渗透XDCMS靶机

最新推荐文章于 2024-04-15 22:04:28 发布

weixin_33737134

最新推荐文章于 2024-04-15 22:04:28 发布

阅读量808

点赞数

文章标签： php python 数据库

原文链接：https://my.oschina.net/phybrain/blog/1557828

版权

2019独角兽企业重金招聘Python工程师标准>>>

1.利用burpsuite扫描，得到搜索处有注入点记录下http请求放到 txt中。

2.然后sqlmap -r 扫描，跑数据库，管理员用户名xdcms121,密码md5解密得xdcms212.

3.御剑扫描后台得到后台路径/admin/login，登陆后找上传，发现系统设置有logo图片上传，试了下一句话上传，发现图片路劲不更新。找到幻灯片管理还有上传，但是依旧路径没有更新，

巨坑！！！！！！！。

4.尝试用burp的repeater观察文件上传的request和response，在reponse发现了返回的图片路径。尝试访问，可以访问到。

5.上传过滤了格式，图片无法备份成php。查到通过/system/function/global.inc.php 的参数调用模块，upload 与system同级所以 ../../ 即可访问jpg图片。

url:

xxx.xxx.xxx/index.php?m=../../uploadfile/image/2017.........jpg

global.inc.php:

$m=safe_replace(safe_html(isset($_GET["m"]))) ? safe_replace(safe_html($_GET["m"])) : "content";
$c=safe_replace(safe_html(isset($_GET["c"]))) ? safe_replace(safe_html($_GET["c"])) : "index";
$f=safe_replace(safe_html(isset($_GET["f"]))) ? safe_replace(safe_html($_GET["f"])) : "init";
//判断模块是否存在
if(!file_exists(MOD_PATH.$m)){
        showmsg(C('module_not_exist'),'/');
}
//判断类文件是否存在
if(!file_exists(MOD_PATH.$m."/".$c.".php")){
        showmsg(C('class_not_exist'),'/');
}
include MOD_PATH.$m."/".$c.".php";   //调用类
//判断类是否存在
if(!class_exists($c)){
        showmsg(C('class_not_exist'),'/');
}
$p=new $c();  //实例化
$p->$f();   //调用方法

5.菜刀连接url，发现连接不到，因为在后面自动加上了index.php，最后找到通过url后面加上%00截断后方index.php，成功连接。

转载于:https://my.oschina.net/phybrain/blog/1557828