MetInfo多处框架缺陷 一键Getshell

首先列举所有利用到的缺陷

全局参数可被污染
无CSRF防御框架 $_GET,$_POST,
$_COOKIE请求被合并处理 特殊的XSS

框架分析(Metinfo漏洞):

(1)Metinfo框架在文件include/common.inc.php中,将$_GET,$_POST,$_COOKIE请求合并进行了处理,这意味着整个框架所有$_POST的请求都可以修改为$_GET请求,并且直接对各种全局变量进行了赋值。

(2)metinfo没有防止csrf的框架

A. XSS漏洞文件:admin/content/product/addimg.php

Metinfo payload

XSS面临的问题有:

(1)浏览器本身的XSS防御

(2)met_setcookie设置了httponly无法获取cookie

但是这个XSS比较特殊,这个XSS由两个参数合并显示

{$lang_setflashName}{$lang_marks}

所以只要拆分一个payload到两个参数中,类似Chrome本身的防护机制无法检测到这个payload。

那加载了JS之后如何使用这个JS呢?

因为$_GET,$_POST,$_COOKIE请求被合并处理,让管理员触发js打开新标签加载url,带入对应的payload,就可以完成原本需要POST请求带cookie才能完成的管理员的动作,httponly相当于摆设。

metinfo.js里的payload

攻击者首先设置

http://攻击者域名/index.php 中代码为

攻击者可以申请友情链接,管理员在后台看见之后,打开攻击者的域名,被重定向至XSS页面,从而成功添加管理员的账号。

B. 还想要GETSHELL怎么办?

先上Payload

vul.html里的内容

管理员点击我们域名之后,就会在admin/system/目录地下生成一个shell

admin/system/assert.php

这是怎么办到的呢?

关联代码:

/admin/system/olupdate.php:274行

跟踪dlfile函数

include/export.func.php:112行

调用了curl_post()

其中

$host=$met_host;
$file=$met_file;

两个全局变量都是我们可以伪造的,那么就可以用这个函数来下载我们远程服务器上的webshell了,框架里的检测也被我的payload bypass掉了。

admin/system/olupdate.php:286

行还include了我远程下载的文件,执行了其中的代码。

于是Metinfo webshell就已经生成了

​admin/system/assert.php