搜索

[14330] 2019-07-10_一次CMS源码审计与漏洞发现

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2019-07-10_一次CMS源码审计与漏洞发现 一 次 C M S 源 码 审 计 与 漏 洞 发 现 K r i s t o n   F r e e B u f   2 0 1 9 - 0 7 - 1 0 最 近 一 直 在 学 习 《 最 近 一 直 在 学 习 《 [ 红 日 安 全 红 日 安 全 ] 代 码 审 计 》 系 列 中 关 于 代 码 审 计 》 系 列 中 关 于 p h p 代 码 中 存 在 的 问 题 ， 从 中 受 益 匪 浅 。 从 中 选 取 了 一 个 代 码 中 存 在 的 问 题 ， 从 中 受 益 匪 浅 。 从 中 选 取 了 一 个 D M 企 业 建 站 的 企 业 建 站 的 c m s 用 作 练 习 ， 在 还 原 了 练 习 用 作 练 习 ， 在 还 原 了 练 习 中 的 漏 洞 后 尝 试 对 其 进 行 代 码 审 计 ， 运 用 近 期 学 习 到 的 中 的 漏 洞 后 尝 试 对 其 进 行 代 码 审 计 ， 运 用 近 期 学 习 到 的 p h p 审 计 知 识 点 对 该 审 计 知 识 点 对 该 c m s 进 行 了 审 计 ， 并 很 幸 运 的 发 现 了 一 枚 远 程 代 码 执 行 漏 洞 。 接 下 来 详 细 记 录 了 进 行 了 审 计 ， 并 很 幸 运 的 发 现 了 一 枚 远 程 代 码 执 行 漏 洞 。 接 下 来 详 细 记 录 了 漏 洞 发 现 的 过 程 与 大 家 交 流 学 习 。 漏 洞 发 现 的 过 程 与 大 家 交 流 学 习 。 0 x 0 1   环 境 搭 建 环 境 搭 建 选 用 了 X A M P P   与   D M 企 业 建 站 v 2 0 1 9 0 5 2 2   进 行 代 码 审 计 。 X A M P P （ A p a c h e + M y S Q L + P H P + P E R L ） 是 一 个 功 能 强 大 的 建 站 集 成 软 件 包 ， 主 界 面 如 下 ： 0 x 0 2   代 码 审 计 代 码 审 计 C M S 通 常 会 包 含 i n s t a l l 文 件 ， 方 便 用 户 网 站 一 键 搭 建 。 但 是 该 文 件 也 是 经 常 出 现 漏 洞 的 位 置 ， 本 次 审 计 的 C M S 漏 洞 也 是 出 现 在 安 装 部 分 ， 具 体 细 节 如 下 ： [ + ]   漏 洞 位 置 漏 洞 位 置   ： ： / i n s t a l l . p h p 可 以 看 出 程 序 接 收 参 数 后 对 参 数 进 行 了 过 滤 ， 然 后 拼 接 成 一 个 字 符 串 写 入 到 了 文 件 之 中 ， 继 续 查 看 h t m l e n t i t d m 函 数 。 该 函 数 中 过 滤 了 一 部 分 非 法 字 符 串 ， 但 是 过 滤 的 并 不 完 全 ， 还 有 许 多 字 符 没 有 过 滤 。 在 这 里 还 要 用 到 p h p 语 言 的 特 性 ： P H P 可 变 变 量   。 在 P H P 中 双 引 号 包 裹 的 字 符 串 中 可 以 解 析 变 量 ， 而 单 引 号 则 不 行 。 （ [ 红 日 安 全 ] 代 码 审 计 ） 在 第 一 段 代 码 中 ：     i f ( $ a c t = = ' d o i t ' ) {         e c h o   '   < d i v   c l a s s = " w r a p " >   ' ;         $ l o c a l   =   h t m l e n t i t d m ( $ _ P O S T [ ' l o c a l ' ] ) ;         $ d a t a   =   h t m l e n t i t d m ( $ _ P O S T [ ' d a t a ' ] ) ;         $ u s e r   =   h t m l e n t i t d m ( $ _ P O S T [ ' u s e r ' ] ) ;         $ p s   =   h t m l e n t i t d m ( $ _ P O S T [ ' p s ' ] ) ;         $ m y s q l 5 5   =   h t m l e n t i t d m ( $ _ P O S T [ ' m y s q l 5 5 ' ] ) ;         i f ( $ m y s q l 5 5 = = ' y ' )   $ m y s q l c o n t   =     f i l e _ g e t _ c o n t e n t s ( $ f i l e s q l n e w ) ;         e l s e     $ m y s q l c o n t   =     f i l e _ g e t _ c o n t e n t s ( $ f i l e s q l o l d ) ;         / / e c h o   $ m y s q l c o n t ;                 f i l e _ p u t _ c o n t e n t s ( $ f i l e s q l , $ m y s q l c o n t ) ;         $ c o n t e n t   =   ' < ? p h p     $ m y s q l _ s e r v e r _ n a m e = " ' . $ l o c a l . ' " ;   $ m y s q l _ d a t a b a s e = " ' . $ d a t a . ' " ;   $ m y s q l _ u s e r n a m e = " ' . $ u s e r . ' " ;     $ m y s q l _ p a s s w o r d = " ' . $ p s . ' " ;   ? > ' ;         f i l e _ p u t _ c o n t e n t s ( $ f i l e , $ c o n t e n t ) ;                 . . . f u n c t i o n   h t m l e n t i t d m ( $ v ) {         $ v   =   s t r _ r e p l a c e ( " . . ' " ,   " = = = - " ,   $ v ) ;   / / f i l t e r   s o m e t h i n g             $ v   =   s t r _ r e p l a c e ( ' : ' , ' = = = - ' ,   $ v ) ;         $ v   =   s t r _ r e p l a c e ( ' ' , ' = = = - ' ,   $ v ) ;       r e t u r n   h t m l e n t i t i e s ( t r i m ( $ v ) , E N T _ Q U O T E S , " u t f - 8 " ) ; } / / e n d   f u n c
可 以 发 现 拼 接 后 的 字 符 串 把 所 有 的 变 量 都 放 到 了 单 引 号 中 ， 并 且 在 字 符 串 过 滤 时 并 没 有 过 滤 ‘ { } ’ ， ‘ ( ) ’ 和 ‘ $ ’ 等 非 法 字 符 。 这 样 一 来 漏 洞 利 用 方 式 就 很 清 晰 了 ， 通 过 变 量 注 入 可 执 行 代 码 ， 再 去 访 问 注 入 代 码 的 p h p 文 件 即 可 。 0 x 0 3   漏 洞 触 发 漏 洞 触 发 在 搞 清 楚 漏 洞 利 用 法 式 后 ， 下 一 步 就 是 要 寻 找 漏 洞 触 发 点 ， 我 们 可 以 按 照 建 站 顺 序 一 步 一 步 寻 找 ， 因 为 漏 洞 点 在 i n s t a l l . p h p ， 其 漏 洞 触 发 点 也 应 该 在 安 装 部 分 。 在 安 装 的 过 程 中 可 以 发 现 上 图 界 面 ， 主 要 是 对 数 据 库 进 行 配 置 。 传 入 的 参 数 与 漏 洞 点 参 数 相 同 ， 所 以 在 参 数 部 分 尝 试 进 行 注 入 ‘ $ { p h p i n f o ( ) } ’ （ 任 意 字 段 注 入 效 果 相 同 ） 。 接 下 来 需 要 寻 找 代 码 插 入 的 文 件 位 置 ， 最 后 在 ‘ d a t a b a s e . p h p ’ 文 件 中 发 现 了 插 入 的 代 码 ， 如 下 图 ： 在 p h p 解 析 过 程 中 ， 双 引 号 内 的 字 符 串 被 当 做 变 量 执 行 ， 但 是 / c o m p o n e n t / d m - c o n f i g / d a t a b a s e . p h p 文 件 无 法 直 接 访 问 。 继 续 寻 找 可 访 问 该 文 件 的 路 径 ， 最 后 发 现 在 ‘ i n d e x . p h p ’ 中 包 含 了 ‘ i n d e x D M _ l o a d . p h p ’ 。 在 ‘ i n d e x D M _ l o a d . p h p ’ 中 包 含 了 我 们 所 需 要 的 ‘ d a t a b a s e . p h p ’ 。 因 此 直 接 访 问 网 站 首 页 后 可 以 远 程 执 行 代 码 ， 最 终 效 果 如 下 ： 执 行 p h p i n f o ( ) 效 果 图 ： 0 x 0 4   新 的 问 题 新 的 问 题 在 C M S 建 站 结 束 后 ， i n s t a l l 文 件 一 般 都 会 删 除 ， 防 止 攻 击 者 重 新 访 问 后 重 建 网 站 。 在 D M 企 业 建 站 中 ， 建 站 结 束 后 ' i n s t a l l . p h p ' 会 被 重 命 名 为 ‘ i n s t a l l + 9 位 随 机 数 . p h p ’ ， $ c o n t e n t   =   ' < ? p h p   $ m y s q l s e r v e r n a m e = " ' . $ l o c a l . ' " ;   $ m y s q l d a t a b a s e = " ' . $ d a t a . ' " ;   $ m y s q l u s e r n a m e = " ' . $ u s e r . ' " ;   $ m y s q l p a s s w o r d = " ' . $ p s . ' " ;   ? > ' ; _
一 开 始 打 算 尝 试 爆 破 i n s t a l l 的 新 生 成 的 文 件 ， 但 是 9 位 随 机 数 爆 破 空 间 为 1 0 的 9 次 方 ， 爆 破 空 间 太 大 没 有 什 么 可 行 性 。 之 后 在 代 码 中 找 到 了 重 命 名 部 分 的 代 码 ： 可 以 看 出 i n s t a l l 文 件 并 不 是 完 全 的 9 位 随 机 数 命 名 ， 而 是 i n s t a l l   +   四 位 随 机 （ 1 1 1 1 - 9 9 9 9 ）   +   ‘ 6 ’   +   四 位 随 机 数 （ 1 1 1 1 - 9 9 9 9 ）   +   ‘ . p h p ’ ， 这 样 以 来 爆 破 空 间 缩 小 了 很 多 ， 通 过 爆 破 可 以 在 很 短 的 时 间 内 找 到 i n s t a l l 文 件 的 新 路 径 ， 爆 破 代 码 也 很 好 实 现 。 0 x 0 5   最 终 流 程 最 终 流 程 s t e p 1 ： 暴 力 破 解 重 命 名 后 的 i n s t a l l 文 件 位 置 s t e p 2 ： 访 问 重 命 名 后 的 i n s t a l l 文 件 ， 并 在 参 数 中 注 入 形 如 ‘ $ { p h p i n f o ( ) } ’ 的 代 码 s t e p 3 ： 访 问 网 站 首 页 执 行 代 码 在 这 里 也 可 以 尝 试 通 过 远 程 代 码 执 行 向 网 站 中 写 入 后 门 文 件 ， 再 通 过 连 接 后 门 文 件 管 理 整 个 网 站 。 以 上 就 为 我 发 现 漏 洞 及 利 用 的 整 个 流 程 ， 漏 洞 并 不 难 ， 记 录 下 来 与 大 家 共 同 学 习 交 流 。 （ 已 通 知 该 c m s 开 发 修 改 漏 洞 ） * 本 文 作 者 ： 本 文 作 者 ： K r i s t o n ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理