搜索

[12797] 2018-06-07_代码审计之FiyoCMS案例分享

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-06-07_代码审计之FiyoCMS案例分享 代 码 审 计 之 F i y o   C M S 案 例 分 享 原 创   M o c h a z z   F r e e B u f   2 0 1 8 - 0 6 - 0 7 * 本 文 原 创 作 者 ： M o c h a z z ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 前 言 前 言 F i y o   C M S 是 小 型 的 商 务 电 话 服 务 及 移 动 合 作 工 具 ， 由 一 名 前 职 业 学 校 学 生 首 次 开 发 和 创 建 的 ， 后 者 当 时 在 是 小 型 的 商 务 电 话 服 务 及 移 动 合 作 工 具 ， 由 一 名 前 职 业 学 校 学 生 首 次 开 发 和 创 建 的 ， 后 者 当 时 在 R P L 的 的 S M K   1 0 三 宝 垄 学 习 。 三 宝 垄 学 习 。   那 时 他 的 名 字 不 是 那 时 他 的 名 字 不 是 F i y o   C M S ， 而 是 ， 而 是 S i r i o n ， 它 是 ， 它 是 S i t e   A d m i n i s t r a t i o n 的 首 字 母 缩 的 首 字 母 缩 写 。 写 。 P S ： 虽 然 网 上 有 一 些 分 析 文 章 ， 但 是 通 过 本 次 审 计 ， 还 是 发 现 了 一 些 其 他 的 漏 洞 ， 再 次 做 个 总 结 ， 漏 洞 触 发 过 程 均 以 g i f 图 片 来 展 示 。 审 计 漏 洞 审 计 漏 洞 任 意 文 件 删 除 任 意 文 件 删 除 漏 洞 文 件 位 置 ： d a p u r a p p s a p p _ c o n f i g c o n t r o l l e r b a c k u p e r . p h p   ， 实 际 上 这 个 c m s 多 处 都 存 在 这 个 问 题 。 可 以 非 常 明 确 的 看 到 这 个 程 序 供 的 大 部 分 功 能 都 是 用 于 备 份 ， 但 是 P O S T 传 过 去 的 参 数 又 不 经 过 过 滤 直 接 和 路 径 进 行 拼 接 ( 第 1 0 行 ) ， 导 致 路 径 穿 越 ， 再 结 合   u n l i n k   函 数 就 导 致 了 任 意 文 件 删 除 。 S Q L 注 入 点 注 入 点 注 入 点 一 ： 该 c m s 的 u p d a t e 方 法 中 存 在 S Q L 注 入 ， 可 以 看 到 程 序 对 变 量   $ w h e r e   直 接 进 行 了 拼 接 ， 具 体 代 码 如 下 ：
举 个 例 子 ， 我 们 对   d a p u r a p p s a p p _ u s e r c o n t r o l l e r s t a t u s . p h p   文 件 进 行 S Q L 注 入 ， 这 里 直 接 用 s q l m a p 进 行 验 证 ， 后 台 用 户 身 份 ， 访 问 链 接   h t t p : / / 1 9 2 . 1 6 8 . 4 3 . 2 2 9 / f i y o c m s / d a p u r / a p p s / a p p _ u s e r / c o n t r o l l e r / s t a t u s . p h p ? s t a t = 1 & i d = 1   保 存 请 求 包 为   h e a d e r s . t x t   ， 将 参 数   i d = 1   改 成 i d = 1 *   ， 然 后 使 用 命 令 s q l m a p   - r   h e a d e r s . t x t   — b a t c h   — d b s   ， 效 果 如 下 ： 注 入 点 二 ： 待 绕 过
漏 洞 文 件 在 s y s t e m f u n c t i o n . p h p   中 的   o n e Q u e r y   方 法 。 文 件 读 取 漏 洞 文 件 读 取 漏 洞 这 里 只 能 读 取 后 缀 为 ： h t m l 、 h t m 、 x h t m l 、 j s 、 j s p 、 p h p 、 c s s 、 x m l   的 任 意 文 件 ， 漏 洞 文 件 在   d a p u r a p p s a p p _ t h e m e l i b s c h e c k _ f i l e . p h p   中 ， 第 5 行 代 码 未 对 $ _ G E T [ s r c ]   和   $ _ G E T [ n a m e ]   变 量 进 行 过 滤 ， 导 致 路 径 穿 越 ， 结 合   f i l e _ g e t _ c o n t e n t s   函 数 ， 造 成 文 件 读 取 漏 洞 。
效 果 如 下 ： 任 意 文 件 上 传 漏 洞 这 个 漏 洞 是 在 登 录 后 台 的 时 候 ， 发 现 有 个 文 件 管 理 的 功 能 。 于 是 查 看 了 一 下 程 序 源 代 码 ， 果 然 没 有 过 滤 。 看 下 图 最 后 四 行 代 码 ， 又 是 路 径 穿 越 ， 也 不 检 查 文 件 后 缀 名 。
效 果 如 下 ： C S R F 添 加 超 级 用 户 添 加 超 级 用 户 漏 洞 位 置   d a p u r a p p s a p p _ u s e r s y s _ u s e r . p h p   ， 代 码 如 下 ：
可 以 看 到 该 程 序 实 现 了 添 加 用 户 的 功 能 ， 但 是 并 没 有 使 用 t o k e n 来 防 止 C S R F 攻 击 ， 所 以 我 们 可 以 很 容 易 的 构 造 如 下 P O C ： 当 管 理 员 点 击 我 们 构 造 好 的 页 面 h t t p : / / 1 9 2 . 1 6 8 . 1 9 9 . 2 2 9 / c s r f . h t m l   ， 将 添 加 一 个 t e s t 1 0 用 户 到 S u p e r   A d m i n i s t r a t o r 组
任 意 文 件 名 修 改 任 意 文 件 名 修 改 漏 洞 漏 洞 漏 洞 位 置   d a p u r a p p s a p p _ c o n f i g s y s _ c o n f i g . p h p   ， 本 来 程 序 提 供 的 功 能 是 修 改 后 台 路 径 ， 但 是 对 变 量 进 行 过 滤 ， 代 码 如 下 ： 我 们 可 以 将   c o n f i g . p h p   修 改 成   c o n f i g . t x t   ， 然 后 直 接 查 看 网 站 配 置 信 息 。 越 权 漏 洞 越 权 漏 洞 f i y o c m s 一 共 设 置 了 5 个 用 户 组 ， 等 级 为 1 - 5 ， 权 限 依 次 降 低 ， 而 只 有 等 级 1 - 3 有 权 限 登 录 后 台 ， 不 同 等 级 具 有 不 同 的 权
限 。 漏 洞 文 件 在   d a p u r a p p s a p p _ u s e r s y s _ u s e r . p h p   ， 可 以 看 到 程 序 在 对 用 户 账 户 进 行 操 作 前 ， 并 没 有 对 用 户 的 身 份 进 行 确 认 或 者 说 没 有 对 用 户 的 权 限 进 行 检 查 ， 这 也 是 越 权 漏 洞 产 生 的 原 因 。 攻 击 演 示 如 下 ：
总 结 总 结 可 以 看 到 ， 该 C M S 存 在 很 多 与 文 件 相 关 的 漏 洞 ， 究 其 原 因 ， 就 是 没 有 对 变 量 进 行 路 径 符 号 的 过 滤 。 至 于 C S R F 和 越 权 漏 洞 ， 应 对 用 户 身 份 进 行 确 认 、 增 加 t o k e n 值 检 测 ， 从 而 避 免 这 类 漏 洞 的 发 生 。 本 次 审 计 由 于 前 台 提 供 的 功 能 较 少 ， 所 以 基 本 上 挖 掘 的 都 是 后 台 的 漏 洞 。 笔 者 为 了 节 省 审 计 时 间 ， 直 接 根 据 后 台 提 供 的 功 能 ， 找 到 相 应 代 码 进 行 审 计 ， 这 样 能 大 大 加 快 审 计 速 度 。 * 本 文 原 创 作 者 ： M o c h a z z ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理