搜索

[15170] 2020-03-24_通读审计之AACMS

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-03-24_通读审计之AACMS 通 读 审 计 之 A A C M S H e i h u 5 7 7   F r e e B u f   2 0 2 0 - 0 3 - 2 4 0 x 0 0   前 言 前 言 其 实 没 什 么 好 说 的 ， 该 其 实 没 什 么 好 说 的 ， 该 c m s 不 是 主 流 的 不 是 主 流 的 c m s ， 但 是 感 觉 该 ， 但 是 感 觉 该 c m s 是 一 篇 很 好 的 是 一 篇 很 好 的 M V C 框 架 的 例 子 ， 故 记 录 下 来 。 给 大 家 分 享 一 下 自 己 代 码 审 计 的 经 验 。 框 架 的 例 子 ， 故 记 录 下 来 。 给 大 家 分 享 一 下 自 己 代 码 审 计 的 经 验 。 C m s 下 载 地 址 ： h t t p : / / w w w . m y c o d e s . n e t / 4 5 / 4 3 2 4 . h t m 0 x 0 1   M V C 框 架 的 了 解 框 架 的 了 解 首 先 我 们 需 要 对 该 c m s 进 行 通 读 代 码 ， 来 具 体 了 解 一 下 该 网 站 的 结 构 ， 如 何 访 问 到 某 个 模 块 ， 某 个 分 支 。 否 则 就 算 我 们 挖 到 漏 洞 ， 也 找 不 到 利 用 点 。 老 样 子 ， 我 们 从   i n d e x . p h p   来 进 行 代 码 审 计 。 上 来   r e q u i r e   一 个 文 件 ， 我 们 打 开 该 文 件 看 看 里 面 是 怎 么 玩 儿 的 。 O K ， 可 以 看 到 定 义 了 五 个 类 。 我 们 回 到 i n d e x . p h p 继 续 往 下 读 取 。 调 用   c o r e   类 的   i n s t a n c e   静 态 方 法 。 随 后 调 用 i n i t 成 员 方 法 。 我 们 看 一 下   i n s t a n c e   方 法 到 底 干 了 一 些 什 么 事 情 。 该 方 法 返 回 实 例 化 了 自 己 本 身 的 对 象 ， 从 开 发 的 角 度 来 讲 ， 这 种 叫 做 ： 单 例 模 式 。 随 后 我 们 看 一 下   i n i t   成 员 方 法 。
等 等 … ， 我 们 没 记 得 P H P 给 我 们 提 供 $ _ G 这 个 全 局 变 量 啊 ， 这 个 变 量 从 哪 而 来 的 ？ 真 的 是 莫 名 其 妙 。 。 。 不 卖 关 子 了 ， 其 实 这 里 我 们 忽 略 一 个 问 题 ， 当 我 们 n e w 对 象 时 ， 会 进 入 到 构 造 方 法 。 来 进 行 初 始 化 操 作 。 构 造 方 法 在 p h p 中 有 两 种 格 式 。 1 .   _ _ c o n s t r u c t   魔 术 方 法   2 .   将 成 员 方 法 定 义 为 类 名 。 好 ， i n i t 方 法 我 们 先 放 到 这 里 不 谈 ， 先 把 构 造 方 法 的 流 程 搞 清 楚 早 说 。 M m p 。 一 步 一 步 来 ， 不 然 裤 裆 可 能 会 扯 掉 。 。 。 找 不 到 _ _ c o n s t r u c t ， 那 么 构 造 方 法 就 是   c o r e   成 员 方 法 了 。 3 3 - 3 6 行 都 做 了 初 始 化 操 作 ， 我 们 依 次 来 看 一 下 。 可 以 看 到 第 6 4 行 又 进 行 了 包 含 操 作 。 我 们 这 里 打 开 该 文 件 看 一 下 代 码 到 底 是 怎 么 玩 儿 的 。
定 义 了 好 多 个 函 数 。 O K ， 我 们 回 来 继 续 往 下 审 计 ， 我 们 把 目 光 放 在 8 3 行 的 赋 值 操 作 。 因 为 看 方 法 名 凭 自 己 感 觉 就 是 。 X F F 头 。 。 。 被 p r e g _ m a t c h 正 则 表 达 式 所 限 制 ， 有 点 可 惜 。 _ i n i t _ e n v 方 法 大 致 了 解 了 我 们 继 续 往 下 读 取 看 一 下 _ i n i t _ c o n f i g 方 法 注 意 第 1 2 2 行 ， 将 包 含 进 来 的 $ _ c o n f i g 赋 值 给 $ _ G [ ‘ c o n f i g ’ ] 了 。 O K ， 我 们 继 续 往 下 通 读 _ i n i t _ i n p u t 方 法 。 我 们 跟 进   d a d d s l a s h e s   方 法 来 看 一 下 。
只 是 将 p h p 中 的 a d d s l a s h e s 封 装 起 来 了 。 回 头 我 们 继 续 看 _ i n i t _ o u t p u t 方 法 定 义 o b 缓 冲 机 制 等 。 转 回 大 头 来 ， ， 我 们 最 开 始 是 想 要 通 读 i n i t 方 法 ， 现 在 已 经 千 里 之 外 了 ， 当 然 我 们 要 回 去 继 续 通 读 i n i t 方 法 了 。 。 附 张 图 吧 ， 别 忘 了   = . = 好 ， 跟 着 逻 辑 继 续 往 下 走 。 我 们 看 到 1 8 2 行 $ t h i s - > d b   =   D B : : o b j e c t ( ‘ d b _ m y s q l ’ ) ， 调 用 D B 类 的 o b j e c t 静 态 方 法 。 我 们 看 一 下 该 方 法 做 了 一 些 什 么 。
O K ， $ t h i s - > d b 这 个 成 员 变 量 ， 是 实 例 化 d b _ m y s q l 类 的 对 象 。 随 后 调 用   d o _ m y s q l   对 象 的 s e t _ c o n f i g 与 c o n n e c t 方 法 ： 我 们 跟 进 这 两 个 方 法 做 了 什 么 处 理 2 9 3 行 图 中 注 释 ， 调 用 了   _ d b c o n n e c t   方 法 ， 跟 进 它 。
下 面 我 们 继 续 去 通 读 这 四 句 代 码 O K ， 我 们 继 续 读 取 最 后 一 行 代 码 ， i n c l u d e   t e m p l a t e ( ‘ i n d e x ’ ) ; 成 功 显 示 出 主 页 信 息 。 0 x 0 2   代 码 运 行 后 的 观 察 代 码 运 行 后 的 观 察 我 们 发 现 我 们 读 完 这 个 框 架 之 后 ， 依 旧 是 没 看 懂 什 么 玩 意 啊 ？ 就 一 个 H e l l o   W o r l d 。 其 实 入 口 点 不 止 i n d e x . p h p 这 一 个 文 件 。 还 有 a d m i n . p h p 与 a r t i c l e . p h p 啊 这 两 个 入 口 点 是 我 观 察 p h p 运 行 后 的 结 果 之 后 观 察 出 来 的 。 我 们 打 开 主 页 到 处 随 便 点 点 就 可 以 发 现 其 他 入 口 点 。 将 鼠 标 指 到 “ 以 a 标 签 解 释 出 来 的   文 章 ” ， 可 以 看 到 浏 览 器 底 部 有 跳 转 到 a r t i c l e . p h p 文 件 我 们 打 开   a r t i c l e . p h p   来 看 一 下 代 码 是 怎 么 写 的 。 $ t h i s - > _ i n i t _ m e m o r y ( ) ;           $ t h i s - > _ i n i t _ s e s s i o n ( ) ;           $ t h i s - > _ i n i t _ s e t t i n g ( ) ;           $ t h i s - > _ i n i t _ m i s c ( ) ;
如 图 ： 我 们 看 一 下   v i e w   文 件 中 的 代 码 是 怎 么 玩 儿 的 。 只 是 简 单 的 查 询 一 下 a r t i c l e 表 中 的 信 息 。 我 这 里 通 过 表 结 构 自 己 搭 建 一 个 S Q L 语 句 进 行 测 试 。 运 行 结 果 ： 再 来 看 看   a d m i n . p h p   文 件 中 代 码 的 流 程 。 可 以 看 到 2 0 行 多 包 含 了 . / s o u r c e / f u n c t i o n / f u n c t i o n _ a d m i n c p . p h p 文 件 ， 我 们 打 开 看 看 是 怎 么 玩 儿 的 。 I N S E R T   I N T O   p r e _ a r t i c l e ( c a t i d , t i t l e , u s e r n a m e , ` f r o m ` )   V A L U E S ( 2 , ' H e i h u 5 7 7 代 码 审 计 记 录 ' , ' H e i h u 5 7 7 ' , ' T 0 0 l s ' ) ;
定 义 了 好 多 方 法 。 经 过 2 5 - 2 8 行 的 处 理 ， 没 有 登 录 的 情 况 下 强 制 性 把 我 们 定 义 到 m e m b e r 模 块 下 ， 而 m e m b e r 所 对 应 的 文 件 是 a d m i n a d m i n _ m e m b e r . p h p   如 图 ： 进 入 改 文 件 可 以 再 次 看 到 ， 之 前 所 强 制 定 义 的 $ _ R E Q U E S T [ ‘ o p e r a t i o n ’ ] 是 在 这 里 进 行 判 断 走 分 支 的 。 如 图 ： 不 同 的 $ _ R E Q U E S T [ ‘ o p e r a t i o n ’ ] 所 对 应 不 同 的 代 码 。 我 们 当 前 在 没 有 登 录 的 情 况 之 下 ， 我 们 会 进 入 到 $ o p e r a t i o n = l o g i n 分 支 用 来 进 行 登 录 验 证 的 。 我 们 可 以 打 开 a d m i n . p h p 文 件 看 一 下 默 认 是 否 是 登 录 框 框 。
O K ， 逻 辑 没 有 问 题 ， 当 我 们 登 录 成 功 之 后 传 入   ? a c t i o n = m e m b e r & o p e r a t i o n = e d i t 则 会 进 入 到 另 一 个 管 理 页 面 ， 我 们 可 以 看 一 下 。 O K ， a d m i n . p h p 入 口 文 件 的 代 码 处 理 逻 辑 我 们 也 搞 清 楚 了 ， 接 下 来 我 们 开 始 挖 掘 漏 洞 。 0 x 0 3   宽 字 节 注 入 漏 洞 宽 字 节 注 入 漏 洞 当 我 们 安 装 该 C M S 时 ， 我 们 可 以 注 意 到 数 据 库 字 符 集 默 认 是 G B K 。 而 G B K 可 以 导 致 宽 字 节 注 入 漏 洞 ， 进 行 逃 逸 单 引 号 的 保 护 。 因 为 该 c m s 模 块 比 较 少 ， 我 这 里 就 只 审 计 a d m i n . p h p 入 口 文 件 所 对 应 的 模 块 了 。 在 路 径 为   a d m i n a d m i n _ m e m b e r . p h p   的   p h p 文 件 中 。 虽 然 $ _ P O S T 已 经 被 d a d d s l a s h e s 函 数 进 行 过 滤 引 号 ， 但 是 当 前 处 于 G B K 编 码 ， 我 们 可 以 用 P O S T 提 交 P a y l o a d ： 进 行 报 错 注 入 出 u s e r ( ) 函 数 返 回 信 息 。 漏 洞 验 证 结 果 ：
0 x 0 4   后 台 万 能 密 码 登 录 漏 洞 后 台 万 能 密 码 登 录 漏 洞 我 们 虽 然 可 以 通 过 该 注 入 点 拿 到 管 理 员 的 账 号 密 码 ， 但 是 我 们 可 以 看 一 下 它 的 密 码 规 则 。 可 以 说 是 非 常 强 悍 了 ! 虽 然 我 们 可 以 注 入 出 来 管 理 员 密 码 ， 但 是 解 密 也 是 非 常 的 繁 琐 。 既 然 我 们 有 管 理 员 登 录 处 的 注 入 点 ， 那 就 构 造 出 一 个 万 能 密 码 出 来 吧 。 通 过 程 序 代 码 我 们 组 织 成 中 国 汉 字 来 理 解 。 首 先 查 询 数 据 库 中 有 没 有 该 u s e r n a m e 字 段 ， 如 果 有 ， 则 继 续 往 下 判 断 。 这 里 我 们 可 以 提 交   P O S T ： u s e r n a m e = h e i h u % d f   ‘   o r   1 = 1   #   来 查 询 到 管 理 员 的 记 录 。 但 是 后 面 又 进 行 验 证 p a s s w o r d 字 段 ， 而 p a s s w o r d 字 段 是 查 询 到 的 u s e r n a m e 那 条 记 录 的 值 ， 我 们 无 法 获 取 。 其 次 m d 5 加 密 后 又 拼 接 上 了 盐 再 次 进 行 m d 5 加 密 ， 盐 是 s a l t 字 段 ， 也 是 数 据 库 中 所 获 取 的 。 所 以 我 们 只 好 使 用 U N I O N 注 入 来 查 询 出 自 己 构 造 的 表 单 。 以 P O S T 方 式 发 送 构 造 P a y l o a d ： 漏 洞 验 证 结 果 ： S Q L 原 理 解 析 ： （ 从 1 看 到 4 对 应 着 看 ， 一 部 分 是 p h p 代 码 执 行 过 程 ， 一 部 分 是 s q l 语 句 构 造 过 程 ） 0 x 0 5   u r l d e c o d e 导 致 的 注 入 漏 洞 导 致 的 注 入 漏 洞 漏 洞 文 件 在 ： a d m i n a d m i n _ m i s c . p h p ， 如 图 代 码 执 行 逻 辑 ： f o r m h a s h = e b a 3 b a f 7 & a d m i n _ u s e r n a m e = h e i h u % d f '   U N I O N   S E L E C T   1 , 2 , 0 x 6 4 3 3 3 5 6 5 3 6 3 6 3 8 6 6 3 7 3 7 6 5 6 5 3 4 3 3 3 2 6 6 6 1 6 4 6 5 3 4 3 9 6 6 3 7 6 4 3 7 6 3 6 6 6 4 3 6 6 1 6 4 3 4 , 4 , 1 , 6 , 7 , 8 , 9 , 1 0 , 1 1 , 1 2 , 1 3   - -   & a d m i n _ p a s s w o r d = 3 & l o g i n s u b m i t =
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理