社区首页 › 漏洞情报 › oecms 存储型 xss

凡火火。 发表于 2015-3-12 23:40:49

oecms 存储型 xss

没有对文件的访问做验证，并且其中有一个参数在最后转义了，看了一下用oecms的网站挺多的；此xss用起来也比较方便，直接post数据，前台直接触发，后端也没做csrf处理，这也增大了xss的威力。（没错在乌云偷的）
Ps目前3月3日官方对此漏洞进行了修复
造成xss的的两个原因：



（1）对admincp下的文件访问验证有问题



（2）有一个参数开始过滤了，最后又用stripslashes还原了





问题出现在admincp/frendlink.php文件的action_saveadd()函数



args从_validAdd()函数传入

public function action_saveadd() {
      $args = $this->_validAdd();
      
      $model = parent::model('friendlink', 'am');
      $result = $model->doAdd($args);
      unset($model);
      if (true === $result) {
            $this->log('friendlink_add', '', 1);
            XHandle::halt("添加成功", $this->cpfile.'?c=friendlink', 0);
      }
      else {
            $this->log('friendlink_add', '', 0);
            XHandle::halt('添加失败', '', 1);
      }
      }

跟踪_validAdd()函数，传入的参数 'name', 'orders', 'flag', ‘remark’,’catid’在getGpc函数都做了过滤，而url传入了getArgs()函数







getArgs如果isfliter是false的话就会执行XFilter::stripArray()，此函数把转义的都还原了 ，造成了xss漏洞

public static function getArgs($value, $default=NULL, $isfliter = true) {
                if (!empty($value)) {
                        if (isset($_GET[$value])) $temp = trim($_GET[$value]);
                        if (isset($_POST[$value])) $temp = trim($_POST[$value]);
                        if ($isfliter == true) {
                              $temp = XFilter::filterStr($temp);
                        }
                        else {
                              $temp = XFilter::stripArray($temp);
                        }
                        if (empty($temp) && !empty($default)) {
                              $temp = $default;
                        }
                        return trim($temp);
                }
                else {
                        return '';
                }
      }




public static function stripArray(&$_data){
                if (is_array($_data)){
                        foreach ($_data as $_key => $_value){
                              $_data[$_key] = trim(self::stripArray($_value));
                        }
                        return $_data;
                }else{
                        return stripslashes(trim($_data));
                }
      }



直接向此文件post数据添加frendlink，前台存储xss。

契约 发表于 2015-3-13 08:00:33

一大早来抢个沙发

csadsl 发表于 2015-3-13 08:21:41

前排出售各种0day:lol

mumasec 发表于 2015-3-13 09:53:58

很不错，路过支持一下！ http://asp-muma.com/ 免杀asp木马,免杀php大马,jsp大马,aspx大马下载。

Sty，涛 发表于 2015-6-28 14:24:12

学习学习技术，加油！

perble 发表于 2015-6-28 16:44:08

支持，看起来不错呢！

ljy07 发表于 2015-6-30 21:10:55

感谢楼主的分享~

H.U.C-麦麦 发表于 2015-7-1 05:06:15

支持中国红客联盟(ihonker.org)

小路 发表于 2015-7-2 02:30:58

学习学习技术，加油！

fireworld 发表于 2015-7-3 15:32:58

还是不错的哦，顶了

查看完整版本: oecms 存储型 xss