九某草 X站cms 渗透篇

这一套源码与网上那些X站cms都是一致,那么在奇安信社区上看到了这款,那么也来玩玩,这一套源码的话基本的都是存在后台提权、存储xss、反射XSS、弱口令(至于弱口令这块一般安装后直接使用admin、admin或者某cms名称直接进行登录,那么我们登录进行也是直接忽略过爆破这一段)

1、储存XSS
广告设置这块基本都存在储存xss。
利用:将广告图片的URL/…/…/…/
九某草 X站cms 渗透篇_第1张图片
九某草 X站cms 渗透篇_第2张图片
九某草 X站cms 渗透篇_第3张图片
可以看到,在广告这块储存也是没有做任何一个过滤的,直接触发弹窗。

2、反射XSS
九某草 X站cms 渗透篇_第4张图片
看源码我发现了echo输出存在可控变量,; echo safeRequest($_GET['Play']);?>';
九某草 X站cms 渗透篇_第5张图片
Get Play?那么直接使用Play构造一个payloda

http://192.168.22.1/Static/Home/VideoJS/index.php?Play=

九某草 X站cms 渗透篇_第6张图片
发现没有弹窗,那么审查元素,在底部 xss语句使用了:"+alert('XSS')+", 那么在元素源码那看到了+ < >号基本被过滤掉了
九某草 X站cms 渗透篇_第7张图片
为了找到过滤的源码,在站的根目录发现了一个index.php的文件
九某草 X站cms 渗透篇_第8张图片
并且找到引入辅助行数文件,Helper.php,可以知道我们刚才尝试的时候没有弹窗的原因就在这里。下面的图,我已经把函数注释写出来了。
九某草 X站cms 渗透篇_第9张图片
所以我将去除带有威胁性的符号:';alert(1);',那么这块开始我也是没有头像看了这编文章的第3段内容,才反应过来:https://forum.butian.net/share/1160
九某草 X站cms 渗透篇_第10张图片
九某草 X站cms 渗透篇_第11张图片
3.Php代码执行
路径位置:Home/Basic/Statistics



if (isset($_POST['submit']) && isset($_POST['Statistics'])) {
$file = fopen("../JCSQL/Admin/Basic/AdminStatistics.php","w");
 fwrite($file,$_POST['Statistics']);
fclose($file);
?>
<script language="javascript"> 
<!-- 
fwrite($file,$_POST['Statistics']); //值得注意的一段代码

九某草 X站cms 渗透篇_第12张图片
九某草 X站cms 渗透篇_第13张图片

你可能感兴趣的:(漏洞分析,渗透测试,web安全)