搜索

[17101] 2021-08-02_通过DedeCMS学习php代码审计

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-08-02_通过DedeCMS学习php代码审计 通 过 D e d e C M S 学 习 p h p 代 码 审 计 原 创   j e l l y 1   F r e e B u f   2 0 2 1 - 0 8 - 0 2 0 x 0 0   前 言 前 言 织 梦 织 梦 ( D e d e C m s ) 也 是 一 个 国 产 内 容 管 理 系 统 ， 曾 经 爆 出 过 众 多 漏 洞 ， 甚 至 还 有 人 开 发 了 d e d e c m s 漏 洞 一 键 扫 描 器 D e d e C m s 和 P H P C M S 活 跃 的 年 代 差 不 多 ， 大 概 是 2 0 1 5 年 前 ， 目 前 也 都 少 部 分 人 在 使 用 D e d e C M S   目 前 最 新 版 是 d e d e c m s   v 5 . 7 s p 2 ， 最 后 更 新 时 间 大 概 为 2 0 1 8 年 这 里 就 不 记 录 安 装 过 程 了 ， 通 过 安 装 过 程 获 知 默 认 后 台 密 码 是 a d m i n / a d m i n 0 x 0 1   全 局 分 析 全 局 分 析 个 人 习 惯 是 对 程 序 做 一 个 比 较 明 晰 的 全 局 分 析 ， 至 少 要 知 道 程 序 的 入 口 文 件 是 什 么 流 程 ， 程 序 有 多 少 入 口 文 件 ， 对 外 部 数 据 有 什 么 全 局 处 理 方 式 等 等 对 d e d e c m s 对 全 局 分 析 时 ， 首 先 选 择 了 根 目 录 下 的 i n d e x . p h p ， 慢 慢 分 析 会 发 现 ， d e d e c m s 是 一 个 多 入 口 文 件 的 形 式 ， 不 过 每 个 入 口 文 件 的 流 程 都 大 致 相 同 。 通 过 全 局 分 析 得 知 d e d e c m s 大 致 有 3 个 主 要 功 能 ， 也 通 过 不 同 的 入 口 文 件 进 入 1 ） 网 站 前 台 首 页 ， 没 有 什 么 功 能 点 2 ） 会 员 中 心 ， 默 认 是 关 闭 该 功 能 的 ， 需 要 后 台 打 开 3 ） 管 理 员 后 台 跟 踪 前 台 跟 踪 前 台 i n d e x . p h p 的 流 程 的 流 程 首 先 跟 一 遍 i n d e x . p h p 的 流 程 ， i n d e x . p h p 首 先 会 加 载 c o m m o n . i n c . p h p ， 就 先 看 看 这 个 文 件 会 做 什 么 i n c l u d e / c o m m o n . i n c . p h p c o m m o n . i n c . p h p   做 了 很 多 程 序 的 初 始 化 工 作 ， 代 码 审 计 时 需 要 重 点 关 注 程 序 处 理 G P C 这 些 外 部 数 据 的 方 式 c o m m o n . i n c . p h p   全 局 处 理 数 据 的 代 码 ： 可 以 看 到 这 个 时 期 的 D E D E C M S 也 是 使 用 了 直 接 注 册 了 G P C 的 变 量 ， 有 可 能 存 在 变 量 覆 盖 的 问 题 u p l o a d s a f e . i n c . p h p / /     定 义 常 量 / /         检 查 G P C 数 据 是 否 为 c f g 等 系 统 定 义 变 量 C h e c k R e q u e s t ( ) / /         使 用 a d d s l a s h e s ( ) 过 滤 G P C 数 据 ， 并 注 册 G P C 数 据 到 程 序 变 量 _ R u n M a g i c Q u o t e s ( ) / /         如 果 存 在 文 件 上 传 的 变 量 ， 加 载 文 件 上 传 的 安 全 函 数 i f ( $ _ F I L E S ) { r e q u i r e _ o n c e ( D E D E I N C . ' / u p l o a d s a f e . i n c . p h p ' ) ; } / /         数 据 库 配 置 文 件 ， 里 面 是 数 据 库 账 号 密 码 相 关 变 量 信 息 r e q u i r e _ o n c e ( D E D E D A T A . ' / c o m m o n . i n c . p h p ' ) ; / /         自 动 加 载 类 库 处 理 r e q u i r e _ o n c e ( D E D E I N C . ' / a u t o l o a d . i n c . p h p ' ) ; / /         引 入 数 据 库 类 ， 这 步 会 直 接 连 接 数 据 库 ， 并 返 回 一 个 数 据 库 对 象 $ d b = $ d s q l r e q u i r e _ o n c e ( D E D E I N C . ' / d e d e s q l i . c l a s s . p h p ' ) ; / /         全 局 常 用 函 数 r e q u i r e _ o n c e ( D E D E I N C . ' / c o m m o n . f u n c . p h p ' ) ; / /           模 块 M V C 框 架 需 要 的 控 制 器 和 模 型 基 类 r e q u i r e _ o n c e ( D E D E I N C . ' / c o n t r o l . c l a s s . p h p ' ) ; r e q u i r e _ o n c e ( D E D E I N C . ' / m o d e l . c l a s s . p h p ' ) ; f o r e a c h ( A r r a y ( ' _ G E T ' , ' _ P O S T ' , ' _ C O O K I E ' )   a s   $ _ r e q u e s t ) {                 f o r e a c h ( $ $ _ r e q u e s t   a s   $ _ k   = >   $ _ v )                 {                                 i f ( $ _ k   = =   ' n v a r n a m e ' )   $ { $ _ k }   =   $ _ v ;                                 e l s e   $ { $ _ k }   =   _ R u n M a g i c Q u o t e s ( $ _ v ) ;                 } } $ $
这 里 再 关 心 下 文 件 上 传 的 安 全 函 数 i n c l u d e / u p l o a d s a f e . i n c . p h p 为 上 传 文 件 名 后 缀 的 黑 名 单 ， 后 面 具 体 分 析 限 制 的 逻 辑 为 一 些 图 片 的 M I M E 类 型 这 里 结 合 实 际 例 子 来 分 析 上 诉 代 码 ， 上 传 一 个 名 为 2 . j p g 的 正 常 文 件 ， 数 组 如 下 图 会 注 册 中 数 据 到 全 局 变 量 ， 在 实 例 中 便 会 注 册 以 下 变 量 然 后 先 看 第 一 个 文 件 上 传 的 限 制 ： 第 一 个 i f 语 句 块 ： 条 件 1 ： 即 2 . j p g ， 若 上 传 的 文 件 名 不 为 空 ， 该 条 件 为 真 $ c f g _ n o t _ a l l o w a l l $ i m t y p e s $ c f g _ n o t _ a l l o w a l l   =   " p h p | p l | c g i | a s p | a s p x | j s p | p h p 3 | s h t m | s h t m l " ; $ k e y a r r   =   a r r a y ( ' n a m e ' ,   ' t y p e ' ,   ' t m p _ n a m e ' ,   ' s i z e ' ) ; f o r e a c h ( $ _ F I L E S   a s   $ _ k e y = > $ _ v a l u e ) {         $ $ _ k e y   =   $ _ F I L E S [ $ _ k e y ] [ ' t m p _ n a m e ' ] ;         $ { $ _ k e y . ' _ n a m e ' }   =   $ _ F I L E S [ $ _ k e y ] [ ' n a m e ' ] ;         $ { $ _ k e y . ' _ t y p e ' }   =   $ _ F I L E S [ $ _ k e y ] [ ' t y p e ' ]   =   p r e g _ r e p 1 a c e ( ' # [ ^ 0 - 9 a - z . / ] # i ' ,   ' ' ,   $ _ F I L E S [ $ _ k e y ] [ ' t y p e ' ] ) ;         $ { $ _ k e y . ' _ s i z e ' }   =   $ _ F I L E S [ $ _ k e y ] [ ' s i z e ' ]   =   p r e g _ r e p 1 a c e ( ' # [ ^ 0 - 9 ] # ' , ' ' , $ _ F I L E S [ $ _ k e y ] [ ' s i z e ' ] ) ;         i f ( ! e m p t y ( $ { $ _ k e y . ' _ n a m e ' } )   & &   ( p r e g _ m a t c h ( " # . ( " . $ c f g _ n o t _ a l l o w a l l . " ) $ # i " , $ { $ _ k e y . ' _ n a m e ' } )   | |   ! p r e g _ m a t c h ( " # . # " ,   $ { $ _ k e y . ' _ n a m e ' } ) )   )         {                     i f ( ! d e f i n e d ( ' D E D E A D M I N ' ) )                 {                         e x i t ( ' N o t   A d m i n   U p l o a d   f i l e t y p e   n o t   a l l o w   ! ' ) ;                 }         }         $ i m t y p e s   =   a r r a y         (                 " i m a g e / p j p e g " ,   " i m a g e / j p e g " ,   " i m a g e / g i f " ,   " i m a g e / p n g " ,                   " i m a g e / x p n g " ,   " i m a g e / w b m p " ,   " i m a g e / b m p "         ) ;         i f ( i n _ a r r a y ( s t r t o l o w e r ( t r i m ( $ { $ _ k e y . ' _ t y p e ' } ) ) ,   $ i m t y p e s ) )         {                 $ i m a g e _ d d   =   @ g e t i m a g e s i z e ( $ $ _ k e y ) ;                 i f   ( ! i s _ a r r a y ( $ i m a g e _ d d ) )                 {                         e x i t ( ' U p l o a d   f i l e t y p e   n o t   a l l o w   ! ' ) ;                 }         } } $ _ F I L E S u p l o a d s a f e . i n c . p h p $ _ F I L E S $ l i t p i c   =   " / A p p l i c a t i o n s / M A M P / t m p / p h p / p h p 8 b h o X G " $ l i t p i c _ n a m e   =   " 2 . j p g " $ l i t p i c _ t y p e   =   " i m a g e / j e p g " $ l i t p i c _ s t z e   =   " 4 " i f (             ! e m p t y ( $ { $ _ k e y . ' _ n a m e ' } )   & &               (         p r e g _ m a t c h ( " # . ( " . $ c f g _ n o t _ a l l o w a l l . " ) $ # i " , $ { $ _ k e y . ' _ n a m e ' } )   | |   ! p r e g _ m a t c h ( " # . # " ,   $ { $ _ k e y . ' _ n a m e ' } )         )   ) {             i f ( ! d e f i n e d ( ' D E D E A D M I N ' ) ) {                         e x i t ( ' N o t   A d m i n   U p l o a d   f i l e t y p e   n o t   a l l o w   ! ' ) ;             } } $ _ F I L E S [ $ _ k e y ] [ ' n a m e ' ]
条 件 2 是 个 或 条 件 ， 满 足 其 一 即 可 条 件 2 . 1 ： 即 2 . j p g ， 若 后 缀 名 在 黑 名 单 中 该 条 件 为 真 条 件 2 . 2 ： 即 2 . j p g ， 若 没 有 符 号 ， 即 无 后 缀 文 件 ， 该 条 件 为 真 通 过 第 一 个 i f 判 断 会 进 入 第 二 个 i f 判 断 ， 常 量 未 定 义 会 直 接 退 出 程 序 。 全 局 搜 索 了 常 量 ， 如 果 是 在 后 台 模 块 ， 该 常 量 会 在 就 已 经 定 义 了 。 如 果 在 前 台 首 页 或 者 更 用 户 中 心 页 面 ， 该 变 量 没 有 定 义 所 以 第 一 个 文 件 上 传 限 制 的 是 ： 如 果 用 户 上 传 的 功 能 点 不 在 后 台 ， 上 传 的 文 件 将 会 受 到 黑 名 单 限 制 再 来 看 看 第 二 个 文 件 上 传 的 限 制 ： 若 即 i m a g e / j p e g ， 在 中 ， 则 进 入 下 一 层 判 断 。 此 时 为 上 传 的 临 时 文 件 ， 来 自 ， 临 时 文 件 将 通 过 来 获 取 图 像 信 息 ， 作 为 安 全 人 员 ， 应 该 要 对 这 个 函 数 敏 感 一 点 了 ， 识 别 到 图 像 时 ， 会 返 回 一 个 包 含 图 片 信 息 的 数 组 ， 当 传 入 的 文 件 不 为 图 像 时 ， 会 返 回 f a l s e ， 但 是 该 函 数 可 以 通 过 伪 造 文 件 头 绕 过 所 以 第 二 个 文 件 上 传 的 限 制 意 图 为 ， 当 上 传 的 文 件 M I M E 类 型 为 图 片 时 ， 将 会 通 过 二 次 验 证 传 入 的 是 否 为 图 片 综 上 ， 可 以 看 出 这 个 底 层 的 文 件 上 传 安 全 函 数 并 没 有 限 制 的 很 死 ， 大 概 的 限 制 意 思 为 ： 如 果 用 户 上 传 的 功 能 点 不 在 后 台 ， 上 传 的 文 件 将 会 受 到 黑 名 单 限 制 。 如 果 当 前 文 件 为 图 片 类 型 ， 则 会 通 过 再 次 判 断 文 件 是 否 为 图 片 类 型 。 若 上 传 的 文 件 在 后 台 ， M I M E 类 型 不 为 图 片 则 没 有 限 制 加 载 视 图 类 文 件 d e d e c m s 还 会 加 载 一 个 视 图 类 文 件 i n c l u d e / a r c . p a r t v i e w . c l a s s . p h p ， 里 面 定 义 了 一 个 视 图 类 然 后 就 会 实 例 化 一 个 视 图 加 载 类 ， 然 后 利 用 去 加 载 h t m l 这 种 静 态 模 板 ， 呈 现 到 网 页 中 。 这 里 算 是 把 视 图 视 图 和 程 序 分 开 了 至 于 具 体 怎 么 实 现 的 ， 因 为 和 代 码 审 计 相 关 不 大 ， 而 且 我 也 没 有 看 懂 ， 这 里 就 不 讲 究 它 的 逻 辑 了 小 结 整 个 流 程 下 来 感 觉 d e d e c m s 符 合 那 个 时 代 的 c m s 特 点 ， 而 且 也 是 全 局 注 册 了 外 部 变 量 。 d e d e c m s 有 特 点 之 处 在 于 使 用 视 图 类 把 h t m l 和 p h p 文 件 划 分 。 但 i n d e x . p h p 文 件 明 显 只 是 一 个 静 态 文 件 ， 没 有 较 多 功 能 的 实 现 ， 也 没 有 像 p h p c m s 那 样 i n d e x . p h p 作 为 入 口 文 件 负 责 接 收 请 求 转 发 到 其 他 功 能 代 码 中 那 程 序 中 的 功 能 到 底 是 怎 么 实 现 的 呢 ？ 最 后 黑 盒 测 试 一 下 前 台 的 功 能 点 ， 功 能 点 不 多 ， 也 明 显 看 处 前 台 是 一 个 多 入 口 处 理 ， 每 个 功 能 是 分 开 的 $ _ F I L E S [ $ _ k e y ] [ ' n a m e ' ] $ _ F I L E S [ $ _ k e y ] [ ' n a m e ' ] . D E D E A D M I N D E D E A D M I N d e d e / c o n f i g . p h p $ i m t y p e s   =   a r r a y         (                 " i m a g e / p j p e g " ,   " i m a g e / j p e g " ,   " i m a g e / g i f " ,   " i m a g e / p n g " ,                   " i m a g e / x p n g " ,   " i m a g e / w b m p " ,   " i m a g e / b m p "         ) ;         i f ( i n _ a r r a y ( s t r t o l o w e r ( t r i m ( $ { $ _ k e y . ' _ t y p e ' } ) ) ,   $ i m t y p e s ) )         {                 $ i m a g e _ d d   =   @ g e t i m a g e s i z e ( $ $ _ k e y ) ;                 i f   ( ! i s _ a r r a y ( $ i m a g e _ d d ) )                 {                         e x i t ( ' U p l o a d   f i l e t y p e   n o t   a l l o w   ! ' ) ;                 }         } $ _ F I L E S [ $ _ k e y ] [ ' t y p e ' ] $ i m t y p e s $ $ _ k e y $ _ F I L E S [ $ _ k e y ] [ ' t m p _ n a m e ' ] g e t i m a g e s i z e ( ) g e t i m a g e s i z e ( ) g e t i m a g e s i z e ( ) g e t i m a g e s i z e ( ) c l a s s   P a r t V i e w $ p v   =   n e w   P a r t V i e w ( ) ; $ p v
跟 踪 后 台 流 程 跟 踪 后 台 流 程 d e d e c m s 的 后 台 入 口 位 于 ， 默 认 后 台 目 录 为 ， 官 方 建 议 修 改 后 台 目 录 ， 在 寻 找 d e d e c m s 的 后 台 目 录 时 可 以 在 字 典 加 上 d e d e 爆 破 一 下 d e d e / i n d e x . p h p 后 台 入 口 文 件 的 初 始 化 主 要 加 载 ， 这 里 重 点 关 注 下 这 个 文 件 d e d e / c o n f i g . p h p d e d e / c o n f i g . p h p 可 以 看 到 也 会 加 载 文 件 ， 从 而 处 理 了 外 部 数 据 同 时 需 要 关 注 的 是 会 验 证 用 户 的 登 陆 情 况 ， 所 以 后 台 文 件 基 本 都 会 包 含 这 个 c o n f i g . p h p 通 过 i f r a m e 构 造 完 整 后 台 页 面 不 过 从 上 面 来 看 后 台 入 口 文 件 还 是 很 单 薄 ， 没 有 实 现 什 么 具 体 功 能 ， 也 没 有 转 发 请 求 的 功 能 。 然 后 我 就 使 用 谷 歌 调 试 工 具 看 了 下 d e d e c m s 后 台 到 底 加 载 了 哪 些 文 件 ， 原 来 才 发 现 这 个 时 期 的 c m s 还 在 使 用 i f r a m e 框 架 ， d e d e c m s 后 台 入 口 文 件 通 过 使 用 i f r a m e 框 架 加 载 了 菜 单 地 图 文 件 菜 单 地 图 文 件 和 管 理 后 台 主 体 文 件 管 理 后 台 主 体 文 件 ， 分 别 为 和 d e d e / i n d e x . p h p d e d e r e q u i r e _ o n c e ( d i r n a m e ( _ _ F I L E _ _ ) . " / c o n f i g . p h p " ) ; / /         加 i n c _ m e n u _ m a p . p h p 和 载 静 态 模 板 r e q u i r e ( D E D E A D M I N . ' / i n c / i n c _ m e n u _ m a p . p h p ' ) ; i n c l u d e ( D E D E A D M I N . ' / t e m p l e t s / i n d e x 2 . h t m ' ) ; d e d e / c o n f i g . p h p c o n f i g . p h p c o m m o n . i n c . p h p c o n f i g . p h p / /         加 载 c o m m o n . i n c . p h p r e q u i r e _ o n c e ( D E D E A D M I N . ' / . . / i n c l u d e / c o m m o n . i n c . p h p ' ) ; / /         加 载 管 理 员 登 陆 类 ， 里 面 定 义 了 u s e r L o g i n 类 和 很 多 验 证 用 户 权 限 的 函 数 r e q u i r e _ o n c e ( D E D E I N C . ' / u s e r l o g i n . c l a s s . p h p ' ) ; / /         实 例 化 u s e r L o g i n 对 象 $ c u s e r L o g i n   =   n e w   u s e r L o g i n ( ) ; / /         验 证 登 陆 情 况 ， 未 登 陆 跳 转 到 登 陆 页 面 i f ( $ c u s e r L o g i n   - - -   x x x )             h e a d e r ( " l o c a t i o n : l o g i n . p h p ? g o t o p a g e = " . u r l e n c o d e ( $ d e d e N o w u r l ) ) ; / /         下 面 则 为 登 陆 后 的 程 序 处 理 / /         定 义 c s r f 和 x s s 防 御 函 数 f u n c t i o n   c s r f _ c h e c k ( ) f u n c t i o n   X S S C l e a n ( $ v a l ) d e d e / i n d e x _ m e n u . p h p d e d e / i n d e x _ b o d y . p h p
上 图 的 代 码 来 自 加 载 的 文 件 和 通 过 i f r a m e 被 嵌 入 在 页 面 中 ， 可 以 看 到 的 是 d e d e c m s 在 后 台 基 本 还 是 使 用 的 多 入 口 文 件 去 处 理 每 个 功 能 ， 只 是 使 用 i f r a m e 框 架 让 所 有 功 能 在 页 面 下 显 示 了 而 已 小 结 通 过 全 局 分 析 ， 感 觉 d e d e c m s 这 个 系 统 还 是 比 较 ” 老 气 “ 的 ， 和 p h p c m s 的 处 理 方 式 还 是 有 很 大 不 同 的 ， 感 觉 上 p h p c m s 的 处 理 更 加 接 近 m v c 的 思 想 ， 虽 然 看 到 d e d e c m s 也 声 称 做 了 m v c 的 架 构 ， 菜 鸡 的 我 是 否 还 看 不 到 那 一 层 0 x 0 2   漏 洞 审 计 漏 洞 审 计 本 次 将 采 用 结 合 功 能 点 进 行 代 码 审 计 的 思 路 ， 试 一 试 这 种 思 路 的 特 点 任 意 文 件 上 传 普 普 通 通 的 绕 过 后 台 : 【 核 心 】 - 【 常 用 操 作 】 - 【 所 有 档 案 列 表 】 - 【 添 加 文 档 】 ， 该 功 能 可 以 发 布 文 章 ， 而 且 具 有 文 件 上 传 的 功 能 该 处 首 先 具 有 前 端 限 制 ， 上 传   . j p g   后 缀 文 件 ， 结 合 b r u p 抓 包 ， 发 现 处 理 上 传 功 能 的 文 件 为 然 后 结 合 调 试 ， 来 看 看 具 体 代 码 d e d e / a r c h i v e s _ d o . p h p 入 口 文 件 通 过   c o n f i g . p h p   会 实 现 权 限 认 证 和 一 些 外 部 参 数 过 滤 注 册 我 们 这 里 上 传 文 件 会 带 有 参 数 ， 上 面 通 过 全 局 分 析 得 知 会 触 发 的 过 滤 过 滤 后 ， 通 过 实 现 最 终 文 件 上 传 i n c l u d e / h e l p e r s / u p l o a d . h e l p e r . p h p 最 终 实 现 文 件 上 传 的 来 自 传 入 的 固 定 为 ， 则 一 定 会 进 入 对 应 的 检 测 判 断 在 检 测 判 断 代 码 中 ， 定 义 了 一 个 M I M E   T y p e 白 名 单 ， 若 上 传 文 件 的 M I M E   T y p e 不 在 白 名 单 中 直 接 退 出 ， M I M E   T y p e 我 们 可 控 ， 所 以 这 里 一 定 要 设 置 M I M E   T y p e 为 图 片 类 型 但 这 里 要 注 意 的 一 点 是 ， 当 M I M E   T y p e 为 图 片 类 型 时 ， 在 安 全 过 滤 文 件 检 测 中 ， 还 会 通 过 再 次 判 断 文 件 是 否 为 图 片 类 型 ， 不 够 这 里 我 们 也 可 以 绕 过 i n d e x . p h p t e m p l e t s / i n d e x 2 . h t m d e d e / i n d e x _ m e n u . p h p d e d e / i n d e x _ b o d y . p h p i n d e x . p h p i n d e x . p h p d e d e / a r c h i v e s _ d o . p h p $ _ F I L E S u p l o a d s a f e . i n c . p h p A d m i n U p l o a d ( ) r e q u i r e _ o n c e ( d i r n a m e ( _ _ F I L E _ _ ) . ' / c o n f i g . p h p ' ) ; e l s e   i f ( $ d o p o s t = = " u p l o a d L i t p i c " ) {         $ u p f i l e   =   A d m i n U p l o a d ( ' l i t p i c ' ,   ' i m a g e l i t ' ,   0 ,   f a l s e   ) ; A d m i n U p l o a d ( ) u p l o a d . h e l p e r . p h p A d m i n U p l o a d ( ) $ f t y p e i m a g e l i t $ s p a r r u p l o a d s a f e . i n c . p h p g e t i m a g e s i z e ( ) f u n c t i o n   A d m i n U p l o a d ( $ u p l o a d n a m e ,   $ f t y p e = ' i m a g e ' ,   $ r n d d d = 0 ,   $ w a t e r m a r k = T R U E ,   $ f i l e t y p e = ' '   )
最 后 梳 理 一 下 ， 该 功 能 点 ， 系 统 只 做 了 两 个 限 制 ， M I M I   T y p e 为 图 片 类 型 ， 可 控 。 但 M I M E   T y p e 为 图 片 类 型 时 会 通 过 检 测 ， 这 里 也 可 绕 过 。 下 面 将 来 复 现 一 下 ， 看 是 否 可 以 利 用 漏 洞 验 证 漏 洞 验 证 保 证 C o n t e n t - T y p e 为 图 片 类 型 ， 构 造 图 片 的 文 件 头 ， 绕 过 文 件 上 传 的 限 制 ， 并 且 会 返 回 上 传 文 件 名 和 路 径 访 问 这 个 文 件 ， 完 美 小 结 一 下 ： 分 析 这 一 大 堆 ， 似 乎 还 没 有 黑 盒 测 来 的 快 。 。 。 一 般 黑 盒 直 接 来 个 G I F 8 9 a 可 能 就 中 奖 了 尴 尬 的 文 件 上 传 接 着 看 看 后 台 有 什 么 功 能 点 ， 然 后 又 发 现 一 个 文 件 上 传 的 位 置 ： 【 核 心 】 - 【 常 用 操 作 】 - 【 附 件 管 理 】 -   【 文 件 式 管 理 器 】 突 然 发 现 这 里 竟 然 可 以 直 接 上 传 任 意 文 件 。 。 。 。 这 个 系 统 这 么 刚 的 吗 ？ 看 了 半 天 代 码 很 尴 尬 ， 然 后 我 就 不 太 想 看 后 台 的 文 件 上 传 了 。 。 。 。 有 趣 的 文 件 上 传 后 面 翻 阅 d e d e c m s 历 史 漏 洞 ， 发 现 会 员 中 心 会 员 中 心 处 存 在 一 个 文 件 上 传 漏 洞 。 后 面 仔 细 研 究 了 一 下 ， 其 实 也 只 有 管 理 员 权 限 才 能 上 传 ， 实 际 利 用 鸡 肋 ， 有 管 理 员 权 限 了 不 如 直 接 进 入 后 台 任 意 文 件 上 传 ， 不 过 这 个 漏 洞 产 生 的 原 因 可 以 学 学 漏 洞 位 于 会 员 中 心 处 ， 需 要 在 d e d e c m s 打 开 会 员 功 能 ， 另 外 需 要 使 用 管 理 员 账 号 打 卡 会 员 中 心 的 页 面 进 入 m e m b e r / a r t i c l e _ a d d . p h p 发 布 文 章 ， 选 择 下 面 的 富 文 本 编 辑 器 插 入 图 片 f u n c t i o n   A d m i n U p l o a d ( $ u p l o a d n a m e ,   $ f t y p e = ' i m a g e ' ,   $ r n d d d = 0 ,   $ w a t e r m a r k = T R U E ,   $ f i l e t y p e = ' '   ) {                 i f ( $ f t y p e = = ' i m a g e '   | |   $ f t y p e = = ' i m a g e l i t ' )         {               $ s p a r r   =   A r r a y ( ' i m a g e / p j p e g ' ,   ' i m a g e / j p e g ' ,   ' i m a g e / g i f ' ,   ' i m a g e / p n g ' ,   ' i m a g e / x p n g ' ,   ' i m a g e / w b m p ' ) ;             i f ( ! i n _ a r r a y ( $ f i l e _ t y p e ,   $ s p a r r ) )   r e t u r n   0 ;         }                 $ f i l e u r l   =   $ f i l e d i r . ' / ' . $ f i l e n a m e . ' . ' . $ f i l e _ s n a m e ;                 $ r s   =   m o v e _ u p l o a d e d _ f i l e ( $ f i l e _ t m p ,   $ c f g _ b a s e d i r . $ f i l e u r l ) ; g e t i m a g e s i z e ( )
选 择 好 文 件 并 上 传 抓 包 处 理 该 文 件 上 传 的 文 件 为 ， 下 面 具 体 看 看 代 码 i n c l u d e / d i a l o g / s e l e c t _ i m a g e s _ p o s t . p h p 看 代 码 大 致 知 道 系 统 只 允 许 上 传 图 片 格 式 的 文 件 ， 然 后 具 体 有 3 个 限 制 条 件 ： 加 载 ， 该 文 件 会 验 证 管 理 员 身 份 ， 同 时 会 加 载 做 基 础 的 文 件 上 传 过 滤 。 由 全 局 分 析 知 道 ， 我 们 此 时 没 有 位 于 管 理 员 目 录 ， 上 传 文 件 后 缀 名 有 黑 名 单 限 制 ， 不 能 为 p h p ， 目 前 知 道 服 务 器 只 解 析 p h p 后 缀 文 件 但 在 下 面 第 二 行 代 码 ， 会 去 除 一 些 特 殊 符 号 ， 那 我 们 可 以 上 传 这 样 的 后 缀 ， 可 以 绕 过 上 面 的 判 断 ， 然 后 再 这 一 步 正 好 又 变 成 了 能 解 析 的 后 缀 ， 漏 洞 关 键 点 就 在 这 里 为 ， 但 这 里 匹 配 十 分 轻 松 ， 只 要 存 在 这 样 的 字 样 就 能 绕 过 ， 并 没 有 限 制 是 后 缀 名 最 后 对 m i m e   t y p e 类 型 做 了 检 测 ， 最 终 上 传 文 件 x s s 测 试 发 现 还 是 黑 盒 好 测 一 点 ， 在 d e d e c m s 后 台 还 是 存 在 很 多 x s s 的 ， 本 次 是 在 黑 盒 测 试 后 ， 在 回 头 审 计 代 码 的 问 题 ， 其 实 这 样 白 盒 审 计 意 义 不 大 ， 主 要 记 录 下 思 路 因 为 d e d e c m s 是 多 入 口 文 件 ， 每 个 入 口 文 件 都 需 要 包 含 具 有 全 局 过 滤 函 数 的 文 件 来 判 断 外 部 数 据 的 安 全 ， 如 果 发 现 有 的 文 件 没 有 包 含 这 样 这 种 文 件 ， 那 么 这 个 入 口 文 件 可 能 就 存 在 相 关 漏 洞 在 全 局 分 析 中 发 现 并 没 有 对 外 部 数 据 做 x s s 全 局 过 滤 ， 另 外 注 意 到 d e d e c m s 具 有 视 图 类 负 责 显 示 输 出 ， 封 装 了 很 多 输 出 的 功 能 ， 在 平 时 白 盒 审 计 x s s 漏 洞 需 要 注 意 e c h o ， i n n e r H T M L 这 类 输 出 到 前 端 的 关 键 词 ， 但 在 d e d e c m s 中 还 需 要 注 意 视 图 类 封 装 的 输 出 函 数 q r c o d e . p h p q r c o d e . p h p 及 加 载 的 文 件 都 没 有 做 x s s 过 滤 ， 通 过 c o m m o n . i n c . p h p 会 注 册 全 局 变 量 只 能 为 整 数 类 型 ， 类 型 可 控 s e l e c t _ i m a g e s _ p o s t . p h p i n c l u d e / d i a l o g / c o n f i g . p h p c o n f i g . p h p c o m m o n . i n c . p h p p * h p $ c f g _ i m g t y p e j p g | g i f | p n g . j p g r e q u i r e _ o n c e ( d i r n a m e ( _ _ F I L E _ _ ) . " / c o n f i g . p h p " ) ; $ i m g f i l e _ n a m e   =   t r i m ( p r e g _ r e p 1 a c e ( " # [   r n t * % / ? > < | " : ] { 1 , } # " ,   ' ' ,   $ i m g f i l e _ n a m e ) ) ; i f ( ! p r e g _ m a t c h ( " # . ( " . $ c f g _ i m g t y p e . " ) # i " ,   $ i m g f i l e _ n a m e ) ) {         S h o w M s g ( " 你 所 上 传 的 图 片 类 型 不 在 许 可 列 表 ， 请 更 改 系 统 对 扩 展 名 限 定 的 配 置 ！ " ,   " - 1 " ) ;         e x i t ( ) ; } $ s p a r r   =   A r r a y ( " i m a g e / p j p e g " ,   " i m a g e / j p e g " ,   " i m a g e / g i f " ,   " i m a g e / p n g " ,   " i m a g e / x p n g " ,   " i m a g e / w b m p " ) ; $ i m g f i l e _ t y p e   =   s t r t o l o w e r ( t r i m ( $ i m g f i l e _ t y p e ) ) ; i f ( ! i n _ a r r a y ( $ i m g f i l e _ t y p e ,   $ s p a r r ) ) {         S h o w M s g ( " 上 传 的 图 片 格 式 错 误 ， 请 使 用 J P E G 、 G I F 、 P N G 、 W B M P 格 式 的 其 中 一 种 ！ " , " - 1 " ) ;         e x i t ( ) ; } m o v e _ u p l o a d e d _ f i l e ( $ i m g f i l e ,   $ f u l l f i l e n a m e )   o r   d i e ( " 上 传 文 件 到   $ f u l l f i l e n a m e   失 败 ！ " ) ; $ i d $ t y p e
加 载 模 板 ， 利 用 视 图 类 格 式 化 输 出 , 的 值 ， 可 控 ， 这 里 就 存 在 x s s 漏 洞 可 以 看 到 这 里 的 触 发 点 ， 然 而 在 s e a y 这 种 代 码 扫 描 工 具 中 是 不 会 在 意 这 些 点 的 ， 同 样 有 些 框 架 对 s q l 操 作 也 做 了 很 好 的 封 装 ， 如 果 只 是 依 靠 s e a y 的 结 果 来 做 代 码 审 计 ， 可 能 会 忽 略 掉 很 多 关 键 点 最 后 有 图 有 真 相 u r l   重 定 向 漏 洞 重 定 向 漏 洞 s e a y 似 乎 没 有   u r l   重 定 向 漏 洞 的 扫 描 ， 不 过 该 漏 洞 审 计 也 比 较 简 单 ， 主 要 关 注 能 重 定 向 的 一 些 关 键 词 ， 再 看 重 定 向 地 址 是 否 可 控 这 里 看 一 个 d e d e c m s 出 名 的 u r l 重 定 向 漏 洞 ， 网 上 有 很 多 讲 解 ， x r a y 都 有 p o c p l u s / d o w n l o a d . p h p 对 做 了 b a s e 6 4 解 码 程 序 中 有 一 个 很 奇 怪 的 限 制 ， ， 然 而 中 却 没 有 这 个 参 数 d e d e c m s 后 台 也 有 一 些 u r l 重 定 向 漏 洞 ， 这 里 就 不 多 关 注 这 个 洞 了 会 员 中 心 任 意 用 户 密 码 修 改 会 员 中 心 任 意 用 户 密 码 修 改 这 也 是 d e d e c m s 比 较 出 名 的 一 个 漏 洞 ， 如 果 通 过 黑 盒 测 试 ， 可 能 并 测 不 出 这 个 漏 洞 ， 此 处 漏 洞 最 好 的 方 式 就 是 通 过 灰 盒 的 方 式 测 试 功 能 点 位 于 会 员 中 心 会 员 中 心 找 回 密 码 处 ， d e d e c m s 默 认 是 关 闭 会 员 中 心 的 ， 需 要 在 后 台 开 启 会 员 中 心 ， 为 了 方 便 测 试 ， 开 放 了 用 户 注 册 q r c o d e . h t m $ i d $ t y p e $ t y p e r e q u i r e _ o n c e ( d i r n a m e ( _ _ F I L E _ _ ) . ' / . . / i n c l u d e / c o m m o n . i n c . p h p ' ) ; r e q u i r e _ o n c e ( D E D E I N C . ' / q r c o d e . c l a s s . p h p ' ) ; $ t y p e   =   i s s e t ( $ t y p e ) ?   $ t y p e   :   ' ' ; $ i d   =   ( i s s e t ( $ i d )   & &   i s _ n u m e r i c ( $ i d ) )   ?   $ i d   :   0 ; $ d t p   =   n e w   D e d e T e m p 1 a t e ( ) ; $ t p l f i l e   =   D E D E T E M P 1 A T E . ' / p l u s / q r c o d e . h t m ' ; $ d t p - > L o a d T e m p 1 a t e ( $ t p l f i l e ) ; $ d t p - > S e t V a r ( ' i d ' , $ i d ) ; $ d t p - > S e t V a r ( ' t y p e ' , $ t y p e ) ; $ d t p - > D i s p 1 a y ( ) ; $ d t p - > S e t V a r ( ' t y p e ' , $ t y p e ) ; h t t p : / / d e d e . t e s t : 8 8 8 8 / p l u s / q r c o d e . p h p ? i d = 1 & t y p e = % 2 2 % 3 E % 3 C S c R i P t % 3 E a l e r t ( 1 ) % 3 C / S c R i P t % 3 E $ l i n k i n _ a r r a y ( $ l i n k i n f o [ ' h o s t ' ] ,   $ a l l o w e d ) d o w n l o a d . p h p $ l i n k i n f o e l s e   i f ( $ o p e n = = 1 ) {             $ i d   =   i s s e t ( $ i d )   & &   i s _ n u m e r i c ( $ i d )   ?   $ i d   :   0 ;         $ l i n k   =   b a s e 6 4 _ d e c o d e ( u r l d e c o d e ( $ l i n k ) ) ;             i f   (   ! i n _ a r r a y ( $ l i n k i n f o [ ' h o s t ' ] ,   $ a l l o w e d )   )         {                 S h o w M s g ( ' 非 下 载 地 址 ， 禁 止 访 问 ' , ' j a v a s c r i p t : ; ' ) ;                 e x i t ;         }                 h e a d e r ( " l o c a t i o n : $ l i n k " ) ;
来 看 下 关 键 代 码 ： m e m b e r / r e s e t p a s s w o r d . p h p 1 、 加 载 ， 注 意 这 个   c o n f i g   文 件 位 于   m e m b e r   目 录 ， 不 同 于 全 局 分 析 的   c o n f i g   文 件 ， 这 个 文 件 会 检 测 用 户 在 用 户 中 心 模 块 用 户 中 心 模 块 的 登 陆 情 况 ， 查 询 的 数 据 表 为 ， 而 后 台 模 块 后 台 模 块 查 询 的 数 据 表 是 ， 要 注 意 区 分 开 d e d e 的 各 个 模 块 查 询 的 数 据 表 和 包 含 的 文 件 可 以 看 到 主 要 有 4 个 处 理 逻 辑 ， 由 控 制 ， 可 控 1 ） 默 认 为 空 ， 进 入 第 一 个 i f 语 句 ， 会 加 载 ， 用 于 显 示 找 回 密 码 的 页 面 2 ） ， 进 入 第 二 个 处 理 逻 辑 ， 这 是 找 回 密 码 第 一 步 找 回 密 码 第 一 步 默 认 处 理 逻 辑 ， 3 ） ， 进 入 第 三 个 处 理 逻 辑 4 ） ， 将 会 进 入 找 回 密 码 第 二 步 2 、 抓 取 找 回 密 码 第 一 步 找 回 密 码 第 一 步 的 请 求 包 ， 默 认 为 g e t p w d 进 入   g e t p w d 的 i f 语 句 块 ， 如 果 设 置 了 密 码 会 加 载 页 面 ， 这 是 输 入 安 全 问 题 的 表 单 ， 会 提 交 ， 则 进 入 第 3 个 处 理 逻 辑 没 有 设 置 安 全 密 码 会 退 出 程 序 ， 似 乎 走 不 通 ， 但 参 数 都 可 以 控 ， 可 以 考 虑 直 接 进 入 m e m b e r / c o n f i g . p h p d e d e _ m e m b e r d e d e _ a d m i n r e s e t p a s s w o r d . p h p $ d o p o s t $ d o p o s t $ d o p o s t r e s e t p a s s w o r d . h t m $ d o p o s t   = =   " g e t p w d " $ d o p o s t   = =   " s a f e q u e s t i o n " $ d o p o s t   = =   " g e t p a s s w d " / /         m e m b e r / r e s e t p a s s w o r d . p h p r e q u i r e _ o n c e ( d i r n a m e ( _ _ F I L E _ _ ) . " / c o n f i g . p h p " ) ; i f ( $ d o p o s t   = =   " " ) {     i n c l u d e ( d i r n a m e ( _ _ F I L E _ _ ) . " / t e m p l e t s / r e s e t p a s s w o r d . h t m " ) ; } e l s e i f ( $ d o p o s t   = =   " g e t p w d " ) {             / /   找 回 密 码 第 一 步 } e l s e   i f ( $ d o p o s t   = =   " s a f e q u e s t i o n " ) {             / /   密 码 问 题 判 断 } e l s e   i f ( $ d o p o s t   = =   " g e t p a s s w d " ) {             / /   找 回 密 码 第 二 步 } d o p o s t r e s e t p a s s w o r d 3 . h t m $ d o p o s t   = =   " s a f e q u e s t i o n " $ d o p o s t = = " g e t p w d " $ d o p o s t   = =   " s a f e q u e s t i o n " / /                 m e m b e r / r e s e t p a s s w o r d . p h p e l s e i f ( $ d o p o s t   = =   " g e t p w d " ) {         / / 以 邮 件 方 式 取 回 密 码 ；         i f ( $ t y p e   = =   1 ) { }                   / / 以 安 全 问 题 取 回 密 码 ；         e l s e   i f   ( $ t y p e   = =   2 )         {             i f ( $ m e m b e r [ ' s a f e q u e s t i o n ' ]   = =   0 )             {
3 、 关 注   的 i f 语 句 块 ，   为 数 据 库 查 询 用 户 设 置 的 安 全 问 题 ， 如 果 没 有 设 置 则 为 空 ， 然 后 这 里 使 用 弱 类 型 比 较 ， 有 可 能 绕 过 这 里 的 判 断 当 用 户 没 有 设 置 安 全 问 题 时 ， 数 据 库 默 认 的 , ， 在 p h p 中 这 种 数 据 在 弱 类 型 比 较 很 容 易 相 等 的 ， 传 入 为 空 即 可 弱 类 型 相 等 ， 但 是 不 能 传 入 为 0 ， 这 样 会 导 致 判 断 为 空 ， 最 终 被 赋 值 为 空 ， 这 里 利 用 了 一 个 知 识 点 ， 记 录 下 ： = = 在 p h p 中 当 左 右 都 是 只 由 数 字 组 成 的 字 符 串 只 由 数 字 组 成 的 字 符 串 进 行 弱 类 型 比 较 时 ， 会 转 换 成 数 字 比 较 = = 所 以 传 入 上 面 其 中 一 个 都 可 以 绕 过 判 断 ， 最 终 的 p o s t 的 数 据 修 改 如 下 ， 其 中 i d 设 置 为 任 意 值 就 可 以 修 改 为 任 意 用 户 ， i d = 1 默 认 为 a d m i n 用 户 ， 不 过 a m d i n 用 户 在 会 员 中 心 模 块 会 员 中 心 模 块 默 认 不 能 登 陆 ， 意 义 不 大 p o s t   数 据 的 P O C ： 发 送 次 数 据 包 后 ， 在 表 中 会 生 成 临 时 的 数 据 ， 其 中 p w d 为 8 位 随 机 字 符 串 的 通 过 m d 5 加 密 后 的 值 4 、 绕 过 弱 类 型 判 断 后 ， 会 返 回 一 个 地 址 注 意 里 面 的 i d 和 k e y 参 数 ， 这 里 的 k e y 为 上 面 的 p w d 在 m d 5 加 密 前 的 值 ， i d 为 上 面 的 m i d ， 也 对 应 了 表 中 的 用 户 ， 通 过 这 两 个 值 ， 保 证 在 找 回 密 码 处 能 准 确 修 改 对 应 用 户 的 密 码 进 入 这 个 地 址 ， 注 意 修 改 下 实 体 编 码 ， 然 后 会 进 入 找 回 密 码 第 二 步 找 回 密 码 第 二 步 ， 然 后 直 接 修 改 密 码 就 可 以 了             {                         s h o w m s g ( ' 对 不 起 您 尚 未 设 置 安 全 密 码 ， 请 通 过 邮 件 方 式 重 设 密 码 ' ,   ' l o g i n . p h p ' ) ;                         e x i t ;             }             r e q u i r e _ o n c e ( d i r n a m e ( _ _ F I L E _ _ ) . " / t e m p l e t s / r e s e t p a s s w o r d 3 . h t m " ) ;         } } $ d o p o s t   = =   " s a f e q u e s t i o n " $ r o w [ ' s a f e q u e s t i o n ' ] = = / /                 m e m b e r / r e s e t p a s s w o r d . p h p i f ( e m p t y ( $ s a f e q u e s t i o n ) )   $ s a f e q u e s t i o n   =   ' ' ; i f ( e m p t y ( $ s a f e a n s w e r ) )   $ s a f e a n s w e r   =   ' ' ; i f ( $ r o w [ ' s a f e q u e s t i o n ' ]   = =   $ s a f e q u e s t i o n   & &   $ r o w [ ' s a f e a n s w e r ' ]   = =   $ s a f e a n s w e r ) {                 s n ( $ m i d ,   $ r o w [ ' u s e r i d ' ] ,   $ r o w [ ' e m a i l ' ] ,   ' N ' ) ;                 e x i t ( ) ; } s a f e q u e s t i o n = " 0 " s a f e a n s w e r = " " s a f e a n s w e r = " " $ s a f e a n s w e r s a f e q u e s t i o n = " 0 " $ s a f e q u e s t i o n e m p t y ( ) " 0 "   = =   " 0 0 "           / / t r u e " 0 "   = =   " 0 . 0 "     / / t r u e " 0 "   = =   " 0 e 1 "         / / t r u e d o p o s t = s a f e q u e s t i o n & g o u r l = & u s e r i d = t e s t 1 & m a i l = t e s t 1 @ q q . c o m & v d c o d e = y a 2 1 & t y p e = 2 & s a f e a n s w e r = 0 & i d = 2 & s a f e q u e s t i o n = 0 0 d e d e _ p w d _ t m p k e y d e d e _ m e m b e r < a   h r e f = ' h t t p : / / d e d e . t e s t : 8 8 8 8 / m e m b e r / r e s e t p a s s w o r d . p h p ? d o p o s t = g e t p a s s w d & i d = 2 & k e y = 3 v n K g J Z P ' >
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理