YXCMS v1.4.7源码下载地址: http://down.chinaz.com/soft/33853.htm 运行环境要求: 可用的 web服务器(如 Apache,nginx,IIS 等) PHP...0x02 YXCMS的路由分析 先看该cms的入口文件index.php,包裹了路径protected/core.php。访问一下可以发现该CMS的路由 url/index.php?...protected/apps/一级文件夹) / (protected/apps/一级文件夹/controller/文件名前几位) / 文件名下对应的函数名 举个例子 这个地方就对应了url http://yxcms.com...6.任意文件上传漏洞(protected/apps/appmanage/controller/indexController.php) 本处的功能点在许多cms里都存在过漏洞,YXCMS也不例外。
yxcms代码审计之旅全文下载 自己接触代码审计也有一段时间了,所以写了一个系列来记录自己挖掘yxcms内容管理系统漏洞的过程,作为一个简单的教程带领大家进入代码审计的世界。 ...在我写这篇文章的时候,我们的yxcms已经出了新版本,并修复了这些漏洞。存在漏洞的老版本我放在教程的附件中,不用大家再上网上找了。 希望大家喜欢。 ...附件:yxcms代码审计之旅.rar
0x00 背景 之前有挖了yxcms app的一些漏洞,基本是后台的,打后台的知识也就发现了前台的存储XSS,然后前几天看到先知上有师傅发了前台的存储XSS结合固定会话的利用方式,我的方式不大一样,...\YXcmsApp1.4.6\protected\apps\default\controller\columnController.php 漏洞类型:存储型XSS 站点地址:http://www.yxcms.net...guestbook的tableinfo等数据的获取方式是这样的,首先yxcms会先进行如下请求,获取guestbook对应的extendid等数据信息。...friends -----------------------------115942706814498 Content-Disposition: form-data; name="webname" Yxcms...0x02 漏洞复现 在碎片列表的中进行如下的删除操作,然后使用dnslog获取SQL注入得到数据,得到数据名为yxcms。 ? POST /index.php?
访问Web服务器地址:http://192.168.10.14/yxcms/ 它是一个yxcms的站点。关于yxcms的漏洞,传送门:代码审计| yxcms app 1.4.6 漏洞集合 ?...对于yxcms我也不熟悉,之前没接触过。拿到目标第一先用御剑扫描下后台吧 ? ?...beifen.rar 发现phpinfo文件:http://192.168.10.14/phpinfo.php 发现一些比较敏感的目录,这些目录都存在目录遍历漏洞 http://192.168.10.14/yxcms.../robots.txt http://192.168.10.14/yxcms/data/ http://192.168.10.14/yxcms/public/ http://192.168.10.14/...yxcms/upload/ http://192.168.10.14/yxcms/protected/ ?
Windows 7有双网卡,也就是内外网IP 外网IP:192.168.31.129 内网IP:192.168.52.143 且此服务器存在yxcms Windows 2008只有内网网卡 内网IP:192.168.52.138...攻击过程 0x1.获取WEBSHELL 目标URL:http://192.168.31.129/yxcms/ 得知是yxcms,直接百度一把搜,找到如下文章 https://bbs.ichunqiu.com.../thread-45926-1-1.html 这里都是需要后台才可以getshell的,自己审计不太现实,故打开默认后台试试弱口令 http://192.168.31.129/yxcms/index.php...然后yxcms后台这边burp也跑出密码来了 ? 账户密码为:admin/123456,进入后台,直接上高速打POC history.pushState('', '', '/') <form action="http://192.168.31.129/<em>yxcms</em>
192.168.52.143)win2008(内网IP:192.168.52.138) win08(内网IP:192.168.52.141) 访问目标站点,http://192.168.122.142/yxcms...方法二:利用已知cms漏洞getshell 进入管理后台 显而易见,目标靶机使用了yxcms,通过百度可以查询到yxcms的目录结构,得到yxcms的后台路径:/index.php?...r=admin/index/login访问http://192.168.122.142/yxcms//index.php?r=admin/index/login ?...使用yxcms默认用户名密码,admin/123456登录后台,直接登录成功,接入管理后台页面 ? 写入webshell 在前台模板功能中我们可以直接写入一句话木马 ?...不过yxcms泄露了robots.txt ? 通过泄露的文件路径,一步一步推测找出我们上传的shell_test.php一句话木马 ? 蚁剑连接shell_test.php ?
getshell 后发现在根目录下存在yxcms 访问目录 根据前台提供信息能够进入后台管理页面 ? 百度得到该版本yxcms存在后台模版漏洞 我们在后台修改前台模版的代码,插入一句话 ?...然后配置我们的服务 sudo python reGeorgSocksProxy.py -u http://192.168.110.143/yxcms/tunnel.nosocket.php -p 9999
在编辑模板的地方,我们新增一个shell.php文件写入漏洞文件写在了:/yxcms/protected/apps/default/view/default/成功获取shell。...u http://upload.sensepost.net:8080/tunnel/tunnel.jsppython neoreg.py -u http://192.168.163.138/www.yxcms6.../stinger_client -w http://192.168.163.138/www.yxcms6.com/protected/apps/default/view/default/proxy.php
可以看到有个yxcms。 ? 后台 存在弱口令:admin 123456 ?...任意文件写入 http://192.168.8.157/yxcms/index.php?...r=admin/set/tpadd&Mname=default 目标路径: http://192.168.8.157/yxcms/protected/apps/default/view/default
在编辑模板的地方,我们新增一个shell.php 文件写入漏洞 文件写在了:/yxcms/protected/apps/default/view/default/ 成功获取shell。...http://upload.sensepost.net:8080/tunnel/tunnel.jsp python neoreg.py -u http://192.168.163.138/www.yxcms6.../stinger_client -w http://192.168.163.138/www.yxcms6.com/protected/apps/default/view/default/proxy.php
192.168.52.143 只知道一个IP,先用nmap进行扫描吧,看看开放端口,开放80和3306端口 图片 图片 扫一下存活目录,得到一个baifen.rar,down下来瞅瞅,发现是一个yxcms...的源码,不难猜测这这个80端口web服务应该就是yxcms,加了个路径发现猜想正确 图片 一个PHP网站,路径和账密都给了,直接进后台探测 在模板界面插入一句话 图片 图片 getshell
环境): 域内主机Win2K3 Metasploitable: 域控Windows 2008: 外网初探 web服务器win7的模拟外网ip(192.168.72.129),打开页面后发现是一个Yxcms...然后我们投机取巧谷歌大法搜一搜康康这个cms有没有漏洞,搜索后发现YXcms 1.4.7 存在任意文件写入 直接在这里写入一句话php木马 <?...1.SET GLOBAL general_log=‘on’; 开启日志 2.set global general_log_file=‘C:/phpstudy/www/yxcms/shell.php’;#
或者使用phpMyadmin爆破工具也能得到用户名密码 2.扫描目录,获取到网站后台路径和登录用户和密码 扫描到数据库后台 PhpMyadmin 和备份文件 beifen.rar,下载解压得到 yxcms...文件夹,是一个网站的源码,直接访问http://192.168.52.143/yxcms,发现了网站有后台路径和管理员账户泄露 GetShell 1.phpMyadmin日志Getshell 前面信息收集第一步获得的...r=admin和用户名:admin;密码:123456 登录进后台,然后发现前台模板有php文件编辑,可以直接写一句话木马进去获取shell 在刚才解压的文件夹下找到info.php的路径(/yxcms
secure_file_priv%'; NULL 不允许导入或导出 /tmp 只允许在 /tmp 目录导入导出 空 不限制目录 这里是NULL,放弃这个into outfile,尝试写日志或者利用yxcms...image-20210816233243292 蚁剑连接 连上了 image-20210816233333885 探测一下发现管理员权限还出网 image-20210816233649426 5)补充:yxcms...上线蚁剑方法 想搞yxcms可以参考我前面的文章https://www.freebuf.com/articles/web/277572.html 管理员登录需要修改r=admin yxcms的默认用户名密码是
r=admin,我们登录后台,从网上查得yxcms的后台默认密码后登陆: ? img ? img 登陆成功 发现在前台模板功能里面可以直接编辑php文件,我们一可以直接写入webshell并连接 ?...我们将全局日志开启并将保存日志的目录设为web目录 set global general_log=on;# 开启日志 set global general_log_file='C:/phpStudy/WWW/yxcms...将win7主机上的shell.exe上传到域控上 copy c:\phpstudy\www\yxcms\shell.exe \\192.168.52.138\c$ ?
差别不大,我们发现了一个备份文件,解压看一下,发现是yxcms站点的源码打包,这个cms是开源的,可以直接在搜索引擎搜它之前有没有被爆出什么漏洞。
通过扫描发现了一个备份rar,beifen.rar 解压得到yxcms ? 试试访问路径 curl -i http://192.168.33.5/yxcms/ ?...看到后台路径和账号密码 二、漏洞利用 后台GetShell 成功登陆到yxcms的后台 在模版下添加一句话木马,蚁剑连接 ? ? 成功连接 Mysql写webshell select '<?
那我就御剑上去扫描一波http://192.168.1.117/yxcms/路径下的目录,发现了有robots.txt、protected和pubic。
>' or sleep(11); getshell yxcms1.2.1 RCE 这玩意百度一下就行了,同样也是弱密码进后台。 后渗透阶段 超实用!手把手教你如何用MSF进行后渗透测试!
领取专属 10元无门槛券
手把手带您无忧上云