SDCMS后台绕过直接进入漏洞

admin

要描述：

) B, j1 }. t7 f/ h4 q" R/ oSDCMS后台绕过直接进入：测试版本2.0 beta2 其他版本未测试
详细说明：
Islogin //判断登录的方法

+ V: W. ^% T9 P" g! Y" fsub islogin()
9 ?# j) j9 m3 d3 @% C
if sdcms.strlen(adminid)=0 or sdcms.strlen(adminname)=0 then
2 v2 c: T, ?+ q1 B/ c
/ S; T0 p4 c$ S: Qdim t0,t1,t2
5 R3 K) x3 L# S& \) e  v/ p/ {
$ v1 H; B6 e) R- p) Y1 O: W9 xt0=sdcms.getint(sdcms.loadcookie("adminid"),0) loadcookie
9 O  V- P( o" L
0 m* i' D) q- g" C$ b3 f$ Z0 A& dt1=sdcms.loadcookie("islogin")

" X0 k7 w# e5 ^& R7 yt2=sdcms.loadcookie("loginkey")

if sdcms.strlen(t0)=0 or sdcms.strlen(t1)=0 or sdcms.strlen(t2)<>50 then //这里判断很坑爹 sdcms.strlen(t2)<>50 loginkey 没有任何要求 只需要输入50个即可往下执行
- \9 b5 w+ J2 J3 b) V  s7 U  T1 D
+ H- K9 Q* Q3 Q( }1 n" U//

sdcms.go "login.asp?act=out"
; r( ^7 b2 Y" I" T1 E% j! l
+ p" }( y* {: ]2 P: _: f9 `; lexit sub
6 E9 v0 i, `2 n, X. D6 _/ W0 z- o
else
5 g4 ^- x) ^: ?! F( k2 U/ V
  e, T2 [4 C6 adim data

' @1 I5 a. \; [" s% Mdata=sdcms.db.dbload(1,"adminid,adminname,adminpass,islock,groupid,g.pagelever,g.catearray,g.catelever","sd_admin u left join sd_admin_group g on u.groupid=g.id","adminid="&t0&"","") //根据管理员ID查询 ID可控
8 A7 N* p# q" z- f8 M
if ubound(data)<0 then
3 q5 D9 E1 o6 {1 `6 i. g% Q
, A( r7 ^& E& @sdcms.go "login.asp?act=out"

# R- {6 j/ r: v& A9 ?$ m4 {exit sub

else
2 X: p1 M1 e0 p- i2 A: H
4 d, w' [! c; E% L0 c/ a8 fif instr(data(1,0)&data(2,0),sdcms.decrypt(t1,t2))<0 or data(3,0)=0 then
  U8 G  K7 L. u" @( U9 [
sdcms.go "login.asp?act=out"

) I5 E8 `2 \- I4 x! V: F* D& p* texit sub
% i: S: J; X) Q( a  J9 b; W
else
0 r% N* j9 [1 W, t! z
adminid=data(0,0)
* W$ g. [0 W' r' ~/ }- [& ?" V
9 k3 G, Y; n# Iadminname=data(1,0)

4 G: D1 }% L  I3 |- [admin_page_lever=data(5,0)
* [9 n" M' |' s, @
- Y7 a/ b8 ~$ e7 q! Badmin_cate_array=data(6,0)
4 \) g0 N9 D3 k/ r: x. ~
admin_cate_lever=data(7,0)
* b6 D2 V! S+ |5 {+ Q' p
* G4 i( @) d8 B1 y5 d4 n$ xif sdcms.strlen(admin_page_lever)=0 then admin_page_lever=0
) k/ ~  [1 D. c
5 K. p9 t2 f8 x8 e% }0 B' sif sdcms.strlen(admin_cate_array)=0 then admin_cate_array=0
4 W. Q1 z' p: |; }
if sdcms.strlen(admin_cate_lever)=0 then admin_cate_lever=0

if clng(admingroupid)<>0 then

: e  e( D' o% j& E7 I% Zadmin_lever_where=" and menuid in("&admin_page_lever&")"
. S% b* h4 \' ?
; R% G9 s" J8 `1 ^+ ^- |end if
. H3 S; u8 N5 s$ ^# ]
- S$ u: [) k# u5 e* wsdcms.setsession "adminid",adminid

sdcms.setsession "adminname",adminname

% t( g6 b+ b# F  k) B: B  Nsdcms.setsession "admingroupid",data(4,0)

end if

, S. Z* A6 \( P0 Hend if

end if

4 @" y; Z$ K3 z1 G+ |# belse
% t2 {% N6 Y# q6 V
9 {4 S3 Q9 u; f8 ^, t4 q5 ?5 Ldata=sdcms.db.dbload(1,"g.pagelever,g.catearray,g.catelever","sd_admin u left join sd_admin_group g on u.groupid=g.id","adminid="&adminid&"","")

: Z$ q! h+ q* q+ [/ k" Tif ubound(data)<0 then

) S. u1 Q  q1 n4 X2 S7 [sdcms.go "login.asp?act=out"
- S% u& N( h& n  H7 ^$ a; V% Z9 m* r
exit sub

, J, Z  W7 c* q  s3 l5 P- s1 selse
; Y$ }& K7 Y! t  h: b: f
admin_page_lever=data(0,0)

admin_cate_array=data(1,0)

5 C0 V$ d1 ^2 K: iadmin_cate_lever=data(2,0)
4 q, `2 @' P0 X+ T1 C3 c
if sdcms.strlen(admin_page_lever)=0 then admin_page_lever=0

if sdcms.strlen(admin_cate_array)=0 then admin_cate_array=0

9 o, H, d% {( a3 f9 R" Zif sdcms.strlen(admin_cate_lever)=0 then admin_cate_lever=0

if clng(admingroupid)<>0 then

, k, Q& l- {# o7 hadmin_lever_where=" and menuid in("&admin_page_lever&")"
5 J5 n0 z  g9 I! v; k& ?! c$ p9 C& O
end if
0 ]  v# x& _4 ^$ b) H& r8 g
end if
" S- K+ @  w4 g! l
end if
3 k% ]% y' Y+ V9 D
* A) ]. A: J1 W: L1 y( Hend sub
1 G/ S, m! l* U0 I$ y  g, [  j' \漏洞证明：
; v; n! [1 p5 L( h% M8 ]看看操作COOKIE的函数

public function loadcookie(t0)

loadcookie=request.cookies(prefix&t0)

end function

public sub setcookie(byval t0,byval t1)

response.cookies(prefix&t0)=t1

end sub
! O/ k" }8 x& u4 p
prefix
  u& G* f8 _) {, P4 Q4 n5 J3 _* G4 T  a
; V4 c1 h1 X- g# S) D7 @'变量前缀，如一个空间下多次使用本程序的话，请每个程序配置不同的值
/ c# w6 ^: I% M
3 P7 O' D" G; o' c5 ]# ydim prefix
+ v' X) \  E! V2 N. r
) F1 m$ N3 ?' C; cprefix="1Jb8Ob"

'这个值访问一下admin/login.asp?act=out 便可得到 在COOKIE里

sub out

9 W& C2 e; @- t' p( ssdcms.setsession "adminid",""
5 C+ u2 S0 S$ D
sdcms.setsession "adminname",""
* ^% t, C' ?* X3 n  {
sdcms.setsession "admingroupid",""

/ M6 E( n7 f; h6 r$ w  isdcms.setcookie "adminid",""

* w3 W7 n% C  R. ], |$ f2 r, s2 T7 s( Esdcms.setcookie "loginkey",""

+ x* f& U) K% V9 ?sdcms.setcookie "islogin",""

4 U8 P+ y5 b7 F1 E0 [6 S7 S; V3 ksdcms.go "login.asp"

6 O* x: g, i: J3 Fend sub
% h. F- _! g0 H2 l. l$ [' u. g

3 {. g5 N' U! s! h/ M4 H利用方法：设置cookie prefixloginkey 50个字符 prefixislogin 随意 循环下prefixadminid 即可 默认1 然后访问后台，就可以了！
+ U* A. ]! Z% M) W8 h修复方案：
修改函数！
6 |- t  a. @  S5 u8 c