### 简要描述：
包括多个存储型XSS，越权
### 详细说明：
1.首先来看存储型XSS漏洞，这个漏洞的根源在于mao10cms对于富文本的过滤函数不完善，我们来看mao10cms的过滤策略。
```
function mc_remove_html($text, $type = 'html') {
if($type=='all') {
$text = nl2br($text);
$text = real_strip_tags($text);
$text = addslashes($text);
$text = trim($text);
} else {
// 无标签格式
$text_tags = '';
//只保留链接
$link_tags = '<a>';
//只保留图片
$image_tags = '<img>';
//只存在字体样式
$font_tags = '<i><b><u><s><em><strong><font><big><small><sup><sub><bdo><h1><h2><h3><h4><h5><h6>';
//标题摘要基本格式
$base_tags = $font_tags . '<p>
<hr><a><img><map><area><pre><code><q><blockquote><acronym><cite><ins><del><center><strike>';
//兼容Form格式
$form_tags = $base_tags . '<form><input><textarea><button><select><optgroup><option><label><fieldset><legend>';
//内容等允许HTML的格式
$html_tags = $base_tags . '<ul><ol><li><dl><dd><dt><table><caption><td><th><tr><thead><tbody><tfoot><col><colgroup><div><span><object><embed><param>';
//专题等全HTML格式
$all_tags = $form_tags . $html_tags . '<!DOCTYPE><meta><html><head><title><body><base><basefont><script><noscript><applet><object><param><style><frame><frameset><noframes><iframe>';
//过滤标签
$text = real_strip_tags($text, ${$type . '_tags'});
// 过滤攻击代码
if ($type != 'all') {
// 过滤危险的属性，如：过滤on事件lang js
while (preg_match('/(<[^><]+)(ondblclick|onclick|onload|onerror|unload|onmouseover|onmouseup|onmouseout|onmousedown|onkeydown|onkeypress|onkeyup|onblur|onchange|onfocus|action|background|codebase|dynsrc|lowsrc)([^><]*)/i', $text, $mat)) {
$text = str_ireplace($mat[0], $mat[1] . $mat[3], $text);
}
while (preg_match('/(<[^><]+)(window\.|javascript:|js:|about:|file:|document\.|vbs:|cookie)([^><]*)/i', $text, $mat)) {
$text = str_ireplace($mat[0], $mat[1] . $mat[3], $text);
}
}
}
return $text;
};
```
2.可以看出mao10cms过滤了很多危险的标签，事件等。但是对标签和事件的过滤还是不完整，可以用embed和object标签进行绕过。以互动社区----新建话题为例，同样的问题多处存在
[<img src="https://images.seebug.org/upload/201510/13120624060705668e143d38ecc732635181c2b7.png" alt="1.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201510/13120624060705668e143d38ecc732635181c2b7.png)
新建话题的过程中，进行抓包。修改其中的content字段为
```
%3Cobject%20data%3D%22data%3Atext%2fhtml%3Bbase64%2CPHNjcmlwdD5hbGVydChkb2N1bWVudC5jb29raWUpPC9zY3JpcHQ%2b%22%3E%3C%2fobject%3E
```
该段payload，是对object标签进行urlencode编码之后的结果。
[<img src="https://images.seebug.org/upload/201510/131207492a2ab71cdd71fb3635fb421417a0763d.png" alt="3.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201510/131207492a2ab71cdd71fb3635fb421417a0763d.png)
3.然后可以看到添加的话题
[<img src="https://images.seebug.org/upload/201510/13120823c8a07d844eb5a9708a9dc48c5d498dbe.png" alt="2.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201510/13120823c8a07d844eb5a9708a9dc48c5d498dbe.png)
4.再来越权漏洞，定位到文件
do/cart_delete.php文件
```
<?php
require 'functions.php';
if(mc_user_id()) :
if($_POST['id']>0 && $_POST['url']) :
$db->where('id',$_POST['id']);
$cart = $db->getOne('rank_to_pro');
if($cart['id']>0) :
if($cart['package']>0) :
$db->where('package',$cart['package']);
else :
$db->where('id',$cart['id']);
endif;
if($db->delete('rank_to_pro')) :
mc_update_stock($cart['pro_id'],$cart['parameter'],1);
$url = $_POST['url'].'&showcart=1&done=删除成功';
else :
$url = $_POST['url'].'&showcart=1&done=删除失败';
endif;
else :
$url = mc_option('site_url').'?done=操作参数有误&showcart=1';
endif;
else :
$url = mc_option('site_url').'?done=操作参数有误&showcart=1';
endif;
else :
$url = mc_option('site_url').'?m=user&a=login&done=请先登录';
endif;
Header("Location:$url");
?>
```
可以看出这里mao10cms只是验证了是否登录，而没有验证cart是否属于该用于，没有对所有权进行验证。这就有越权删除他人cart的漏洞
5.同样的越权漏洞还有，do/comment_delete.php
```
<?php
require 'functions.php';
if(mc_user_id()>0) :
if($_GET['id']>0) :
$db->where('id',$_GET['id']);
$comment = $db->getOne('comments');
if($comment['id']>0) :
$db->where('id',$_GET['id']);
if($db->delete('comments')) :
$url = mc_option('site_url').'?m=shop&a=topic&id='.$comment['topic_id'].'&done=删除成功';
else :
$url = mc_option('site_url').'?m=shop&a=topic&id='.$comment['topic_id'].'&done=删除失败';
endif;
else :
$url = mc_option('site_url').'?done=参数错误';
endif;
else :
$url = mc_option('site_url').'?done=参数错误';
endif;
else :
$url = mc_option('site_url').'?m=user&a=login&done=请先登录';
endif;
Header("Location:$url");
?>
```
和上面一样，可以越权删除他人的comment。
### 漏洞证明：
[<img src="https://images.seebug.org/upload/201510/13120823c8a07d844eb5a9708a9dc48c5d498dbe.png" alt="2.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201510/13120823c8a07d844eb5a9708a9dc48c5d498dbe.png)
越权的就不截图的，相信程序员懂得。截图的话不好比较，麻烦
京公网安备 11010502034610号
暂无评论