记一次靶机漏洞的getshell逻辑代码分析过程

记一次靶机漏洞的getshell逻辑代码分析过程

首先是parmas变量类型函数，指向useraccount,实际上看到JcResetPass_checkSafeInfo.action

是用来校验的地址

那么实际上，我们只需要看这里，初始化变量type，如果data的结果为空，

var _processing = false; var type = "0"; var submitType;  function change(type){  if(type == 0){   $('tr.changeJsp').show();   $('tr.orgQuestion').hide();   $('tr.orgName').hide();   $('tr.resetPass').hide();   $('tr.ver').hide();   submitType = 0;  }else if(type == 1){   $('tr.changeJsp').hide();   $('tr.orgQuestion').show();   $('tr.orgName').hide();   $('tr.resetPass').hide();   $('tr.ver').show();   $('tr.orgQuestion#one').after($('tr.ver'));      refresh();   submitType = 1;  }else if(type == 2){   $('tr.changeJsp').hide();   $('tr.orgQuestion').hide();   $('tr.orgName').show();   $('tr.resetPass').hide();   $('tr.ver').show();   $('tr.orgName#two').after($('tr.ver'));   refresh();   submitType = 2;  }  }

其中最重要的就是类别，也就是说userAccount参数存在的时候，需要回答问题

那么由type参数分别控制验证问题的结果

我们只需要，在type默认是1的，我们看看正确实际上就是0

把type直接改成0

即可绕过重置

改成type还是错误，为什么呢，0不是已经成功了吗，为什么还是回答错误呢，接下来我们还是需要再回到代码段分析，

var _processing = false; var type = "0"; var submitType;  function change(type){  if(type == 0){   $('tr.changeJsp').show();   $('tr.orgQuestion').hide();   $('tr.orgName').hide();   $('tr.resetPass').hide();   $('tr.ver').hide();   submitType = 0;  }else if(type == 1){   $('tr.changeJsp').hide();   $('tr.orgQuestion').show();   $('tr.orgName').hide();   $('tr.resetPass').hide();   $('tr.ver').show();   $('tr.orgQuestion#one').after($('tr.ver'));      refresh();   submitType = 1;  }else if(type == 2){   $('tr.changeJsp').hide();   $('tr.orgQuestion').hide();   $('tr.orgName').show();   $('tr.resetPass').hide();   $('tr.ver').show();   $('tr.orgName#two').after($('tr.ver'));   refresh();   submitType = 2;  }  }

从这里我们可以明确的知道，1是错误的，0是正确的，再看看关键代码

这里相当于是function函数传入的data参数对象

Data就是装入的parmas类型参数，那么这里做了一个if else，最关键的就是success,这段代码明显是有问题的

他的意思是说，当我提交去验证parmas类型去验证答案的时候这里result结果为空，依然会执行success，，那么就很好解释了为什么填入type还是0，为什么还是错误，那么我们就利用代码的缺陷去绕过任意重置密码，即可

这时候我们需要注意的就是把type改成0，然后把result的结果改成null即可绕过，因为result如果出错，还是会回到1的状态，也就是这里,成功重置密码后getshell