PHPYUN云人才系统持久型XSS

2014-05-15T00:00:00
ID SSV:93983
Type seebug
Reporter Root
Modified 2014-05-15T00:00:00

Description

简要描述:

可盲打管理员,演示站已验证

详细说明:

phpyun云人才系统,默认自带一个kindeditor编辑器,而编辑器自带的演示文件并没有删除。通过演示文件,我们可以上传.html后缀的文件,其中包含任意javascript代码,让管理员访问可盲打管理员cookie。 位置在 data/kindeditor/php/upload_json.php中:

<img src="https://images.seebug.org/upload/201405/12154429cf8796ac52070f8a8a2e7c96070e64f8.jpg" alt="03.jpg" width="600" onerror="javascript:errimg(this);">

不过有几点要说明的。 01.如果kindeditor目录下不存在attached目录的话,没法真正上传成功。但只要管理员在后台发表过文章(基本上只要这个站是活的),就会有这个目录。 02.如果attached目录下没有file目录的话,可以先访问data/kindeditor/php/file_manager_json.php?dir=file创建这个目录。

漏洞证明:

单说不可信,我个使用phpyun的系统做试验吧~ 当然是演示站:http://www.hr135.com/ 先访问http://www.hr135.com/data/kindeditor/php/file_manager_json.php?dir=file看看是否有file这个目录,没有则创建。

<img src="https://images.seebug.org/upload/201405/12155302ba8829a5495d1e965ef882832b8477ce.jpg" alt="04.jpg" width="600" onerror="javascript:errimg(this);">

再本地构造上传表单:

None

上传成功,返回地址:

<img src="https://images.seebug.org/upload/201405/121554575a17e3d2001cd4369ac6fe1b96e6853f.jpg" alt="05.jpg" width="600" onerror="javascript:errimg(this);">

我上传了一个html文件,里面包含了弹窗的javascript代码。访问弹出了:

<img src="https://images.seebug.org/upload/201405/121555433803a80642b8420810f0c22fa7e27d67.jpg" alt="06.jpg" width="600" onerror="javascript:errimg(this);">

地址在这:http://www.hr135.com/data/kindeditor/attached/file/20140512/20140512153831_12960.html 这只是弹个窗,如果是盲打或者钓鱼,后果十分严重。