发表于
2017-07-15 11:32:00
OrientDB <=2.22 代码执行
发表于
2017-07-10 22:58:08
FineCMS SYS_KEY未初始化导致任意文件写入
发表于
2017-07-08 10:36:51
Struts2高危漏洞S2-048动态分析
发表于
2017-07-07 17:59:58
通杀FineCMS5.0.8及版本以下getshell漏洞的
发表于
2017-06-15 19:34:00
finecms前台任意文件上传
发表于
2017-05-26 07:24:00
FineCMS v2.1.5前台一处XSS+CSRF可getshell
FineCMS一个XSS漏洞分析FineCMS是一套用CodeIgniter开发的中小型内容管理系统，目前有三个分支:1.x，2.x，5.x，这次分析的是2.x的最新版2.1.5一、用户输入既然是XSS，那么就一定有用户的输入以及输出。// controllers\member\InfoController.php
public function avatarAction() {
if (empty($this->memberconfig['avatar']) && $this->isPostForm()) {
$data = $this->input->post('data', TRUE);
$this->member->update(array('avatar'=> $data['avatar']), 'id=' . $this->memberinfo['id']);
$this->memberMsg(lang('success'), url('member/info/avatar'), 1);
}
$this->view->assign(array(
'avatar_ext_path' => EXT_PATH . 'avatar/',
'avatar_return' =
...继续阅读
(10)
发表于
2017-05-20 15:38:57
PHPCMS V9.6.2 SQL注入漏洞分析
在会员前台管理中心接口的继承父类foreground：/phpcms/modules/member/index.php LINE 11class index extends foreground {
private $times_db;
function __construct() {
parent::__construct();
$this->http_user_agent = $_SERVER['HTTP_USER_AGENT'];
}这里继承了foreground，跟进去：/phpcms/modules/member/classes/foreground.class.php line 19-38：/**
* 判断用户是否已经登陆
*/
final public function check_member() {
$phpcms_auth = param::get_cookie('auth');
if(ROUTE_M =='member' && ROUTE_C =='index' && in_array(ROUTE_A, array('login', 'register', 'mini','send_newmail'))) {
if ($p
...继续阅读
(18)
发表于
2017-05-19 20:03:00
Maccms8.x 命令执行漏洞分析
大概看了下目录和程序的结构 vod 是 /inc/module/vod.phpsearch 是里面的一个方法这里先去除过滤函数然后在index.php去除 360脚本的包含。然后可以开始测试了在 F:WWWmaccmsincmodulevod.phpelseif($method=='search')
{
$tpl->C["siteaid"] = 15;
$wd = trim(be("all", "wd"));
//$wd = chkSql($wd);//这里就是检测到地方我先注释了
if(!empty($wd)){ $tpl->P["wd"] = $wd; }
//if(empty($tpl->P["wd"]) && empty($tpl->P["ids"]) && empty($tpl->P["pinyin"]) && empty($tpl->P["starring"]) && empty($tpl->P["directed"]) && empty($tpl->P["area"]) && empty($tpl->P["lang"]) && empty($tpl->P["year"]) && empty($tpl->P["letter"]) && empty($tpl->P["tag"]) && empty($tpl->P["type"]) && empty($tpl->P
...继续阅读
(16)
发表于
2017-05-03 10:59:00
PHPCMS任意文件读取漏洞分析
此次的任意文件读取漏洞也出现在down类中，上次的sql注入也是这里的坑，所以应该叫继续分析吧，先来看漏洞触发点：/phpcms/modules/content/down.php Line 103-127if(preg_match('/(php|phtml|php3|php4|jsp|dll|asp|cer|asa|shtml|shtm|aspx|asax|cgi|fcgi|pl)(\.|$)/i',$f) || strpos($f, ":\\")!==FALSE || strpos($f,'..')!==FALSE) showmessage(L('url_error'));
$fileurl = trim($f);
if(!$downid || empty($fileurl) || !preg_match("/[0-9]{10}/", $starttime) || !preg_match("/[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}/", $ip) || $ip != ip()) showmessage(L('illegal_parameters'));
$endtime = SYS_TIME - $starttime;
if($endtime > 3600
...继续阅读
(18)
发表于
2017-04-10 10:33:00
phpcms v9前台getshell
看到到处都是这个漏洞的利用.加班完这个点看看触发点.主要的问题是phpcms\modules\member\index.php 130行到140行//附表信息验证 通过模型获取会员信息
if($member_setting['choosemodel']) {
require_once CACHE_MODEL_PATH.'member_input.class.php';
require_once CACHE_MODEL_PATH.'member_update.class.php';
$member_input = new member_input($userinfo['modelid']);
$_POST['info'] = array_map('new_html_special_chars',$_POST['info']);
//var_dump($_POST['info']);
$user_model_info = $member_input->get($_POST['info']);
}这里加载了两个文件.位于当前目录下的fi
...继续阅读
(11)
发表于
2017-03-23 18:24:00
DoubleAgent技术：任意进程下代码注入与权限维持
概述本文披露一种全新的0day技术，用于代码注入和权限维持。影响范围Windows的所有版本（windows xp到windows 10）所有windows架构（x86和x64）Windows所有权限（system/administrator）每个目标进程，包括特权进程（OS/Antivirus等）DoubeleAgent所利用的是一个未被windows公开的技术，该技术已经存在了15年，所以目前没有相对应的补丁。代码注入攻击者可以利用DoubeleAgent将任意代码注入到任何一个他想注入的进程中。并且由于注入发生在进程启动的一开始，因此攻击可以完全控制进程，而进程无法进行自我保护。目前市面上没有任何一款杀毒软件可以检测或预防此种攻击。权限维持即便重启进程，DoubeleAgent依旧可以继续注入代码，因此可以实现完美的权限维持。一旦攻击者将DLL文件注入到某个进程中，他们将永远被强制绑定。即便完全卸载后重装，攻击者的DLL仍然可以在每次执行进程时被再次注入。攻击向量可以攻击现有的防毒软件和下一代的防毒软件——通过注入代码就可以绕过所有的自我保护机制，并且取得完全的控制权。该攻击目前已经验证能够攻破以下的防病毒软件，包括但不限于：Avast, AVG, Avira, Bitdefender, Comodo, ESET, F-Secure, Kaspersky, Malwareby
...继续阅读
(19)
发表于
2017-03-22 19:50:00
蚂蚁分类getshell
from:90sec/member/include/inc_shop.phpif($if_corp == 1){
//???????????
if($ac == 'base'){
if(empty($tname)) write_msg('','?m=shop&type;=corp&error;=39');
if(empty($areaid)) write_msg('','?m=shop&type;=corp&error;=40');
$db -> query("UPDATE `{$db_mymps}member` SET tname='$tname',catid='$catids',areaid='$areaid',introduce='$introduce',address='$address',busway='$busway',mappoint='$mappoint',msn='$msn',web='$web' $where AND if_corp = '1'");
write_msg('','?m=shop&type;=co
...继续阅读
(23)
发表于
2017-03-22 02:41:00
S2-046漏洞调试及初步分析
免责申明：文章中的工具等仅供个人测试研究，请在下载后24小时内删除，不得用于商业或非法用途，否则后果自负0x00 漏洞介绍S2-046漏洞和S2-045漏洞非常相似，都是由报错信息带入了buildErrorMessage这个方法造成的。 但是这次存在两个触发点。Content-Length 的长度值超长Content-Disposition的filename存在空字节0x01 漏洞分析Content-Length 的长度值超长这个漏洞需要在strust.xml中加入才能触发。触发漏洞的代码在 JakartaStreamMultiPartRequest类中，processUpload函数处理了content-length长度超长的异常，导致问题触发。private void processUpload(HttpServletRequest request, String saveDir)
throws Exception {
// Sanity check that the request is a multi-part/form-data request.
if (ServletFileUpload.isMultipartContent(request)) {
// Sanity check on request size.
...继续阅读
(45)
发表于
2017-03-20 14:45:06
fastjson 远程代码执行漏洞分析
form:http://javaweb.org/?p=1855最近发现fastjson在1.2.24以及之前版本存在远程代码执行高危安全漏洞，为了保证系统安全，请升级到1.2.28/1.2.29或者更新版本。官方公告：https://github.com/alibaba/fastjson/wiki/security_update_20170315这个可能存在的远程代码执行漏洞产生的原因是fastjson反序列化json字符串为java对象的时候autoType没有正确的检测处理。参照：https://github.com/alibaba/fastjson/commit/d52085ef54b32dfd963186e583cbcdfff5d101b5触发漏洞需要构造一个特殊的json对象，这种应用场景多出现在C/S接口交互。公告中说道："安全升级包禁用了部分autotype的功能，也就是"@type"这种指定类型的功能会被限制在一定范围内使用。"当反序列化一个特殊的json字符串为java对象时可以实例化”任意“(有几个类如Thread在黑名单除外)的java对象并调用部分的java方法。比如序列号如下json字符串(键包含了"@type" JsonTypeInfo类中的注解)时,fastjson会创建一个java对象实例:String json = "{\"@type\":\"ja
...继续阅读
(52)
发表于
2017-03-07 13:42:00
Struts2漏洞预警(S2-045)
漏洞简介Struts2是一个基于MVC设计模式的Web应用框架，它本质上相当于一个servlet，在MVC设计模式中，Struts2作为控制器(Controller)来建立模型与视图的数据交互。Struts2框架存在多个远程代码执行（S2-005、S2-009、S2-013、S2-016、S2-019、S2-020、S2-037、devmode），恶意攻击者可利用漏洞直接获取应用系统的Webshell，甚至获取操作系统以及数据库的权限。漏洞编号：S2-045CVE编号：CVE-2017-5638漏洞类型：远程代码执行漏洞级别：高危漏洞风险：黑客通过利用漏洞可以实现远程命令执行。影响版本：struts2.3.5 – struts2.3.31 , struts2.5 – struts2.5.10漏洞分析恶意用户可在上传文件时通过修改HTTP请求头中的Content-Type值来触发该漏洞，进而执行系统命令。漏洞关键点：1.基于Jakarta（Jakarta Multipart parser）插件的文件上传功能2.恶意攻击者精心构造Content-Type的值通过版本比对定位漏洞原因：1.coresrcmainjavaorgapachestruts2dispatchermultipartMultiPartRequestWrapper.java2.coresrcmainjavaorgapa
...继续阅读
(15)
发表于
2017-03-05 02:15:00
Semcms v2.1 php诸多问题
Semcms简介SemCms是一套开源外贸企业网站管理系统，主要用于外贸企业，兼容IE、Firefox 等主流浏览器。SemCms使用php和vbscript语言编写，结合apache或iis运行。SemCms主要从事于英文网站建设,外贸网站建设,外贸网站制作,外贸网站源码开发。 SemCms采用国际通用utf-8编码编写。SemCms非常适合在外贸企业，电子商务互联网应用上使用，2009年12月首次发布以来，SemCms依靠出色的用户体验和领先的技术不断扩大外贸场占有率，目前在国内已经成为最受欢迎的英文外贸网站之一。主要问题：1.这套系统的后台路径是右四个随机字符生成的，爆破总数量有四十多万，比一般默认后台路径的系统相对来说要安全一点。但如果要爆的话，只是时间问题。
2.后台cookie登录处存在注入，可以任意用户登录。
3.前台sql注入
4.后台任意文件上传
5.后台sql注入1.后台路径暴力破解install/index.php$ht_filename="";
for ($i = 1; $i <= 4; $i++) {
$ht_filename.= chr(rand(97, 122));
;}
rename('../Admin', '../'.$ht_file
...继续阅读
(23)
发表于
2017-03-04 01:50:00
MDwiki <= v0.6.2 DomXSS Vulnerability
（MDwiki是一个完全使用 HTML5/Javascript 技术构建，完全运行在客户端的 Wiki/CMS 系统。无需专门的服务器软件，只需将 mdwiki.html 上传到你存放 markdown 文件的目录。）问题出现在程序获取 location.hash 值（正常情况下为 test.md）解析后进行 ajax 请求动态加入页面中.MDwiki.min.js将压缩后的 JavaScript 解压方便调试，混淆变量暂时不管，n() ：function n() {
var b;
b = window.location.hash.substring(window.location.hash.startsWith(“#!”) ? 2 : 1), b = decodeURIComponent(b);
var c = b.indexOf(“#”); - 1 !== c ? (a.md.inPageAnchor = b.substring(c + 1), a.md.mainHref = b.substring(0, c)) : a.md.mainHref = b
}变量 b 获取 location.hash #! 后的值并 URLDecode ，随后赋值给 a.md.mainHref 。ajax getURLvar d = {
...继续阅读
(23)
发表于
2017-03-03 22:28:00
蝉知getshell
from90sec漏洞文件:/system/module/file/model.phppublic function pasteImage($data, $uid)
{
$data = str_replace('"', '"', $data);
if(!$this->checkSavePath()) return false;
ini_set('pcre.backtrack_limit', strlen($data));
preg_match_all('//U', $data, $out);
foreach($out[3] as $key => $base64Image)
{
$imageData = base64_decode($base64Image);
$imageSize = array('width' => 0, 'height' => 0);
$file['id'] = $key;
$file['extension'] = $out[2][$key];
$file['size'] = strlen($image
...继续阅读
(45)
发表于
2017-03-02 00:53:00
DokuWiki fetch.php SSRF漏洞与tok安全验证绕过分析
关于DokuWikiDokuWiki是一个开源wiki引擎程序，运行于PHP环境下。DokuWiki程序小巧而功能强大、灵活，适合中小团队和个人网站知识库的管理。漏洞简介DokuWiki最新 2016-06-26a版本存在一个SSRF漏洞，当DokuWiki fetch.php允许下载外部资源时（fetchsize不为零），外部攻击者可以通过猜解tok绕过安全验证，请求服务器内网资源。漏洞分析DokuWiki fetch.php文件允许下载外部文件，外部文件地址传递给参数media，但是在请求时候有tok安全校验，请求如下：/dokuwiki/lib/exe/fetch.php?media=http://192.168.141.128:80/test.php?test.jpg&tok;=0f35df安全校验在checkFileStatus()函数中，如图：由上图中可见，tok安全校验就是把$media、$width（不传递值为空）和$height（不传递值为空）三个变量在media_get_token()函数中计算一下，然后把结算结果和tok参数比对，只有比对一致才能通过校验，继续看media_get_token()函数，如图：由上图中可见，media_get_token()函数把$media、$width和$height三个变量值拼接起来，再加上auth_cookiesalt()
...继续阅读
(18)
发表于
2017-03-02 00:13:00
wordpress相册插件NextGEN Gallery存在SQL Injection Vulnerability
发表于
2017-02-27 10:58:00
Linux Kernel 4.4.0 (Ubuntu) - DCCP Double-Free Privilege Escalation
//
// EDB Note: More information ~ http://seclists.org/oss-sec/2017/q1/471
//
// A proof-of-concept local root exploit for CVE-2017-6074.
// Includes a semireliable SMAP/SMEP bypass.
// Tested on 4.4.0-62-generic #83-Ubuntu kernel.
// https://github.com/xairy/kernel-exploits/tree/master/CVE-2017-6074
//
// Usage:
// $ gcc poc.c -o pwn
// $ ./pwn
// [.] namespace sandbox setup successfully
// [.] disabling SMEP & SMAP
// [.] scheduling 0xffffffff81064550(0x406e0)
// [.] waiting for the timer to execute
// [.] done
// [.] SMEP & SMAP should be off now
// [.] getting root
// [.] executing 0x40204
...继续阅读
(22)
发表于
2017-02-25 09:42:02
74cms任意用户密码修改
from [[90sec]][10310]
[10310]: https://forum.90sec.org/forum.php?mod=viewthread&tid;=10310 "90sec"
这个任意用户密码修改比较垃圾，随便讲一下
```php
public function user_setpass(){
if(IS_POST){
$retrievePassword = session('retrievePassword');
if($retrievePassword['token'] != I('post.token','','trim')) $this->error('非法参数！');
$user['password']=I('post.password','','trim,badword');
!$user['password'] && $this->error('请输入新密码！');
if($user['password'] != I('post.password1','','trim,badword')) $this->error('两次输入密码不相同，请重新输入！');
$passport = $this->_user_server();
i
...继续阅读
(12)
发表于
2017-02-21 01:17:00
74cms前台某处Getshell漏洞（SSTI）
from：90sec这是一个服务端模板注入漏洞。Application/Home/Controller/MController.class.phpphp
namespace Home\Controller;
use Common\Controller\FrontendController;
class MController extends FrontendController{
public function index(){
if(!I('get.org','','trim') && C('PLATFORM') == 'mobile' && $this-apply['Mobile']){
redirect(build_mobile_url());
}
$type = I('get.type','android','trim');
$android_download_url = C('qscms_android_download')?C('qscms_android_download'):'';
$ios_download_url = C('qscms_ios_download')?C('qscms_ios_download'):
...继续阅读
(36)
发表于
2017-02-20 17:17:49
74cms前台某处Getshell漏洞（SSTI）
发表于
2017-02-18 10:21:00
网奇cms注入
```asp
private void xaef3235cdd23255e()
{
string text = base.Server.UrlDecode(base.Request.Form["cid"]);
while (true)
{
IL_3E0:
string str = base.Server.UrlDecode(base.Request.Form["aid"]);
string text2 = "{\"result\":";
bool flag;
string[] array;
if (string.IsNullOrEmpty(text))
{
if (false)
{
break;
}
goto IL_26;
}
...继续阅读
(24)
发表于
2017-02-17 11:07:54
seacms最新版前台getshell
cms版本：6.45直接上代码function parseIf($content){
if (strpos($content,'{if:')=== false){
return $content;
}else{
$labelRule = buildregx("{if:(.*?)}(.*?){end if}","is");
$labelRule2="{elseif";
$labelRule3="{else}";
preg_match_all($labelRule,$content,$iar);
$arlen=count($iar[0]);
$elseIfFlag=false;
for($m=0;$m<$arlen;$m++){
$strIf=$iar[1][$m];
$strIf=$this->parseStrIf($strIf);
...继续阅读
(14)
发表于
2017-02-15 11:10:00
ntfs-3g - Unsanitized modprobe Environment Privilege Escalation
```bash
Source: https://bugs.chromium.org/p/project-zero/issues/detail?id=1072
ntfs-3g is installed by default e.g. on Ubuntu and comes with a
setuid root program /bin/ntfs-3g. When this program is invoked on a
system whose kernel does not support FUSE filesystems (detected by
get_fuse_fstype()), ntfs-3g attempts to load the "fuse" module using
/sbin/modprobe via load_fuse_module().
The issue is that /sbin/modprobe is not designed to run in a setuid
context. As the manpage of modprobe explicitly points out:
The MODPROBE_OPTIONS environment variable can also be used
to pass argume
...继续阅读
(23)
发表于
2017-02-04 23:36:07
WordPress REST API 内容注入漏洞
1.漏洞信息：WordPress是一个以PHP和MySQL为平台的自由开源的博客软件和内容管理系统。在4.7.0版本后，REST API插件的功能被集成到WordPress中,由此也引发了一些安全性问题。近日，一个由REST API引起的影响WorePress4.7.0和4.7.1版本的漏洞被披露，该漏洞可以导致WordPress所有文章内容可以未经验证被查看，修改，删除，甚至创建新的文章，危害巨大。2.漏洞影响版本：WordPress 4.7.0 WordPress 4.7.13.复现环境:Apache2.4PHP 7.0WordPress 4.7.14.复现过程:1.安装WordPress并配置REST API①配置Apache+PHP+Mysql的运行环境，下载含有漏洞版本的WordPress(https://wordpress.org/wordpress-4.7.1.tar.gz)并安装。②加载Apache的rewrite模块。在Apache的配置文件中添加LoadModulerewrite_module /usr/lib/apache2/modules/mod_rewrite.so并在主配置文件中设置对应的WEB目录的AllowOverride为All③设置WordPress站点为固定链接在Settings->Permalinks中的Common Settings设置为非
...继续阅读
(18)
发表于
2017-02-04 15:36:07
WordPress REST API 内容注入漏洞
发表于
2017-02-01 10:03:00
opensns最新版前台getshell
from [90sec](https://forum.90sec.org/forum.php?mod=viewthread&tid;=10250 "90sec")
我们先看漏洞触发点：
在/Application/Weibo/Controller/ShareController.class.php中第20行：
```php
public function doSendShare(){
$aContent = I('post.content','','text');
$aQuery = I('post.query','','text');
parse_str($aQuery,$feed_data);
if(empty($aContent)){
$this->error(L('_ERROR_CONTENT_CANNOT_EMPTY_'));
}
if(!is_login()){
$this->error(L('_ERROR_SHARE_PLEASE_FIRST_LOGIN_'));
}
$new_id = send_weibo($aContent, 'share', $feed_data,$feed_data['
...继续阅读
(18)