漏洞概要
关注数(24)
关注此漏洞
漏洞标题:代码审计系列3:cmseasy CSRF导致远程PHP代码执行
提交时间:2013-09-20 13:18
修复时间:2013-12-19 13:18
公开时间:2013-12-19 13:18
漏洞类型:文件上传导致任意代码执行
危害等级:高
自评Rank:20
漏洞状态:厂商已经确认
Tags标签:
无
漏洞详情
披露状态:
2013-09-20: 细节已通知厂商并且等待厂商处理中
2013-09-20: 厂商已经确认,细节仅向厂商公开
2013-09-23: 细节向第三方安全合作伙伴开放
2013-11-14: 细节向核心白帽子及相关领域专家公开
2013-11-24: 细节向普通白帽子公开
2013-12-04: 细节向实习白帽子公开
2013-12-19: 细节向公众公开
简要描述:
利用后台设计权限可上传PHP文件,并且可利用XSS留永久后门
详细说明:
1.我们先来看看这个缺陷的地方在哪儿
cmseasy有一个设置附件后缀白名单的地方,我们可以从这里添加.php后缀来达到上传PHP文件的目的。
2.如何上传文件
这个页面有上传文件的功能,它会检查白名单中的后缀。
3.当我们知道如何后台GETSHELL之后,现在我们开始构造利用代码。
CSRF可以帮助我们实现添加文件后缀白名单,于是我们构造出以下代码。
当管理员访问以上代码,就会自动添加PHP后缀。
4.如何上传PHP文件
经过测试那个文件并没有任何的权限限制,也没有任何的用户限制,它仅仅只判断白名单后缀。
那么我们可以构造如下exploit.html
现在我们可以在任何地方使用该exploit 都可以上传PHP文件
漏洞证明:
1.留言板欺骗
2.当管理员访问
3.上传PHP文件
4.留XSS永久后门
Request URL:http://127.0.0.1:8080/CmsEasy/index.php?case=template&act=save&admin_dir=admin&site=default
将以上参数 作为CSRF 利用,即可在首页(footer.html)留下XSS后门 , 这里不再演示
修复方案:
请判断 http://127.0.0.1:8080/CmsEasy/index.php?case=tool&act=uploadfile 使用这个功能上传的时候是否是管理员。
还有限制后台访问来源。
版权声明:转载请注明来源 LaiX@乌云
漏洞回应
厂商回应:
危害等级:中
漏洞Rank:8
确认时间:2013-09-20 15:04
厂商回复:
非常感谢,我们将及时处理
最新状态:
暂无