WooYun.org

1、先来看存储型XSS跨进后台

在申请链接处，文件/link/add_link.php

elseif ($act=="save")


{	


	$captcha=get_cache('captcha');


	$postcaptcha = trim($_POST['postcaptcha']);


	if($captcha['verify_link']=='1' && empty($postcaptcha))


	{


		showmsg("请填写验证码",1);


 	}


	if ($captcha['verify_link']=='1' &&  strcasecmp($_SESSION['imageCaptcha_content'],$postcaptcha)!=0)


	{


		showmsg("验证码错误",1);


	}


	if ($_CFG['app_link']<>"1")


	{


	showmsg('已停止自助申请链接，请联系网站管理员！',1);


	}


	else


	{


	$setsqlarr['link_name']=trim($_POST['link_name'])?trim($_POST['link_name']):showmsg('您没有填写标题！',1);


	$setsqlarr['link_url']=trim($_POST['link_url'])?trim($_POST['link_url']):showmsg('您没有填写链接地址！',1);


	$setsqlarr['link_logo']=trim($_POST['link_logo']);


	$setsqlarr['app_notes']=trim($_POST['app_notes']);


	$setsqlarr['alias']=trim($_POST['alias']);


	$setsqlarr['display']=2;


	$setsqlarr['type_id']=2;


	$link[0]['text'] = "返回网站首页";


	$link[0]['href'] =$_CFG['site_dir'];


	!inserttable(table('link'),$setsqlarr)?showmsg("添加失败！",0):showmsg("添加成功，请等待管理员审核！",2,$link);


	}


}

对链接信息没有过滤直接进入数据库。

在后台显示时，文件/admin/admin_link.php

if($act == 'list')

{

get_token();

check_permissions($_SESSION['admin_purview'],"link_show");

require_once(QISHI_ROOT_PATH.'include/page.class.php');

$oederbysql=" order BY l.show_order DESC";

$key=isset($_GET['key'])?trim($_GET['key']):"";

$key_type=isset($_GET['key_type'])?intval($_GET['key_type']):"";

if ($key && $key_type>0)

{



if ($key_type===1)$wheresql=" WHERE l.link_name like '%{$key}%'";

elseif ($key_type===2)$wheresql=" WHERE l.link_url like '%{$key}%'";

}

else

{

!empty($_GET['alias'])? $wheresqlarr['l.alias']=trim($_GET['alias']):'';

!empty($_GET['type_id'])? $wheresqlarr['l.type_id']=intval($_GET['type_id']):'';

if (is_array($wheresqlarr)) $wheresql=wheresql($wheresqlarr);

}

if ($_CFG['subsite']=="1" && $_CFG['subsite_filter_links']=="1")

{

$wheresql.=empty($wheresql)?" WHERE ":" AND ";

$wheresql.=" (l.subsite_id=0 OR l.subsite_id=".intval($_CFG['subsite_id']).") ";

}

$joinsql=" LEFT JOIN ".table('link_category')." AS c ON l.alias=c.c_alias ";

$total_sql="SELECT COUNT(*) AS num FROM ".table('link')." AS l ".$joinsql.$wheresql;

$page = new page(array('total'=>$db->get_total($total_sql), 'perpage'=>$perpage));

$currenpage=$page->nowindex;

$offset=($currenpage-1)*$perpage;

$link = get_links($offset, $perpage,$joinsql.$wheresql.$oederbysql);

$smarty->assign('link',$link);

$smarty->assign('page',$page->show(3));

$smarty->assign('upfiles_dir',$upfiles_dir);

$smarty->assign('get_link_category',get_link_category());

$smarty->assign('navlabel',"list");

$smarty->display('link/admin_link.htm');

}

看看get_link函数：

function get_links($offset, $perpage, $get_sql= '')


{


	global $db;


	$row_arr = array();


	$limit=" LIMIT ".$offset.','.$perpage;


	$result = $db->query("SELECT l.*,c.categoryname FROM ".table('link')." AS l ".$get_sql.$limit);


	while($row = $db->fetch_array($result))


	{


	$row_arr[] = $row;


	}


	return $row_arr;	


}

直接取出显示，没有过滤，导致xss。

我们来申请链接：http://localhost/74cms/link/add_link.php

后台管理员查看申请链接时：http://localhost/74cms/admin/admin_index.php

2、后台GetShell

我们首先可以在前台上传一个头像jpg文件，文件内容:

<?php phpinfo();?>

上传后的文件路径为：

http://localhost/74cms/user/personal/personal_index.php

查看头像属性：

通过第一步拿到的cookie登陆后台。

后台工具——计划任务——添加任务：

任务脚本就填我们上传的头像图片路径：../../data/avatar/100/2014/05/09/1.jpg

然后提交即可。

此时在网站首页刷新页面，得到结果：

3、总结

通过上面的XSS和后台的GetShell

我们可以全部自动化，由于后台有csrf防御，我们可以先通过xss获取到后天的csrftoken，然后构造getshell的js文件，在来一次xss就搞定了。