记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

CmsEasy_5.5_UTF-8_20140420 存在存储型xss 可打管理员和平行用户

2014-06-16 16:55
第一种情况(攻击管理员):
 
注册用户后,然后访问/CmsEasy_5.5_UTF-8_20140420/uploads/bbs/add-archive.php?cid=1
 
进行发帖,其中主题填写:
 
" oninput=alert(1)><img 如图所示
 
 
然后登陆管理员,如图所示:
 
点击"操作"底下的编辑,然后,让管理员发现问题的时候,对其内容进行删除修改时候,抽发xss
 
如图所示:
 
第二种情况(攻击平行用户):
 
 
 
通过代码审核,发现文件bbs_public.php(55-56)两行采用黑名单方式,那么下来我们就通过绕过方式进行注入:
 

$ra1 = array('javascript', 'vbscript', 'expression', 'applet', 'meta', 'xml', 'blink', 'link', 'style', 'script', 'embed', 'object', 'iframe', 'frame', 'frameset', 'ilayer', 'layer', 'bgsound', 'title', 'base');

$ra2 = array('onabort', 'onactivate', 'onafterprint', 'onafterupdate', 'onbeforeactivate', 'onbeforecopy', 'onbeforecut', 'onbeforedeactivate', 'onbeforeeditfocus', 'onbeforepaste', 'onbeforeprint', 'onbeforeunload', 'onbeforeupdate', 'onblur', 'onbounce', 'oncellchange', 'onchange', 'onclick', 'oncontextmenu', 'oncontrolselect', 'oncopy', 'oncut', 'ondataavailable', 'ondatasetchanged', 'ondatasetcomplete', 'ondblclick', 'ondeactivate', 'ondrag', 'ondragend', 'ondragenter', 'ondragleave', 'ondragover', 'ondragstart', 'ondrop', 'onerror', 'onerrorupdate', 'onfilterchange', 'onfinish', 'onfocus', 'onfocusin', 'onfocusout', 'onhelp', 'onkeydown', 'onkeypress', 'onkeyup', 'onlayoutcomplete', 'onload', 'onlosecapture', 'onmousedown', 'onmouseenter', 'onmouseleave', 'onmousemove', 'onmouseout', 'onmouseover', 'onmouseup', 'onmousewheel', 'onmove', 'onmoveend', 'onmovestart', 'onpaste', 'onpropertychange', 'onreadystatechange', 'onreset', 'onresize', 'onresizeend', 'onresizestart', 'onrowenter', 'onrowexit', 'onrowsdelete', 'onrowsinserted', 'onscroll', 'onselect', 'onselectionchange', 'onselectstart', 'onstart', 'onstop', 'onsubmit', 'onunload');

 

 
 
再次查看此文件的75行代码$replacement = substr($ra[$i], 0, 2).'<x>'.substr($ra[$i], 2);,然后就会明白,原来是在上面名单内的关键字中间添加<x>,通过上面名单查看到<a>,href标签没有被过滤,那么我们可以构造如下:
 
 
 
<a href="javascript:alert(1)">继续查看</a>
 
 
 
当然javascript明显被转移为了jav<x>sript,那么我们可以对其部分字符进行变化,j&#97vascr&#105pt,那么上面就会变为:
 
 
 
<a href="j&#97vascr&#105pt:alert(1)">继续查看</a>
 
 
 
然后继续操作论坛部分,如图所示:
 
然后点击"继续查看",弹出框:
 
 
最后在换一个用户去查看,此用户发的帖子,就会中招
 
 
修复方案:
对输出的参数全部做htmlcode转化
知识来源: www.2cto.com/Article/201406/309439.html

阅读:56657 | 评论:0 | 标签:xss cms

想收藏或者和大家分享这篇好文章→复制链接地址

“CmsEasy_5.5_UTF-8_20140420 存在存储型xss 可打管理员和平行用户”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

关注公众号hackdig,学习最新黑客技术

推广

工具

标签云