### 简要描述： 易通企业网站系统(cmseasy) 注册用户在更新资料时和本地构造groupid表单(判断管理员权限 为888即为管理员)，可直接拿提升为管理权限,后台多处可以 getShell,只要开放注册 通杀 ### 详细说明： 漏洞文件在 table.php中的 sql_update($tbname,$row,$where) 函数 ``` function sql_update($tbname,$row,$where) { $sqlud=''; if (is_string($row)) $sqlud=$row.' '; else foreach ($row as $key=>$value) { if (in_array($key,explode(',',$this->getcolslist()))) { $value=addslashes($value); if (preg_match('/^\[(.*)\]$/',$value,$match)) $sqlud .= "`$key`"."= ".$match[1].","; elseif ($value === "") $sqlud .= "`$key`= NULL, "; else $sqlud .= "`$key`"."= '".$value."',"; } } $sqlud=rtrim($sqlud); $sqlud=rtrim($sqlud,','); $this->condition($where); $sql="UPDATE `".$tbname."` SET ".$sqlud." WHERE ".$where; return $sql; } ``` 循环遍历 POST 值 然后直接写入数据库更新 导致用户可以自定义权限判断字段 权限提升漏洞 ### 漏洞证明： 注册用户名 编辑资料 [<img src="https://images.seebug.org/upload/201205/130314595df2566bc8857edfe58f2b2bd6b55e0c.jpg" alt="" width="600"...
### 简要描述： 易通企业网站系统(cmseasy) 注册用户在更新资料时和本地构造groupid表单(判断管理员权限 为888即为管理员)，可直接拿提升为管理权限,后台多处可以 getShell,只要开放注册 通杀 ### 详细说明： 漏洞文件在 table.php中的 sql_update($tbname,$row,$where) 函数 ``` function sql_update($tbname,$row,$where) { $sqlud=''; if (is_string($row)) $sqlud=$row.' '; else foreach ($row as $key=>$value) { if (in_array($key,explode(',',$this->getcolslist()))) { $value=addslashes($value); if (preg_match('/^\[(.*)\]$/',$value,$match)) $sqlud .= "`$key`"."= ".$match[1].","; elseif ($value === "") $sqlud .= "`$key`= NULL, "; else $sqlud .= "`$key`"."= '".$value."',"; } } $sqlud=rtrim($sqlud); $sqlud=rtrim($sqlud,','); $this->condition($where); $sql="UPDATE `".$tbname."` SET ".$sqlud." WHERE ".$where; return $sql; } ``` 循环遍历 POST 值 然后直接写入数据库更新 导致用户可以自定义权限判断字段 权限提升漏洞 ### 漏洞证明： 注册用户名 编辑资料 [<img src="https://images.seebug.org/upload/201205/130314595df2566bc8857edfe58f2b2bd6b55e0c.jpg" alt="" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201205/130314595df2566bc8857edfe58f2b2bd6b55e0c.jpg) 得到管理权限(ps: 后台超炫) [<img src="https://images.seebug.org/upload/201205/13031531bf53dfec8864fe04858d8f2dc321afd3.jpg" alt="" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201205/13031531bf53dfec8864fe04858d8f2dc321afd3.jpg) GetShell [<img src="https://images.seebug.org/upload/201205/13031317f607db398c35a586bc1729cf55ba356c.jpg" alt="" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201205/13031317f607db398c35a586bc1729cf55ba356c.jpg)
