v4.6.6 11月28日 phpmywind发布的版本 不知道现在发布新版本了没。
用这渣渣洞 帮XX机油拿了个证书。 机油我爱你。 证书到手了, 也就准备写出来了。
Phpmywind/member.php
这个xss略显鸡肋。 没多研究。。 要在会员列表里面点详细才可以。
然后看了下get_ip 函数 但是最后对ip的合法性做了验证。
继续看看member.php
$link 就是referer 可伪造。
并且带入了查询当中$dosql->ExecNoneQuery(“INSERT INTO `#@__userfavorite` (aid,molds,uid,uname,link,time,ip,isshow) VALUES
(‘$aid’,'$molds’,'$uid’,'$uname’,'$link’,'$time’,'$ip’,’1′)”);
跟进。
先把语句给了setQuery
获取表前缀 然后替换语句中的前缀。
然后赋给querystring
关键就是下面的语句检查了。
这个很明显就是dede里面内置的防注入的
也就是由80sec提供的。
不过这个已经被大牛们绕过了。
貌似是把单引号里面的内容都替换成$s$?不太懂
引用下大牛的话把: 这里可以设置title为如下代码，一方面绕过ids防注入代码检测，另一方面加一个#注释掉后面的代码，但是还要做一下变形，就是这个 char(@`’`)了。因为#@__feedback的所有字段都被设置为NOT NULL，而@`’`是一个变量，默认为NULL，直接插入@`’`的话会报错，所以需要以char(@`’`)的方法转换一下。
的确加了char(@`’`) 就没被拦截了。。
先构造一下语句
然后加上char(@`’`)
注入成功。
无视magic_quotes_gpc
因为 magic_quotes_gpc 只对 Get post cookie的传递过来的特殊字符转义。
______________________________________________
老版本的phpmywind的后台 太好getshell了。
因为模版可以直接编辑php 文件 但是现在不行了。
这里可以修改 但是黑名单中有php 添加了php还是不能上传
但是还有Cer cdx asa phtml php3 ……&
________________________________________________________________________________________________
另外一种方法是借鉴了raindrop兄弟的那dede的后台另类拿shell的方法。
我用我的理解来说说把。 没怎么学过php,, 不知道说得错误多不多。。
经常可以看到各种后台配置插马儿。
但是现在一般都用单引号引起了。 也不乏有一些双引号引的。。
如果是双引号引的 就利用双引号的二次解析就更容易拿shell了。
单引号呢 有时候闭合后还是能拿shell 但是受gpc
不过现在有些cms 就像 phpmywind dede 这样的
添加了再多的单引号
配置文件也依然这样 raindrop思维很活跃啊。巧妙的利用单行注释多行注释 和 转义符。
不知道为什么 我在phpmywind 后台里面 写一个 或者 写两个 在配置文件里面都是空的
写三个里面才有了一个
Raindrop 还说要把第一个单引号注释掉 就是 ‘//’
因为不能直接注释掉 所以要先转义。
但是我觉得不需要额， ’ 已经不能用来闭合了。
第一行就是转义第二个单引号, 然后第一单引号和第三单引号闭合了。 然后结束语句。
然后利用多行注释 注释掉4 5 单引号, 然后再单行注释掉phpinfo(); 后面的第6单引号
然后 phpinfo() 就无单引号了。
因为magic_quotes_gpc 是会对 转义的嘛
可是当magic_quotes_gpc 为on的时候还是可以拿
Lengai兄弟也说得很清楚了。
function ReWriteConfig()
{
global $dsql,$configfile;
if(!is_writeable($configfile))
{
echo “配置文件’{$configfile}’不支持写入，无法修改系统配置参数！”;
exit();
}
/*
以写的方式打开一个文件。接着从数据库里面查找配置，在写到文件里面。
*/
$fp = fopen($configfile,’w');
flock($fp,3);
fwrite($fp,”<”.”?phprn”);
$dsql->SetQuery(“SELECT `varname`,`type`,`value`,`groupid` FROM `#@__sysconfig` ORDER BY aid ASC “);
$dsql->Execute();
while($row = $dsql->GetArray())
{
if($row['type']==’number’)
{
/*
如果为数字的情况下，就直接写到文件里面。
我本以为找到数字类型的，直接写入代码（类似’;phpinfo();//）,可惜找了几个都没找到。
本以为放弃了，结果后面无意间发现了一个可以利用的地方。
*/
if($row['value']==”) $row['value'] = 0;
fwrite($fp,”${$row['varname']} = “.$row['value'].”;rn”);
}
else
{
/*
如果类型为文本的话 他会自动去掉单引号，在自动加上单引号。
其实这样的思路是没啥错的，可惜现在人们越来月淫荡了。所以他还是有个地方错误，他忽略了转义符（）
*/
fwrite($fp,”${$row['varname']} = ‘”.str_replace(“‘”,”,$row['value']).”‘;rn”);
}
}
fwrite($fp,”?”.”>”);
fclose($fp);
}
这个phpmywind跟dede还是挺像的 这里要fputs个马儿才行。 不能直接连接配置文件。