中国网络渗透测试联盟

标题: SDCMS后台绕过直接进入漏洞 [打印本页]

---

作者: admin    时间: 2013-7-26 12:42
标题: SDCMS后台绕过直接进入漏洞
要描述：

! \! e# t) {8 t/ ^1 ^7 X8 R% ?SDCMS后台绕过直接进入：测试版本2.0 beta2 其他版本未测试
2 ^8 t: c" }7 u详细说明：
6 g4 [# A% b$ T/ X! M  k: i3 tIslogin //判断登录的方法
$ I* p* b( K( f" c6 ]
& d8 n% ?& W8 A, E  S5 Ssub islogin()
+ x- T) B3 S% P. {
7 L  n5 f' R! ~! v! Kif sdcms.strlen(adminid)=0 or sdcms.strlen(adminname)=0 then
% K. o" w( A, X1 D
! D5 {  R7 O" d: S0 W+ F6 ldim t0,t1,t2

) \8 d9 n- ^% Z; n$ et0=sdcms.getint(sdcms.loadcookie("adminid"),0) loadcookie
8 N$ V# Q! r$ M; a
+ N& b' s* [$ j0 Xt1=sdcms.loadcookie("islogin")
" m; H  a9 `2 z1 R
t2=sdcms.loadcookie("loginkey")

if sdcms.strlen(t0)=0 or sdcms.strlen(t1)=0 or sdcms.strlen(t2)<>50 then //这里判断很坑爹 sdcms.strlen(t2)<>50 loginkey 没有任何要求 只需要输入50个即可往下执行
! G) \8 L! E$ s+ X/ X) x6 W
//
& ]' ^- d. d6 b) Q
sdcms.go "login.asp?act=out"

. a0 T! B, i. g9 oexit sub
4 d  [7 ?' l( a# t% o8 }
  C" @! K3 k5 E! j  h3 K1 e# k- }! e; P2 L) Jelse
0 b) [1 W  L' O$ I
. l2 B, [; I' u1 O! U, z0 G, g- udim data

data=sdcms.db.dbload(1,"adminid,adminname,adminpass,islock,groupid,g.pagelever,g.catearray,g.catelever","sd_admin u left join sd_admin_group g on u.groupid=g.id","adminid="&t0&"","") //根据管理员ID查询 ID可控

if ubound(data)<0 then

5 x" F% `$ q- B# Tsdcms.go "login.asp?act=out"

exit sub

else
$ r9 j  Y* h" O/ r& s
1 j% y2 y2 X0 s7 T; fif instr(data(1,0)&data(2,0),sdcms.decrypt(t1,t2))<0 or data(3,0)=0 then

- j: u6 N+ J$ J' a- @7 ysdcms.go "login.asp?act=out"
7 k/ R) j5 k; y' E5 D8 r, O9 \
; E6 ~$ L# S% o5 \' @  p7 @, S2 }) xexit sub
- A2 U$ B  Q+ u5 o% `( m. I
else

adminid=data(0,0)
# ^+ G5 ^3 E! _9 d
$ g' h- N/ i. T/ Zadminname=data(1,0)
  F! O  a4 M+ h# K
admin_page_lever=data(5,0)

8 }4 R2 i" ^. Q8 Q! n, A+ qadmin_cate_array=data(6,0)

+ R  A' \- E! o9 |admin_cate_lever=data(7,0)
# j# N$ |* p: a* L; ]/ y  }8 I6 L
) [, Y( P6 n; V% r! \& {if sdcms.strlen(admin_page_lever)=0 then admin_page_lever=0
1 D4 I$ p" q8 y  b% q
if sdcms.strlen(admin_cate_array)=0 then admin_cate_array=0
  l" G8 F' W' s  a
if sdcms.strlen(admin_cate_lever)=0 then admin_cate_lever=0

if clng(admingroupid)<>0 then

admin_lever_where=" and menuid in("&admin_page_lever&")"
. N2 F2 p& n7 B- x  Y( \' y' ?4 {/ x
end if
/ s2 [1 X) o" ]. l* K/ {- p" v
+ W' O# `. a0 Msdcms.setsession "adminid",adminid
- U; I# j# \* |
sdcms.setsession "adminname",adminname

sdcms.setsession "admingroupid",data(4,0)

end if

, v: D8 y1 d' E0 pend if
' q2 t. {, M4 J. S
4 m0 P; B" A9 G3 B( o- xend if
& y6 C5 A+ d3 G4 H/ X" \
  w9 u' f( o. w9 Melse

data=sdcms.db.dbload(1,"g.pagelever,g.catearray,g.catelever","sd_admin u left join sd_admin_group g on u.groupid=g.id","adminid="&adminid&"","")
$ ~/ Z9 U, T/ i* e4 r
/ c9 x) m, d5 i3 d2 ?; i" o$ k' yif ubound(data)<0 then

sdcms.go "login.asp?act=out"
/ |. b9 u7 @" O, X
exit sub
  b8 u. v) |' Z4 }7 Z
2 b) i2 _& ~( P( {else

admin_page_lever=data(0,0)
4 T6 [2 f% m+ t$ X
$ w0 {  U# F) r. Cadmin_cate_array=data(1,0)

admin_cate_lever=data(2,0)
' ]: h8 e# s0 N/ b
if sdcms.strlen(admin_page_lever)=0 then admin_page_lever=0
6 f+ T7 W. z( V0 J( X
if sdcms.strlen(admin_cate_array)=0 then admin_cate_array=0
$ a5 W/ I9 \" Z9 ~! p  w
0 {/ R2 Z  R5 [: Y+ b+ ^if sdcms.strlen(admin_cate_lever)=0 then admin_cate_lever=0
" u# Q3 B% R7 p8 Z( f% b
7 V3 D1 U* e* Q/ U& a7 Z  Y9 `if clng(admingroupid)<>0 then

  w" C: [* u3 }+ {' @admin_lever_where=" and menuid in("&admin_page_lever&")"

end if

end if

end if
( X2 d2 `5 r8 f( W
$ q* L4 m8 P6 E1 l7 }* y0 }end sub
漏洞证明：
看看操作COOKIE的函数

9 `- R: W! P3 p3 ?' D0 {public function loadcookie(t0)
, e7 R0 a; y9 k1 F% w) I
! g! {+ _, N( B$ ]8 |+ uloadcookie=request.cookies(prefix&t0)
1 w8 W, _3 p- T3 O' D! ?* l1 B
end function
0 L) V3 O* `; J/ p
1 e) x& n: c6 U$ |' }public sub setcookie(byval t0,byval t1)

response.cookies(prefix&t0)=t1
" `1 M% A8 k$ Y# b
end sub

prefix

' L. C  h8 z. I( L9 d'变量前缀，如一个空间下多次使用本程序的话，请每个程序配置不同的值

$ L: q8 o. m4 R  ?dim prefix
1 |$ I9 Y3 L* f2 I1 G
9 e# X6 w7 l; O$ z% J7 Mprefix="1Jb8Ob"
  N: _' I# E" C2 V
'这个值访问一下admin/login.asp?act=out 便可得到 在COOKIE里
0 d- F2 d* J% E7 _% E3 }7 n  p* H
sub out

sdcms.setsession "adminid",""

! D8 m' a+ }$ T7 E3 k8 E9 ysdcms.setsession "adminname",""

+ @! E' p) v- V8 ?/ q9 y  wsdcms.setsession "admingroupid",""

( P8 P) N* v# t+ m& y( Esdcms.setcookie "adminid",""

& V1 }# k' l  Psdcms.setcookie "loginkey",""

sdcms.setcookie "islogin",""

# c2 O2 ?$ L+ f* |+ ksdcms.go "login.asp"
0 P1 p5 q% d2 z+ c$ L3 k
end sub
; ^5 u- j, L0 V( l. u

利用方法：设置cookie prefixloginkey 50个字符 prefixislogin 随意 循环下prefixadminid 即可 默认1 然后访问后台，就可以了！
修复方案：
; r9 c9 ~- l, i( O+ o8 b! @修改函数！
. [- Y' c' {2 b) H/ }# G

---

欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/)

Powered by Discuz! X3.2