MCMS存在命令执行漏洞【前台】

## 漏洞原理
在`net.mingsoft.basic.action.web.EditorAction#editor`这里我们可以通过传json控制ueditor的配置，同时还可以上传文件
![输入图片说明](https://images.gitee.com/uploads/images/2022/0116/013453_8814ec83_10308258.png "屏幕截图.png")
在`com.mingsoft.ueditor.MsUeditorActionEnte`r的构造方法中会将我们传入的json配置存入到配置类中，相当于我们可以任意操控ueditor的配置
![输入图片说明](https://images.gitee.com/uploads/images/2022/0116/013515_fc6e4340_10308258.png "屏幕截图.png")
接下来，我们可以利用这一点，去修改ueditor的配置的同时，上传文件，传入如下配置。修改图片上传路径为`/template/1/default/{time}`，同时将允许的后缀多加一个`.htm`
```
{videoUrlPrefix:'',fileManagerListPath:'',imageMaxSize:204800000,videoMaxSize:204800000,fileMaxSize:204800000,fileUrlPrefix:'',imageUrlPrefix:'',imagePathFormat:'/template/1/default/{time}',filePathFormat:'/upload/1/cms/content/editor/{time}',videoPathFormat:'/upload/1/cms/content/editor/{time}',"imageAllowFiles":[".png", ".jpg", ".jpeg", ".gif", ".bmp",".htm"]}
```
同时传一个文件
![输入图片说明](https://images.gitee.com/uploads/images/2022/0116/013557_84359141_10308258.png "屏幕截图.png")
发包看看执行过程，如刚才分析的那样，在`com.mingsoft.ueditor.MsUeditorActionEnter`的构造方法中，将get传入的json配置解析，并保存到配置类中
![输入图片说明](https://images.gitee.com/uploads/images/2022/0116/013615_a783d7cf_10308258.png "屏幕截图.png")
在`exec`方法中，调用`invoke`执行上传代码
![输入图片说明](https://images.gitee.com/uploads/images/2022/0116/013633_715467b9_10308258.png "屏幕截图.png")
跟进`invoke`方法，在54行获取配置，55行调用上传代码。54行获取的配置我们可以通过get传入json参数进行修改。
![输入图片说明](https://images.gitee.com/uploads/images/2022/0116/013651_cf8ac8d9_10308258.png "屏幕截图.png")
到这里，我们就实现了任意目录上传任意文件，接下来看怎么rce，我们刚才通过改配置文件将文件上传到了`/template/1/default/{time}`，回显给出了上传的文件路径，之所以要上传到这个路径，就是为了跟后面模板渲染组合构成rce。思路是，先上传一个恶意模板，然后触发恶意模板渲染，造成rce。
![输入图片说明](https://images.gitee.com/uploads/images/2022/0116/013705_c79be6c3_10308258.png "屏幕截图.png")
找到`net.mingsoft.cms.action.web.MCmsAction#search`方法，发现其中可以控制渲染的模板文件，传入tmpl参数即可
![输入图片说明](https://images.gitee.com/uploads/images/2022/0116/013719_20d54559_10308258.png "屏幕截图.png")
通过get传入tmpl参数，触发恶意模板渲染，发现计算器弹出，RCE验证成功
![输入图片说明](https://images.gitee.com/uploads/images/2022/0116/013737_20cd0b5d_10308258.png "屏幕截图.png")

GVP 铭飞/MCMS

内容风险标识

评论 (1)

GVP铭飞/MCMS

内容风险标识