搜索

[13846] 2019-03-09_代码审计之EmpireCMSv7.5个人空间伪造任意用户留言

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-18
2019-03-09_代码审计之EmpireCMSv7.5个人空间伪造任意用户留言 代 码 审 计 之 E m p i r e   C M S   v 7 . 5 个 人 空 间 伪 造 任 意 用 户 留 言 q 6 0 1 3 3 3 8 2 4   F r e e B u f   2 0 1 9 - 0 3 - 0 9 概 述 概 述 帝 国 帝 国 C M S 简 称 简 称 E m p i r e   C M S ， 当 前 的 最 新 版 本 为 ， 当 前 的 最 新 版 本 为 7 . 5 ， 个 人 空 间 可 以 匿 名 留 言 和 登 录 留 言 ， 由 于 权 限 控 制 不 当 ， ， 个 人 空 间 可 以 匿 名 留 言 和 登 录 留 言 ， 由 于 权 限 控 制 不 当 ， 可 以 伪 造 任 意 用 户 登 录 留 言 ， 自 己 无 聊 挖 着 玩 的 东 西 ， 喜 欢 的 可 以 自 己 复 现 玩 玩 。 可 以 伪 造 任 意 用 户 登 录 留 言 ， 自 己 无 聊 挖 着 玩 的 东 西 ， 喜 欢 的 可 以 自 己 复 现 玩 玩 。 相 关 环 境 相 关 环 境 漏 洞 分 析 漏 洞 分 析 1 .   查 看 代 码 文 件 , 插 入 留 言 的 时 候 , 从 g e t c v a r ( ‘ m l u s e r i d ’ ) 获 取 u i d , 然 后 当 $ u i d 存 在 时 候 再 从 g e t c v a r ( ‘ m l u s e r n a m e ’ ) 获 取 用 户 名 , 最 后 再 进 行 插 入 留 言 , 如 果 u i d 不 存 在 的 话 , 就 设 置 u i d = 0 , 就 是 匿 名 留 言 了 。 2 .   最 后 再 查 看 g e t c v a r 函 数 的 定 义 , 参 数 的 来 源 是 从 $ _ C O O K I E 里 面 取 出 来 了 ， 前 缀 + $ _ C O O K I E 的 值 。 源 码 信 息 ： E m p i r e C M S _ 7 . 5 _ S C _ U T F 8         漏 洞 类 型 ： 越 权         下 载 地 址 ： h t t p : / / w w w . p h o m e . n e t / d o w n l o a d /         漏 洞 文 件 ： / e / m e m b e r / m s p a c e / g b o o k f u n . p h p
3 .   看 到 这 里 有 的 人 就 可 以 想 到 利 用 方 法 了 , 这 个 时 候 只 要 构 造 m l u s e r i d 和 m l u s e r n a m e 参 数 就 可 以 伪 造 任 意 用 户 登 录 留 言 了 。 利 用 方 法 利 用 方 法 1 .   先 获 取 $ _ C O O K I E 参 数 需 要 的 前 缀 ， 打 开 浏 览 器 就 可 以 知 道 $ _ C O O K I E 的 前 缀 是 啥 玩 意 了 , 我 本 地 的 $ _ C O O K I E 的 前 缀 是 u g b v e 。 2 .   然 后 在 控 制 台 运 行 d o c u m e n t . c o o k i e = ’ u g b v e m l u s e r i d = 1 ; p a t h = / ‘ 和 d o c u m e n t . c o o k i e = ’ u g b v e m l u s e r n a m e = a d m i n ; p a t h = / ‘ , 指 定 C O O K I E 为 根 目 录 , 因 为 留 言 页 面 和 提 交 接 口 不 在 同 一 个 目 录 , 如 果 不 设 置 根 目 录 , 接 口 获 取 不 到 C O O K I E 的 ( 不 用 这 个 方 法 也 可 以 自 己 抓 包 修 改 C O O K I E 就 行 , 我 懒 得 打 开 b u r p s u i t e , 所 以 直 接 在 控 制 台 运 行 了 ) 。
6 .   这 个 时 候 在 别 人 空 间 留 言 , 都 会 以 登 录 状 态 的 a d m i n , 进 行 留 言 了 , 测 试 效 果 , 刚 才 的 留 言 是 以 a d m i n 的 身 份 进 行 的 留 言 , 并 且 可 以 点 击 查 看 对 方 的 空 间 。 最 后 总 结 最 后 总 结 1 .   其 实 就 是 判 断 是 不 是 匿 名 留 言 的 时 候 , 没 有 判 断 用 户 是 否 是 真 的 登 录 状 态 而 进 行 留 言 。 2 .   漏 洞 挖 挖 总 还 是 有 的 。 修 复 建 议 修 复 建 议 1 .   从 _ C O O K I E 取 出 用 户 u i d 的 时 候 , 这 个 位 置 少 了 判 断 用 户 是 否 在 登 录 状 态 下 留 言 , 想 修 复 的 同 志 , 可 以 在 这 个 位 置 加 上 登 录 判 断 。
* 本 文 作 者 ： q 6 0 1 3 3 3 8 2 4 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理