漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-052911
漏洞标题：程氏舞曲储存型xss（3）附后台getshell
相关厂商：chshcms.com
漏洞作者： roker
提交时间：2014-03-06 12:02
修复时间：2014-06-04 12:02
公开时间：2014-06-04 12:02
漏洞类型：xss跨站脚本攻击
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-03-06： 细节已通知厂商并且等待厂商处理中
2014-03-06： 厂商已经确认，细节仅向厂商公开
2014-03-09： 细节向第三方安全合作伙伴开放
2014-04-30： 细节向核心白帽子及相关领域专家公开
2014-05-10： 细节向普通白帽子公开
2014-05-20： 细节向实习白帽子公开
2014-06-04： 细节向公众公开
简要描述：
没有过滤完全。。
详细说明：
官方修补的还不是很完美呢，
黑盒测试下，在上次添加文章处
提交 <img src =x onerror=""> <script>
后台查看源码 内容已经没有了
提交 <img>
后台查看源码 有 <img>
提交 onerror
后台 看下 出现了 onerror
那么，基本可以确定 是判断 <>内 是否存在 script onerror onclick。。。等关键字。
这样就很好办了， 找到一个位于html 标签属性内的可控点 就行了
当然 还要 ""闭合，然而在文章标题处输入 " 发现"被过滤成 \"了,
经过一轮 fuzzing，发现 在 添加专题处
抓包 修改cs_pic 值为
成功alert
当然 仅仅是alert还是不够的，远程加载js才是王道。。。。
应为对 单引号的过滤 所以可以类似于这样
收到cookie，打到后台
getshell的话，iis6下解析漏洞 模板名改为 xxx.php;即可
漏洞证明：
修复方案：
过滤规则改下。
版权声明：转载请注明来源 roker@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2014-03-06 16:13
厂商回复：
非常感谢~！
已经修复~
最新状态：
暂无