Scripteen免费图床脚本1.2 Cookie密码抓取漏洞

先来了解一下这个漏洞的由来。Scripteen Free Image Hosting Script V1.2.* 这套免费图床程序曾被不少小型网站广泛使用。然而，安全圈内众所周知，它存在一个极为危险的Cookie注入漏洞——攻击者无需任何身份验证，即可直接获取管理员的账户与密码。

Scripteen Free Image Hosting Script V1.2.* (Cookie) 管理员密码获取漏洞详细分析

该漏洞的攻击效果非常直接：只要目标站点运行的是V1.2.*版本，攻击者通过构造一个精心设计的HTTP请求，就能将管理员后台的登录凭证轻松提取出来。整个过程甚至不需要复杂操作，完全属于脚本级别的攻击。

漏洞根源究竟在哪里？问题出在后台文件 admin/settings.php 上。当攻击者向该页面发送请求时，只要在Cookie中设置 cookid=1，服务器就会将管理员的用户名和密码以明文形式直接返回给客户端。没错，你没有看错——既没有校验来源，也没有实施任何访问控制。

具体如何实现？接下来我们来看关键技术细节。

攻击原理与数据提取流程

攻击步骤大致分为三步：

• 第一步，构造一个HTTP GET请求，目标路径指向 /admin/settings.php。
• 第二步，在请求头中插入恶意Cookie：Cookie: cookid=1。
• 第三步，解析服务器返回的HTML响应，从 input 标签中提取 value 属性的值——第一个值是管理员用户名，第二个值是密码。

从技术角度来看，该漏洞利用了服务器端对Cookie的盲目信任。开发者可能原本意图用这个Cookie来判断“管理员是否已登录”，但糟糕的是，它直接暴露了配置页面的敏感数据。攻击者只需一个简单的正则表达式 |value="(.*)"|siU 就能精准提取所有关键字段。

这里需要特别说明：value 字段的提取顺序至关重要。按照HTML结构，admin 输入框在前，password 输入框在后，因此正则匹配到的第一个结果是用户名，第二个是密码。如果顺序搞错，提取到的数据就会完全错误。

攻击示例与适用条件

假设目标站点为 www.example.com，且脚本安装在根目录。攻击者构造的请求包大致如下：

GET /admin/settings.php HTTP/1.0
Host: www.example.com
Cookie: cookid=1
Connection: Close

如果目标返回的页面中包含类似 和 的内容，那么漏洞基本宣告成功。需要注意的是，只要目标不是最新修复版本，且管理员未修改默认的settings.php路径，该攻击的成功率极高。

当然，也存在失败的情况。例如目标站点已经升级了补丁，或者管理员手动对 admin/settings.php 做了访问限制，此时攻击请求只会返回空白或错误页面。但从实际渗透测试经验来看，这类旧版图床程序被遗忘在角落中的概率并不低。

总结与安全建议

这个案例再次印证了一个经典的安全原则：永远不要信任客户端传入的任何数据。Cookie、Referer、User-Agent——这些HTTP头中的信息，攻击者可以随意篡改。任何基于这些字段进行权限判断的后台接口，都如同把钥匙挂在门外。

对于仍在运行Scripteen这套程序的站点管理员，建议立即检查版本号，并尽快升级或迁移至更安全的图床方案。毕竟，谁也不希望自己的后台密码被一个简单的HTTP请求就轻松获取。