另类漏洞挖掘 cmseasy 权限提升 & getShell

另类漏洞挖掘 cmseasy 权限提升 & getShell 通杀漏洞

Author:Yaseng**〖www.yaseng.me**〗 Team: HighSky〖www.uauc.net〗

对于cmseasy这样比较成熟用户量大的cms 普通的 sql injection xss 已然被人搞烂 ….

发现管理和前台普通用户在一个表就可以干很多猥琐之事了额先看代码吧

注册用户此时的代码为
文件: user_act.php

   function edit_action() {
      if(front::post('submit')) {
            $this->_user->rec_update(front::$post,'userid='.$this->view->user['userid']);
            front::flash(lang('修改资料成功！'));
            front::redirect(url::create('user/index'));
        }
        $this->view->data=$this->view->user;
}

继续跟踪rec_update函数


   function rec_update($row,$where) {
        $tbname=$this->name;
        $sql=$this->sql_update($tbname,$row,$where);

        return $this->query_unbuffered($sql);
}

向下sql_update($tbname,$row,$where) ( 漏洞函数 )

function sql_update($tbname,$row,$where) {
       $sqlud='';
       if (is_string($row))
           $sqlud=$row.' ';
       else
           foreach ($row as $key=>$value) {
               if (in_array($key,explode(',',$this->getcolslist()))) {
                   $value=addslashes($value);
                   if (preg_match('/^\[(.*)\]$/',$value,$match))
                       $sqlud .= "`$key`"."= ".$match[1].",";
                   elseif ($value === "")
                       $sqlud .= "`$key`= NULL, ";
                   else
                       $sqlud .= "`$key`"."= '".$value."',";
                  }
           }
       $sqlud=rtrim($sqlud);
       $sqlud=rtrim($sqlud,',');
       $this->condition($where);
       $sql="UPDATE `".$tbname."` SET ".$sqlud." WHERE ".$where;
       return $sql;
   }