WonderCMS XSS-RCE 与 System Monitor 命令注入漏洞利用教程

1. 信息收集阶段

1.1 初始扫描

目标IP: 10.10.11.28

开放端口扫描结果:

• 22/tcp - OpenSSH 8.2p1 (Ubuntu Linux)
• 80/tcp - Apache httpd 2.4.41 (Ubuntu)

使用命令:

nmap -p- 10.10.11.28 --min-rate 1000 -sC -sV

1.2 目录扫描

使用feroxbuster进行目录扫描:

feroxbuster --url http://10.10.11.28/

发现关键文件:

• contact.php - 存在XSS漏洞的页面

2. WonderCMS XSS-RCE漏洞利用

2.1 漏洞背景

该漏洞参考CVE-2023-41425，是一个存储型XSS漏洞，可导致远程代码执行(RCE)。

2.2 利用步骤

1. 访问http://10.10.11.28/contact.php
2. 在"website"字段中插入XSS载荷
3. 提交表单触发XSS

2.3 获取反向Shell

通过XSS执行系统命令获取反向shell连接。

3. 获取用户凭证

在获取shell后，查找数据库凭证:

cat /var/www/sea/data/database.js

发现hash值，使用John the Ripper破解:

john --wordlist=/usr/share/wordlists/rockyou.txt hash

破解结果:

• 密码: mychemicalromance

获取用户flag:

5b1f824a93b0ea7e012b0a84fdbac2cc

4. 权限提升 - System Monitor命令注入

4.1 发现本地服务

检查本地监听端口:

netstat -lnput

发现本地运行的服务(如8080端口)。

4.2 端口转发

使用SSH将本地端口转发到目标:

ssh -L 8888:127.0.0.1:8080 amay@10.10.11.28

4.3 访问System Monitor

浏览器访问:

http://127.0.0.1:8888

使用amay账户登录:

• 用户名: amay
• 密码: mychemicalromance

4.4 命令注入漏洞利用

在log_file字段进行命令注入:

1. 对命令进行URL编码:

   chmod u+s /bin/bash
   

2. 将编码后的命令注入到log_file参数

4.5 获取root权限

执行:

/bin/bash -p

获取root flag:

4c0c7c21e39e202983ecab6d8c15f493

5. 漏洞总结

1. WonderCMS XSS-RCE漏洞:

   • 存储型XSS通过contact.php的website字段注入
   • 可升级为远程代码执行

2. System Monitor命令注入漏洞:

   • log_file参数存在命令注入
   • 通过注入chmod命令设置SUID位提升权限

6. 防御建议

1. 对WonderCMS:

   • 更新到最新版本
   • 对所有用户输入进行严格过滤和转义
   • 实现内容安全策略(CSP)

2. 对System Monitor:

   • 对用户输入进行严格验证
   • 使用白名单限制输入格式
   • 避免直接拼接用户输入到系统命令中