搜索

[2066] 2021-03-28_kkcms1.371代码审计-实战篇

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-16
2021-03-28_kkcms1.371代码审计-实战篇 k k c m s   1 . 3 7 1   代 码 审 计 - 实 战 篇 原 创   d o n 9   d o n 9 s e c   2 0 2 1 - 0 3 - 2 8 收 录 于 话 题   # 代 码 审 计   , 8 个 免 责 声 明 ： 免 责 声 明 ：                           “   本 公 众 号 所 有 文 章 ，   仅 用 于 交 流 学 习 ， 禁 止 应 用 到 不 当 途 径 ， 因 滥 用 而 产 生 的 风 险 皆 与 本 人 无 关 ！ ” 目 录 ： 3 处 反 射 型 x s s   ( 黑 盒 ) 3 处 存 储 型 x s s   （ 黑 盒 ） 4 处 前 台 s q l 注 入   ( 黑 盒 + 白 盒 ) n 处 后 台 s q l 注 入   ( 黑 盒 ) 反 射 型 X S S 发 现 参 数 m / c a t / p a g e ,   开 始 挨 个 测 试 没 弹 窗 ?   发 现 插 入 的 p a y l o a d 变 成 了 这 样 : 这 不 就 是 妥 妥 的 一 枚 x s s 嘛 ？ ? m = < s c r i p t > a l e r t ( 2 0 2 1 ) < / s c r i p t > ? c a t = a l l & p a g e = 1
先 闭 合 标 签 a 再 闭 合 " 小 窗 窗 终 于 弹 起 来 了 ： 同 样 的 p a y l o a d , 扔 给 第 2 个 参 数 又 一 枚 x s s 到 手 ， 果 然 挖 洞 得 " 敢 想 敢 做 " 。 。 。 又 一 枚 ? m = > < s c r i p t > a l e r t ( 2 0 2 1 ) < / s c r i p t > ? c a t = a l l & p a g e = 1 ? m = " > < s c r i p t > a l e r t ( 2 0 2 1 ) < / s c r i p t > ? c a t = a l l & p a g e = 1 ? m = / d i a n y i n g / l i s t . p h p ? c a t = " > < s c r i p t > a l e r t ( 2 0 2 1 ) < / s c r i p t > & p a g e = 1 ? m = / d i a n y i n g / l i s t . p h p ? r a n k = " > < s c r i p t > a l e r t ( 2 0 2 1 ) < / s c r i p t > & p a g e = 1
看 完 反 射 型 x s s （ 估 计 还 有 一 堆 ） , 来 看 看 存 储 型 ， 一 般 漏 洞 触 发 的 场 景 主 要 有 以 下 两 种 ： 不 需 要 注 册 账 号 需 要 注 册 账 号 所 以 黑 盒 测 试 的 思 路 就 是 把 大 致 的 功 能 点 和 交 互 点 过 一 遍 ， 然 后 根 据 经 验 ( 漏 洞 复 现 / 师 傅 们 的 博 客 / 公 开 的 漏 洞 报 告 等 ) ， 挨 个 测 就 完 事 儿 ! 注 册 账 号 登 录 凭 感 觉 ， 先 用 上 面 的 p a y l o a d 试 试 然 而 并 没 有 弹 窗 ， 看 看 插 入 后 的 样 子 客 服 ， 留 言 ， 友 链 ， 评 论 ， 提 问 等 地 方 填 资 料 的 位 置 ， 比 如 家 庭 住 址 ， 邮 箱 ， 订 单 收 货 地 址 等 " > < s c r i p t > a l e r t ( 2 0 2 1 ) < / s c r i p t >
嗯 ？ 目 测 存 储 型 x s s 一 枚 ,   重 新 构 造 p a y l o a d 闭 合 后 面 的 尖 括 号 果 然 ， 第 1 枚 存 储 型 x s s 到 手 ； 继 续 ， 在 底 部 发 现 一 处 申 请 友 链 的 地 方 ： 直 接 复 用 之 前 邮 箱 处 的 p a y l o a d ， 毕 竟 讲 究 代 码 的 复 用 性 ， 我 相 信 漏 洞 也 是 可 以 复 用 的 开 启 上 帝 模 式 ， 去 后 台 看 看 " > < s c r i p t > a l e r t ( 2 0 2 1 ) < / s c r i p t > < " > < s c r i p t > a l e r t ( 2 0 2 1 ) < / s c r i p t > <
这 ， ， ， 果 真 就 漏 洞 复 用 呗 ， 第 2 枚 存 储 型 x s s 到 手 。 继 续 ， 找 到 一 处 能 留 言 的 地 方 ， 但 是 验 证 码 却 一 直 刷 不 出 来 上 帝 模 式 ， 直 接 把 验 证 码 的 功 能 干 掉 ， 并 不 影 响 漏 洞 成 因 先 试 试 改 动 的 代 码 生 效 没
提 示 " 昵 称 不 合 法 " ， 证 明 已 经 通 过 了 验 证 码 的 校 验 ， 可 以 继 续 弹 窗 了 ， 继 续 复 用 上 面 的 p a y l o a d 提 交 点 击 " 确 定 " ， ？ ？ ？   又 一 击 命 中   ？ 这 ， 第 3 枚 存 储 型 x s s 应 该 也 稳 了 捡 漏 " > < s c r i p t > a l e r t ( 2 0 2 1 ) < / s c r i p t > <
去 后 台 看 看 ， 最 终 在 " 求 片 留 言 " 处 成 功 触 发 第 3 枚 存 储 型 x s s 到 手 。 S Q L 注 入 回 到 首 页 ， 把 前 台 功 能 点 都 点 一 遍 ， b u r p 抓 包 ， 记 录 一 下 流 量 ， 然 后 慢 慢 看 。 首 先 根 据 流 量 定 位 到 注 册 用 户 处
这 意 味 着 用 户 名 和 数 据 库 很 有 可 能 是 有 交 互 的 ， 也 就 很 有 可 能 产 生 注 入 点 注 入 1 到 手 ， 看 看 p a y l o a d 账 号 ： a d m i n s q l m a p   - r   r e g . t x t
b u r p 验 证 - 正 常 回 显 ： b u r p 验 证 - 延 迟 回 显 ： 漏 洞 成 因 - / u c e n t e r / r e g . p h p ： 跟 进 / s y s t e m / i n c . p h p #   布 尔 盲 注 n a m e = a d m i n '   A N D   9 6 9 4 = 9 6 9 4   A N D   ' m l p t ' = ' m l p t & e m a i l = a d m i n @ a d m i n . c o m & p a s s w o r d = 1 2 3 4 5 6 & s u b m i t = #   时 间 盲 注 n a m e = a d m i n '   A N D   ( S E L E C T   6 5 7 4   F R O M   ( S E L E C T ( S L E E P ( 5 ) ) ) Q S r v )   A N D   ' r F g a ' = ' r F g a & e m a i l = a d m i n @ a d m i n . c o m & p a s s w o r d = 1 2 3 4 5 6 & s u b m i t =
继 续 ， ， ， 在 l i b r a r y . p h p 中 发 现 了 这 样 一 段 处 理 代 码 对 $ _ P O S T 使 用 a d d s l a s h e s _ d e e p ( ) 函 数 进 行 处 理 ， a d d s l a s h e s _ d e e p 定 义 如 下 a d d s l a s h e s ( ) :   添 加 反 斜 杠 对 单 引 号 进 行 转 义 ； 即 a d d s l a s h e s _ d e e p ( ) 的 作 用 是 对 单 引 号 的 全 局 过 滤 。 理 论 上 来 说 U T F - 8 编 码 + 单 引 号 全 局 过 滤 在 这 里 是 可 以 避 免 S Q L 注 入 的 ， 但 是 作 者 来 了 一 波 " 负 负 得 正 " : 相 当 于 ， $ _ P O S T [ n a m e ] 经 a d d s l a s h e s _ d e e p ( ) 处 理 后 转 义 了 单 引 号 ， 然 后 s t r i p s l a s h e s ( ) 函 数 又 把 a d d s l a s h e s ( ) 添 加 的 反 斜 杠 给 去 掉 ， 这 不 就 是 没 有 任 何 过 滤 嘛 ？ 根 据 " 漏 洞 复 用 准 则 " ， 直 接 全 局 搜 索 s t r i p s l a s h e s ( ) 见 u c e n t e r / a c t i v e . p h p :
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理