#!/usr/bin/python # CVE-2015-5273 + CVE-2015-5287 # CENTOS 7.1/Fedora22 local root (probably works on SL and older versions too) # abrt-hook-ccpp insecure open() usage + abrt-action-install-debuginfo insecure temp directory usage # rebel 09/2015 # ---------------------------------------- # [user@localhost ~]$ id # uid=1000(user) gid=1000(user) groups=1000(user) context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 # [user@localhost ~]$ cat /etc/redhat-release # CentOS Linux release 7.1.1503 (Core) # [user@localhost ~]$ python abrt-centos-fedora.py # -- lots of boring output, might t ...继续阅读 (24)

漏洞作者：menmen519详细说明：看了wooyun个大牛发的这个产品的漏洞，感觉版本都过低，这里我发一个8.5的版本，里面新增了webservice的相关操作 下来看代码webservice/eoffice.wsdl.php：看看里面的代码：<?php /*********************/ /* */ /* Dezend for PHP5 */ /* NWS */ /* Nulled.WS */ /* */ /*********************/ function UserLogin( $userAccount, $password ) { global $connection; global $_lang; if ( trim( $userAccount ) == "" ) { $userLoginReturn['code'] = "0x0000001"; return $userLoginReturn; } $checkUserAccountIsExsitQuery = "SELECT * FROM user WHE ...继续阅读 (43)

漏洞作者：路人甲详细说明：BOC是杭州博采网络科技股份有限公司的高端网站建设品牌，是知名的杭州网络公司。博采网络成立于2004年。我们致力于为全球精英企业提供创新、尖端、前沿的数字化营销服务。十年来始终坚守”全网价值营销服务商”的服务定位，与全球逾3000家企业建立了长期深入、互惠互信的战略合作关系，其中包括阿里巴巴、松下、吉利、华润、保利、万科、传化等知名企业。官网给出的案例太屌了：http://www.bocweb.cn/上传点：/bocadmin/j/uploadify.phpbocaiadmin是后台位置；有些站点目测管理员已经发行该漏洞修复了，但还是有大部分大部分大部分大部分存在；包括博采官网案例： 杀伤力太强了，Mask隐藏一下；第15个案例是他们官网mask 区域1.http://**.**.**/zhongxin//bocadmin/j/uploadify.php 中信银行 ___金融机构_ 2.http://**.**.**//bocadmin/j/uploadify.php__吉利上海车展 ___世界500强__ 3.http://**.**.**//bocadmin/j/uploadify.php__长业控股集团___中国民营企业500强_ 4.http://**.**.**/bocadmin/j/uploadify.p ...继续阅读 (43)

第一枚：zhidao/search.php$sort_where="where `qa_quantity`>0"; foreach($forSearchKey as $key){ $sort_where_a[]="BINARY `name` like('%$key%')"; } if(count($sort_where_a)>0){ $sort_where.=" AND (".implode(" or ",$sort_where_a).")"; $query=$db->query("SELECT `fid`,`name`,`qa_quantity` FROM `{$_pre}sort` $sort_where "); while($rs=$db->fetch_array($query)){ $sort_list[]=$rs; } }语句中把先是赋值给数组sort_where_a，然后在分割为字符串赋给变量where这本来是没有问题的，但是数组sort_where_a未初始化，结合齐 ...继续阅读 (82)

/blog/template/space/file/listbbs.phpfunction get_listbbs($rows){ global $db,$uid,$TB_pre,$Mrows,$page,$Morder,$Mdesc,$webdb,$VlogCfg; $VlogCfg[content_leng]==0 && $VlogCfg[content_leng]=120; if($page<1){ $page=1; } $min=($page-1)*$rows; $albumid && $SQL=" AND albumid='$albumid' "; $Mdesc[listbbs] || $Mdesc[listbbs]='DESC'; $Morder[listbbs] || $Morder[listbbs]="tid"; $query = $db->query("SELECT T.*,C.* FROM {$TB_pre}threads T LEFT JOIN {$TB_pre}tmsgs C ON T.tid=C.tid WHERE T.authorid='$uid' ORDER BY T.$Morder[listbbs] $Mdesc[listbbs] LIMIT $min,$rows"); while($rs = $db ...继续阅读 (25)

0x00 漏洞概述上周有一个朋友问我有没有办法在知道uc的appkey的情况下getshell，刚好我在原来看discuz代码时曾经有过几个相关的想法，但是一直没有仔细去看，接着这个机会去看了下，果然有个很好玩的代码执行漏洞。0x01 漏洞根源这个问题的根源在于api/uc.php文件中的updatebadwords方法，代码如下：function updatebadwords($get, $post) {         global $_G;           if(!API_UPDATEBADWORDS) {             return API_RETURN_FORBIDDEN;         }           $data = array();         if(is_array($post)) {             foreach($post as $k => $v) {                 $data['findpattern'][$k] = $v['findpattern'];                 $data['replace'][$k] = $v['replacement'];             }         }         $cachefile = DISCUZ_ROOT.'./uc_client ...继续阅读 (32)

首先跟踪到这个文件:modules\account.mod.phpfunction Login_callback() { $from = get('from', 'txt');//$_GET $uuid = account('ulogin')->verify($from); if ($uuid !== false) { if (meta($uuid)) { $result = account('ulogin')->login($uuid); $ref = account()->loginReferer(); $ref || $ref = '?mod=me'; $this->Messager(__('登录成功！').$result, ...继续阅读 (31)

0x00 简述之前manning在调漏洞的时候，突然发现正常登陆不上去了，当时帮忙跟了下phpcms的登陆流程。之后感觉这个流程貌似有些问题，就仔细看了下，没想到真是一个0day~~0x01 漏洞原理我们先直接看这个漏洞最根源的地方，phpsso/index.php文件所有的操作都存在严重的注入问题，这个类文件的构造函数最先调用它的父构造函数，通过auth_key来解析POST传入的data内容，解析后data中的内容会作为注册、登陆、删除用户等操作的内容依据，而这些操作都会将这些数据作为数据库查询语句使用。这个问题其实在XXX的《PHPCMS V9 最新版本配置文件未授权访问读取》中已经体现出来了，不过他仅仅只是分析了信息泄露的问题，而忽略的他利用所使用的注入问题。我们以phpsso的login流程为例来看这个问题，先看phpsso的解析数据部分的代码：if(isset($_POST['appid'])) { $this->appid = intval($_POST['appid']); } else { exit('0'); } if(isset($_POST['data'])) { parse_str(sys_auth($_POST['data'], 'DECODE', $this->applist[$this->appid ...继续阅读 (50)