搜索

[18657] 2021-08-25_ofcms从搭建到代码审计

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-08-25_ofcms从搭建到代码审计 o f c m s 从 搭 建 到 代 码 审 计 原 创   火 博 士   h e r e 4 0 4   2 0 2 1 - 0 8 - 2 5 收 录 于 话 题   # 代 码 审 计   , 6 个 0 x 0 0   o f c m s 搭 建 搭 建 o f c m s 下 载 地 址 ： h t t p s : / / g i t e e . c o m / o u f u / o f c m s / r e p o s i t o r y / a r c h i v e / V 1 . 1 . 2 ? f o r m a t = z i p 下 载 后 解 压 把 解 压 的 导 入 到 I D E A 中 后 ， 我 们 首 先 把 数 据 库 的 连 接 地 址 修 改 成 自 己 的 m y s q l 地 址 ， 创 建 一 个 名 为 o f c m s 的 数 据 库 ， 把 o f c m s - v 1 . 1 . 2 . s q l 导 入 到 自 己 创 建 的 数 据 库 中 去 . 配 置 m a v e n
配 置 t o m c a t
运 行 项 目 访 问 项 目 后 台 地 址 a d m i n / 1 2 3 4 5 6 h t t p : / / l o c a l h o s t : 8 0 8 0 / o f c m s - a d m i n / a d m i n / i n d e x . h t m l
0 x 0 1   审 计 思 路 审 计 思 路 分 析 请 求 ， 跟 踪 可 控 变 量 的 传 递 过 程 ， 审 查 参 数 是 否 有 安 全 处 理 。 如 输 入 参 数 导 致 X S S 、 S Q L 注 入 等 敏 感 功 能 点 通 读                 登 陆 、 忘 记 密 码 、 支 付 、 上 传 等 功 能 点 实 现 逻 辑 可 能 存 在 问 题 。                 例 如 ： 登 陆 爆 破 、 撞 库 、 任 意 密 码 重 置 、 任 意 文 件 上 传   拿 到 一 个 系 统 后 首 先 分 辨 是 s s m   还 是 s s h 框 架 是 否 使 用 m a v e n 工 程 ， 如 果 使 用 的 m a v e n 工 程 首 先 看 p o m . x m l 配 置 文 件 去 对 系 统 有 一 个 整 体 的 了 解 。 0 x 0 2   S S T I 模 版 注 入 模 版 注 入 浏 览 o f c m s - V 1 . 1 . 2 / p o m . x m l 的 时 候 发 现 存 在 模 版 引 擎 f r e e m a r k e r ， 该 模 版 是 存 在 模 版 注 入 的 ， 关 于 模 版 注 入 可 以 在 这 里 了 解 到 更 多 h t t p : / / d r o p s . x m d 5 . c o m / s t a t i c / d r o p s / t i p s - 8 2 9 2 . h t m l
找 到 对 应 的 通 过 前 台 首 页 找 到 对 应 的 模 版 o f c m s - V 1 . 1 . 2 / o f c m s - a d m i n / s r c / m a i n / j a v a / c o m / o f s o f t / c m s / a d m i n / c o n t r o l l e r / c m s / T e m p l a t e C o n t r o l l e r . j a v a 从 源 码 中 我 们 可 以 看 到 模 版 的 一 些 功 能 回 到 系 统 中 找 到 该 模 版 ， 然 后 直 接 使 用 p a y l o a d   这 里 i d 可 以 进 行 替 换 < # a s s i g n   e x = " f r e e m a r k e r . t e m p l a t e . u t i l i t y . E x e c u t e " ? n e w ( ) >       $ {   e x ( " i d " )   }
保 存 后 访 问 0 x 0 3   S Q L 注 入 注 入 登 录 后 台 后 在 代 码 时 生 成 - - > 新 增   这 里 是 漏 洞 点 h t t p : / / 1 9 2 . 1 6 8 . 1 9 7 . 1 : 8 0 8 0 / o f c m s _ a d m i n _ w a r / 4 0 4 . h t m l
我 们 通 过 抓 包 对 路 径 / s y s t e m / g e n e r a t e / 在 I D E A 当 中 使 用 快 捷 键 定 位 到 源 码 路 径 o f c m s - V 1 . 1 . 2 / o f c m s - a d m i n / s r c / m a i n / j a v a / c o m / o f s o f t / c m s / a d m i n / c o n t r o l l e r / s y s t e m / S y s t e m G e n e r a t e C o n t r o l l e r . j a v a 在 4 7 行 代 码 处 设 置 断 点 ， 调 试 c r e a t e ( ) 方 法 ， 跟 踪 调 试 g e t P a r a ( ) 方 法 ， 未 发 现 有 过 滤 等 操 作 ， 可 以 直 接 插 入 s q l 语 句 ， 造 成 s q l 注 入 。
跟 进 g e t P a r a ( ) 方 法 ， 发 现 没 有 对 参 数 内 容 进 行 过 滤 和 拦 截 ， 直 接 获 取 了 参 数 内 容 。 跟 进 D b . u p d a t e ( ) 方 法 ， 发 现 使 用 了 e x e c u t e U p d a t e ( ) 方 法 执 行 用 户 输 入 的 s q l 语 句 继 续 跟 进 ， 发 现 执 行 s t m t . e x e c u t e U p d a t e ( ) ， 继 续 跟 进 ， 发 现 其 方 法 定 义 了 执 行 类 型
可 以 看 到 我 们 传 入 的 语 句 没 有 经 过 任 何 过 滤 ， 这 里 直 接 使 用 u p d a t e 配 合 报 错 注 入   p a y l o a d 语 句 如 下 u p d a t e   o f _ c m s _ l i n k   s e t   l i n k _ n a m e = u p d a t e x m l ( 1 , c o n c a t ( 0 x 7 e , ( u s e r ( ) ) ) , 0 )   w h e r e   l i n k _ i d   =   4
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理