目录
1 【漏洞说明】
UCMS v1.4.8版本存在安全漏洞,该漏洞源于文件写的fopen()函数存在任意命令执行漏洞,攻击者可利用该漏洞可以通过该漏洞访问服务器
2 【漏洞等级】
高危
3 【影响版本】
UCMS v1.4.8
4 【利用条件】
需要后台登录权限
5 【cms源码包】
链接:百度网盘 请输入提取码
提取码:1234
6 【利用过程】
6.1打开kali,访问站点192.168.0.2
添加图片注释,不超过 140 字(可选)
6.2访问管理员登录界面
http://192.168.0.2/ucms/login.php
添加图片注释,不超过 140 字(可选)
6.3使用账号密码admin:123456登录
界面如下
添加图片注释,不超过 140 字(可选)
6.4访问漏洞页面
http://192.168.0.2/ucms/index.php?do=sadmin_fileedit&dir=/&file=1.php
6.5我们需要使用burp抓取该页面的数据包进行漏洞利用
为火狐浏览器设置代理
打开burp
添加图片注释,不超过 140 字(可选)
6.6进入Proxy模块中点击Options查看burp端口信息。
添加图片注释,不超过 140 字(可选)
6.7打开火狐浏览器设置
点击右上角三横标志,下拉,点击preferences
添加图片注释,不超过 140 字(可选)
6.8搜索框输入proxy
添加图片注释,不超过 140 字(可选)
6.9开启火狐浏览器代理,并将代理信息改为burp中的信息,点击确定。
添加图片注释,不超过 140 字(可选)
6.10代理设置完成后,再回到漏洞页面,点击新建
添加图片注释,不超过 140 字(可选)
6.11burp抓到数据包,右键发送到repeater模块
添加图片注释,不超过 140 字(可选)
进入repeater模块,修改请求体中的co参数为
co=%3C%3Fphp+phpinfo%28%29%3F%3E&pos=17
注意uuu_token的值不改变
编码前的payload为
co=<?php phpinfo()?>&pos=17
6.12点击send发送数据包,返回信息末尾处会有保存成功的提示,此时已经将<?php phpinfo()?>写入了1.php文件中
添加图片注释,不超过 140 字(可选)
回到burp代理模块关闭抓包
6.13访问url:http://192.168.0.2/1.php
phpinfo()函数成功执行
添加图片注释,不超过 140 字(可选)
7 漏洞分析
在fileedit.php中对上传的文件没有做任何过滤,导致任意文件上传漏洞
添加图片注释,不超过 140 字(可选)
8 漏洞修复
升级到最新版本或后台关闭文件管理功能