE s e a c m s   9 . 9 2 全 局 变 量 覆 盖 从 越 权 到 R C E 路 上 路 人 路 过   F r e e B u f   2 0 1 9 - 0 8 - 2 3 前 言 前 言 海 洋 海 洋 c m s 是 为 解 决 站 长 核 心 需 求 而 设 计 的 内 容 管 理 系 统 ， 一 套 程 序 自 适 应 电 脑 、 手 机 、 平 板 、 是 为 解 决 站 长 核 心 需 求 而 设 计 的 内 容 管 理 系 统 ， 一 套 程 序 自 适 应 电 脑 、 手 机 、 平 板 、 A P P 多 个 终 端 入 多 个 终 端 入 口 ， 无 任 何 加 密 代 码 、 安 全 有 保 障 ， 是 最 佳 的 建 站 工 具 。 口 ， 无 任 何 加 密 代 码 、 安 全 有 保 障 ， 是 最 佳 的 建 站 工 具 。 前 段 时 间 看 到 朋 友 圈 不 止 一 个 朋 友 提 到 了 s e a c m s 前 台 无 条 件 r c e ， 想 起 自 己 最 开 始 学 习 代 码 审 计 时 ， 也 审 计 过 这 个 系 统 ， 毛 都 没 发 现 一 个 ， 现 在 一 年 过 去 了 ， 想 看 看 自 己 有 没 有 进 步 ， 于 是 又 做 一 次 审 计 ， 结 果 分 析 过 程 中 找 到 一 处 变 量 覆 盖 漏 洞 。 由 于 几 乎 是 全 局 的 ， 正 常 情 况 是 有 很 多 方 法 扩 大 影 响 的 ， 想 进 行 前 台 r c e ， 但 是 由 于 系 统 过 滤 实 在 变 态 ， 无 奈 之 下 退 而 求 其 次 ， 只 好 曲 线 救 国 了 。 另 外 本 篇 文 章 已 经 在 c n v d 上 提 交 ， 且 海 洋 c m s 也 已 发 布 了 新 的 版 本 修 复 漏 洞 了 ， 本 篇 文 章 仅 用 于 技 术 交 流 ， 请 勿 恶 意 利 用 。 正 文 正 文 s e a c m s 存 在 全 局 的 变 量 覆 盖 漏 洞 ， 最 终 导 致 越 权 进 入 后 台 R C E 。 这 里 以 最 新 版 本 v 9 . 9 2 为 例 进 行 演 示 ( 当 时 是 最 新 的 版 本 ， 这 两 天 连 续 更 了 三 个 版 本 到 v 9 . 9 5 了 ) 。 c o m m o n . p h p 文 件 是 整 个 系 统 的 核 心 文 件 ， 几 乎 所 有 的 页 面 都 会 包 含 它 ， 首 先 在 2 2 行 处 为 了 防 止 变 量 覆 盖 ， 对 请 求 中 的 参 数 做 了 校 验 。 但 是 这 里 忘 记 了 校 验 ” F I L E S ” , 而 1 1 5 行 处 又 有 动 态 赋 值 ， 导 致 这 里 我 们 可 以 注 册 $ F I L E S 变 量 之 后 在 2 0 0 行 处 判 断 是 否 有 $ _ F I L E S 变 量 ， 如 果 有 的 话 就 包 含 u p l o a d s a f e . i n c . p h p
跟 进 u p l o a d s a f e . i n c . p h p 可 以 看 到 3 4 行 这 里 又 一 个 变 量 覆 盖 ， 且 这 里 没 有 对 $ k e y 的 值 做 限 制 ， 这 样 我 们 就 可 以 覆 盖 任 意 值 了 ， 不 管 是 s e s s i o n 还 是 c f g 。 但 是 值 得 注 意 的 是 由 于 2 1 行 有 判 断 ， 所 以 如 果 我 们 需 要 覆 盖 $ S E S S I O N [ ‘ s e a a d m i n i d ’ ] , 需 要 在 请 求 中 同 时 添 加 对 应 的 其 他 三 个 参 数 ， 如 下 图 所 示 ， 请 求 中 提 交 如 下 五 个 参 数 可 以 覆 盖 s e s s i o n 中 的 s e a a d m i n i d 、 s e a g r o u p i d 、 以 及 s e a _ c k s t r （ 登 陆 需 要 使 用 到 的 验 证 码 ） 。 现 在 进 行 复 现 漏 洞 ， 在 前 台 注 册 一 个 普 通 用 户 t e s t : 1 2 3 4 5 6 ， 系 统 默 认 是 开 启 会 员 功 能 的 ， 就 算 没 开 启 ， 也 完 全 可 以 通 过 覆 盖 $ c f g _ u s e r 来 绕 过 ， 代 码 如 下
这 里 我 就 不 演 示 了 用 户 注 册 了 ， 注 册 成 功 后 ， 前 台 登 陆 抓 包 ， 构 造 如 下 图 所 示 请 求 登 陆 成 功 后 ， 访 问 后 台 地 址 将 会 直 接 进 入 后 台 且 是 管 理 员 权 限
后 台 后 台 R C E 后 台 r c e 就 比 较 简 单 了 ， 可 能 是 运 气 好 ， 进 后 台 肯 定 是 想 g e t s h e l l 嘛 ， 于 是 先 看 了 写 配 置 的 功 能 … . . a d m i n c o n f i g m a r k . p h p 文 件 是 处 理 图 片 水 印 设 置 的 ， 1 9 ~ 2 3 行 中 循 环 接 收 了 请 求 中 的 “ p h o t o _ * ” 进 行 动 态 注 册 变 量 ， 然 后 拼 凑 成 字 符 串 $ c o n f i g s t r 最 后 在 5 6 行 处 写 入 配 置 文 件 中 ， 然 后 包 含 。 复 现
保 存 后 ， 再 次 访 问 然 后 如 何 得 知 后 台 地 址 是 一 个 问 题 ， 大 问 题 ！ 博 客 ：
h t t p s : / / w w w . c n b l o g s . c o m / j i n q i 5 2 0 / 断 剑 重 铸 之 日 ， 骑 士 归 来 之 时 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： 路 上 路 人 路 过 ， 本 文 属 于 路 上 路 人 路 过 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理