致晟 發表於 2010-9-30 21:16:28

科讯 kesioncms 5.5以下漏洞拿shell方法原理总结（图文）

by：Timeless2008me<br />&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;科讯做为一个强大的cms程序大多被政府和教育机构网站所使用，关于科讯的漏洞利用教程网上不是很多。由于科讯的后台登陆需要输入认证码，而认证码没有保存在数据库而是保存在asp文件中，所以在某种程度上增大了拿shell 的难度。下面就个版本拿shell 的方法做一总结。<br />KesionCMS V3.x和3.x以下版本<br />网上有0day工具不过没有具体原理，下面就讲一下手工拿shell的方法<br />关键字：inurl:user/Login.asp 忘记密码? 如果你忘记密码请点击inurl:user/userreg.asp 小提示：在输入用户名后，可以自动检查您想要的用户名<br />第一步：注册用户，也可以直接用admin admin888一般管理员都没改这个密码。<br />第二步：在个人资料那里上传gif小马头像<br />第三步：点击菜单栏中的 服务中心 文件管理。我们上传的gif小马就在upface文件夹里，只要把文件夹名改成upface.asp既可运行小马了。关键是文件名中过滤了&quot;.&quot;无法直接重命名这里我们用本地html提交的方法来绕过限制。<br /><img style="WIDTH: 841px; HEIGHT: 375px" height="303" alt="" src="https://img.jbzj.com/do/uploads/allimg/100930/2250100.jpg" width="550" border="0" /><br />第四步：在文件夹管理的窗体中点击右键将页面原文件保存为本地html。<br />第五步：在文件夹窗口上选择upface文件夹复制其快捷方式，如http://www.xxx.com/user&nbsp;&nbsp;&nbsp;&nbsp;/user_files.asp?ChannelID=0&amp;topdir=/Upfiles/User/admin3/&amp;action=Main&amp;OpTypeStr=&amp;CurrentDir=upface.asp<br />第六步：用记事本打开刚才保存的html文件修改关键代码，这里要修改两处，第一处提交地址修改，提交地<br />&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;址我们只要将所有的？号替换为http://www.xxx.com/user/user_files.asp?（这个地址通过刚才复<br />&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;制的那个地址对比得到）既可，具体情况自己分析源文件。<br />&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;第二处文件过滤修改，在第84行左右有如下字段<br />function IsStr(w)<br />&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{<br />&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;var str = &quot;abcdefghijklmnopqrstuvwxyz_1234567890&quot;<br />&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;w = w.toLowerCase();<br />红色部分即为文件夹名所使用的字符，我们只要在其中加入&ldquo;.&quot;既可。完成后保存运行即可将文件夹重命名问xx.asp的形式了。<br /><img style="WIDTH: 683px; HEIGHT: 372px" height="322" alt="" src="https://img.jbzj.com/do/uploads/allimg/100930/2250101.jpg" width="550" border="0" /><br />========================部分源码======================<br />&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<br />&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;function Checked()<br />&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{<br />&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;var j = 0<br />&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;for(i=0;i abcdefghijklmnopqrstuvwxyz_1234567890&quot; 字符过滤<br />&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;w = w.toLowerCase();<br />&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;var j = 0;<br />&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;for(i=0;i <br />form：http://hi.baidu.com/timeless2008/<br />=============================================================<br />KesionCMS V4.x和v5.x版本<br />修改了版本3存在的漏洞。只能通过后台备份拿shell<br />关键字：inurl:/KS_Data 浏览目录漏洞，可直接下载数据库文件。<br />挖掘机：KesionCMS5.mdb KesionCMS4.mdb<br />得到用户名和密码登陆后台上传gif木马，记住路径。<br />然后转到 www.xxx.com/admin/ks.database.asp?action=backup 页面，<br /><img style="WIDTH: 696px; HEIGHT: 429px" height="397" alt="" src="https://img.jbzj.com/do/uploads/allimg/100930/2250102.jpg" width="550" border="0" /><br />这是备份数据库的页面，不过默认情况下我们无法输入小马路径，我们在www.xxx.com/admin /ks.database.asp?action=backup页面点右键保存源码为本地html形式，然后用记事本打开修改当前数据库路径，运行 html文件备份即可拿到shell。<br />======================部分源码===================<br />www.xxx.com/admin/ks.database.asp?Action=BackUp&amp;Flag=Backup&quot;&gt;&nbsp;&nbsp;&nbsp;&nbsp;<br />&nbsp;&nbsp; 当前数据库路径D:\wwwroot\KS_Data\KesionCMS4.mdb&quot; readonly&gt;备份数据库名称[如果备份目录存在该文件将覆盖，否则将自动创建]&nbsp;&nbsp;Data(2009-4-16).bak&quot;&gt;&nbsp;&nbsp;&nbsp;
頁: [1]
查看完整版本: 科讯 kesioncms 5.5以下漏洞拿shell方法原理总结（图文）