SDCMS后台绕过直接进入漏洞

admin

要描述：
( T( q! A2 s4 q! W8 Q  q
# c3 v; U# p5 w% v: R5 v1 B1 _SDCMS后台绕过直接进入：测试版本2.0 beta2 其他版本未测试
' E; z6 N1 i* u1 d* U( P. n9 Q详细说明：
7 O# i  i7 s0 UIslogin //判断登录的方法

sub islogin()

& X! w  g, v( B; H. aif sdcms.strlen(adminid)=0 or sdcms.strlen(adminname)=0 then
( S- c9 K/ R. u+ U$ D
dim t0,t1,t2

t0=sdcms.getint(sdcms.loadcookie("adminid"),0) loadcookie

9 n0 u  v( b/ \2 O) T4 pt1=sdcms.loadcookie("islogin")
$ W& f4 ^# y9 g8 M1 b
: Q# j9 K' e% Y) Y; x, b3 C: @$ Tt2=sdcms.loadcookie("loginkey")
9 ^* n0 S7 e; U. T
if sdcms.strlen(t0)=0 or sdcms.strlen(t1)=0 or sdcms.strlen(t2)<>50 then //这里判断很坑爹 sdcms.strlen(t2)<>50 loginkey 没有任何要求 只需要输入50个即可往下执行
  D8 W- K* c+ c( _0 k6 {+ k! w
//

sdcms.go "login.asp?act=out"

1 Z5 K$ \- m$ Uexit sub
) G* {+ O' [) n) H; d) }
else

dim data
. r* Y$ z5 d  Z* G" p
; I4 D8 h' ]) l+ m8 X9 \* C0 ^! Zdata=sdcms.db.dbload(1,"adminid,adminname,adminpass,islock,groupid,g.pagelever,g.catearray,g.catelever","sd_admin u left join sd_admin_group g on u.groupid=g.id","adminid="&t0&"","") //根据管理员ID查询 ID可控
% B1 A: d% k; ~' |
if ubound(data)<0 then

; U5 N$ y; V+ H3 L( _7 r4 ?, `4 Rsdcms.go "login.asp?act=out"
' N; f" |  b  S: I
exit sub

else
  c3 \( z+ P8 Q$ j
if instr(data(1,0)&data(2,0),sdcms.decrypt(t1,t2))<0 or data(3,0)=0 then

1 K# D: T3 g) A2 I( csdcms.go "login.asp?act=out"

$ f" t6 k) C- V) U1 Hexit sub
2 X/ o8 I# D8 s+ ?
- S) s) |3 ]8 E4 D5 g* ~else
+ [( a" Y8 o) O' k
8 ^! C1 ]; s$ Nadminid=data(0,0)

0 ]' M/ v+ \5 X( \6 {adminname=data(1,0)

admin_page_lever=data(5,0)
2 Y$ B5 P% q- N
admin_cate_array=data(6,0)

2 m: ~' E1 F: q1 jadmin_cate_lever=data(7,0)
5 T/ E$ v! ~' b2 x
if sdcms.strlen(admin_page_lever)=0 then admin_page_lever=0
/ x- n4 q3 c( y2 g: b/ N, B5 W
; n6 ?* k* O/ E0 }2 I: cif sdcms.strlen(admin_cate_array)=0 then admin_cate_array=0
6 T! e$ q7 {6 a" ?
+ Q1 O# ?# ^. b  sif sdcms.strlen(admin_cate_lever)=0 then admin_cate_lever=0
6 f8 m. b9 H- S* D2 B- P' I, ]
if clng(admingroupid)<>0 then
* J+ D1 r; w( R  t( y+ p
admin_lever_where=" and menuid in("&admin_page_lever&")"
. ?+ X/ O& _$ Z7 ]. C  L
5 A5 W$ G' o- K: H; @9 @5 _end if
# i3 \, D* t4 |
$ Z$ G' ~2 r" k) j/ d0 Xsdcms.setsession "adminid",adminid

2 S0 y, S' x9 e: M* P7 Tsdcms.setsession "adminname",adminname

sdcms.setsession "admingroupid",data(4,0)

end if

end if

end if

! ]# {1 U  B9 k/ v0 I6 Helse
4 i6 V9 j& c$ Q5 b
data=sdcms.db.dbload(1,"g.pagelever,g.catearray,g.catelever","sd_admin u left join sd_admin_group g on u.groupid=g.id","adminid="&adminid&"","")

  ]: r8 Z! I9 C5 oif ubound(data)<0 then

) i( P- o$ Y& H5 L- z" e. Ssdcms.go "login.asp?act=out"

exit sub
, ]4 f2 c- m8 n; J4 H
% n/ r% P" V: t4 q5 U1 p% t5 uelse

& s% e) J( g1 ^: L5 x* [admin_page_lever=data(0,0)
* }& H3 l7 t0 P, r3 A/ i' r
admin_cate_array=data(1,0)
) f7 o" n. P0 t3 B4 \
. z8 G3 R1 @. L2 s5 z( D' }" R. Padmin_cate_lever=data(2,0)
/ L( {$ n6 y' r, u! z8 O' [4 {3 i
9 }: u/ t9 E2 }  v( hif sdcms.strlen(admin_page_lever)=0 then admin_page_lever=0

if sdcms.strlen(admin_cate_array)=0 then admin_cate_array=0

* Y7 N, P3 }* u& bif sdcms.strlen(admin_cate_lever)=0 then admin_cate_lever=0
- |  z  ]$ P! i9 ]
/ V6 x, l; ]4 ^; D' @' l& z: Aif clng(admingroupid)<>0 then
9 B  Z7 l( ^. ?9 U  F
admin_lever_where=" and menuid in("&admin_page_lever&")"
' m8 v8 e# N- [* R  L) }
; T9 H" Q3 Q" J4 x# tend if

end if
+ C" h! Z" D) R! c  D
) T: W7 s. {% Z; }; q( J3 jend if
9 n, ~) V$ M* |# a  r* D/ z3 w
* M) S; J! t5 e& _% F' xend sub
( H. y7 ]+ z$ ?/ `" {0 |漏洞证明：
; [, o  x$ C; g/ Z. k5 _: B看看操作COOKIE的函数
- p% ~  F% _/ ]' F- [- q
public function loadcookie(t0)
6 A- p7 u: _. A: |4 G
loadcookie=request.cookies(prefix&t0)

end function
/ S2 X; Z! A7 C. z* n- q
5 [8 C$ z' X1 C1 }, L3 N9 @public sub setcookie(byval t0,byval t1)
- @6 D$ e( G& y
response.cookies(prefix&t0)=t1

2 q" K- H8 M  l' y! t! |end sub

prefix

'变量前缀，如一个空间下多次使用本程序的话，请每个程序配置不同的值
" l4 V4 S/ Y& o6 e2 a: {
dim prefix
  i5 Q) n2 e8 n3 [/ H" q: O
1 y3 l0 g& P5 r. r$ r# Jprefix="1Jb8Ob"
( `& f$ C. r7 d+ A& p' W) Z
'这个值访问一下admin/login.asp?act=out 便可得到 在COOKIE里

sub out

& x, a" ~7 b# j: ssdcms.setsession "adminid",""

* Z2 M: F- w9 _- C& u6 Ksdcms.setsession "adminname",""
9 Y( j+ d% K( S0 }1 k/ n
sdcms.setsession "admingroupid",""
1 i. e- L% z. l& s3 _
sdcms.setcookie "adminid",""

/ E! O5 h5 E& p, h1 l9 ~& usdcms.setcookie "loginkey",""

8 ~7 K2 w) R, ~) R( F) p( x( l' k! \sdcms.setcookie "islogin",""

# R+ H8 [) V  gsdcms.go "login.asp"
- h% L% e& t3 g8 y8 d8 `
end sub
6 s- R7 t7 e( p
; g8 ?0 U$ y0 }5 c9 u6 J$ Y
利用方法：设置cookie prefixloginkey 50个字符 prefixislogin 随意 循环下prefixadminid 即可 默认1 然后访问后台，就可以了！
修复方案：
! m' H: s, N$ U) e修改函数！
$ E# [: e1 k7 P0 {