搜索

[15594] 2020-07-11_基于ThinkPHP的CMS审计思路

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-07-11_基于ThinkPHP的CMS审计思路 基 于 T h i n k P H P 的 C M S 审 计 思 路 阔 诺 d i o 哒   F r e e B u f   2 0 2 0 - 0 7 - 1 1 前 言 前 言 y x t c m f 6 . 1 是 一 个 基 于 是 一 个 基 于 t h i n k p h p 3 . 2 . 3 的 的 c m s ， ， 1 9 年 年 3 月 份 发 布 ， 用 来 练 习 代 码 审 计 是 个 不 错 的 选 择 。 月 份 发 布 ， 用 来 练 习 代 码 审 计 是 个 不 错 的 选 择 。 审 计 思 路 审 计 思 路 由 于 这 个 c m s 采 用 M V C 架 构 并 且 是 基 于 t h i n k p h p 3 . 2 . 3 的 ， 所 以 先 了 解 文 件 结 构 ， 知 道 不 同 的 页 面 对 应 的 文 件 位 置 在 哪 。 然 后 搭 建 一 个 t p 3 . 2 . 3 了 解 一 下 这 个 框 架 ， 百 度 找 找 这 个 框 架 的 漏 洞 ， 再 通 过 S e a y 全 局 搜 索 可 能 因 为 这 个 框 架 存 在 漏 洞 的 关 键 词 。 接 下 来 上 自 动 审 计 （ 自 动 审 计 的 规 则 并 不 是 很 完 全 ， 所 以 可 以 通 过 自 己 审 计 的 经 验 添 加 规 则 或 者 上 百 度 找 一 些 规 则 ） ， 对 自 动 审 计 的 结 果 进 行 验 证 ， 结 果 可 能 会 有 几 百 上 千 条 ， 虽 然 不 用 每 一 条 都 去 看 ， 但 是 也 是 比 较 需 要 耐 心 的 。 最 后 可 以 拿 A W V S 之 类 的 扫 描 器 扫 一 扫 ， 看 看 能 不 能 扫 出 惊 喜 。 准 备 工 具 准 备 工 具 p h p s t o r m ， S e a y 源 码 审 计 系 统 ， p h p s t u d y ， A W V S 0 x 0 0   了 解 文 件 结 构 和 路 由 方 式 了 解 文 件 结 构 和 路 由 方 式 路 由 方 式
例 如 前 台 登 录 界 面 的 u r l 为 h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 1 4 / i n d e x . p h p / U s e r / L o g i n / i n d e x 则 对 应 的 文 件 目 录 为 / a p p l i c a t i o n / U s e r / L o g i n C o n t r o l l e r . c l a s s . p h p ， 函 数 为 i n d e x ( ) 0 x 0 1   了 解 了 解 t h i n k p h p 3 . 2 . 3 的 漏 洞 的 漏 洞 自 己 先 搭 建 一 个 t p 3 . 2 . 3 ， 通 过 百 度 找 到 了 一 些 t h i n k p h p 3 . 2 . 3 存 在 的 s q l 注 入 ， 然 后 记 录 下 来 简 单 说 明 一 下
t p 3 . 2 . 3 构 造 s q l 语 句 的 函 数 如 上 ， 如 果 $ o p t i o n 的 值 是 可 以 任 意 传 入 的 ， 那 么 就 有 可 能 达 到 s q l 注 入 的 目 的 1 . - > w h e r e ( “ 可 控 参 数 可 控 参 数 ” ) - > f i n d ( ) 测 试 代 码 如 上 ， 传 入 参 数 u s e r n a m e [ 0 ] = e x p & u s e r n a m e [ 1 ] = = ’ a d m i n ’   a n d   u p d a t e x m l ( 1 , c o n c a t ( 0 x 3 a , ( u s e r ( ) ) ) , 1 ) % 2 3 ， ， 然 后 调 试 跟 进 ， 主 要 代 码 段 如 下 ， $ w h e r e S t r 为 构 造 s q l 语 句 的 一 部 分 结 果 构 成 如 下 s q l 语 句 这 里 接 收 传 参 的 方 法 必 须 不 为 I ( $ _ G E T [ ‘ u s e r n a m e ’ ] ) ， 否 则 会 检 测 值 内 是 否 含 有 ’ e x p ’ ， 如 果 有 ， 就 会 加 上 空 格 变 为 ’ e x p   ‘ 2 . - > f i n d / s e l e c t / d e l e t e ( “ 可 控 参 数 可 控 参 数 ” ) 测 试 代 码 如 上 ， 传 入 i d [ w h e r e ] = 1   a n d   u p d a t e x m l ( 1 , c o n c a t ( 0 x 7 e , u s e r ( ) , 0 x 7 e ) , 1 )   % 2 3   ， 然 后 调 试 跟 踪 最 后 得 到 s q l 语 句 如 下 ， 不 需 要 单 引 号 闭 合 也 可 完 成 注 入 $ u s e r n a m e   =   $ _ G E T [ ' u s e r n a m e ' ] ; $ d a t a =   M ( ' u s e r s ' ) - > w h e r e ( a r r a y ( " u s e r n a m e " = > $ u s e r n a m e ) ) - > f i n d ( ) ; $ i d = I ( " i d " ) ; $ d a t a = M ( " u s e r s " ) - > f i n d ( $ i d ) ;
f i n d ( ) 换 成 s e l e c t ( ) 或 者 d e l e t e ( ) 也 是 一 样 的 效 果 3 . - > w h e r e ( “ 可 控 参 数 可 控 参 数 ” ) - > s a v e ( “ 可 控 参 数 可 控 参 数 ” ) 测 试 代 码 如 上 ， 传 入 u s e r n a m e [ 0 ] = b i n d & u s e r n a m e [ 1 ] = 0   a n d   ( u p d a t e x m l ( 1 , c o n c a t ( 0 x 3 a , ( u s e r ( ) ) ) , 1 ) ) % 2 3 & p a s s w o r d = 1 2 3 4 5 6 ， ， 调 试 跟 踪 4 . - > o r d e r ( “ 可 控 参 数 可 控 参 数 ” ) - > f i n d ( ) 测 试 代 码 如 上 ， 传 入 u s e r n a m e = a d m i n & o r d e r [ u p d a t e x m l ( 1 , c o n c a t ( 0 x 3 a , u s e r ( ) ) , 1 ) ] 最 后 的 s q l 语 句 如 下 了 解 了 几 个 t p 3 . 2 . 3 的 s q l 注 入 后 ， 就 可 以 搜 索 这 些 关 键 词 来 寻 找 s q l 注 入 0 x 0 2   全 局 搜 索 全 局 搜 索 s q l 注 入 注 入 正 则 学 的 不 是 很 好 ， 所 以 这 里 全 局 搜 索 虽 然 支 持 正 则 ， 但 是 没 去 用 ， 只 能 写 点 简 单 的 关 键 词 来 搜 索 ， 还 望 师 傅 们 指 点 指 点 全 局 搜 索 全 局 搜 索 - > f i n d ( $ c o n d i t i o n [ " u s e r n a m e " ] = I ( " u s e r n a m e " ) ; $ d a t a [ " p a s s w o r d " ] = I ( " p a s s w o r d " ) ; $ r e s = M ( " u s e r s " ) - > w h e r e ( $ c o n d i t i o n ) - > s a v e ( $ d a t a ) ; $ u s e r n a m e = I ( " u s e r n a m e " ) ; $ o r d e r = I ( " o r d e r " ) ; $ d a t a = M ( " u s e r s " ) - > w h e r e ( a r r a y ( " u s e r n a m e " = > $ u s e r n a m e ) ) - > o r d e r ( $ o r d e r ) - > f i n d ( ) ;
1 . 后 台 后 台 A d 控 制 器 控 制 器 s q l 注 入 注 入 点 进 去 第 一 条 发 现 w h e r e ( ) 内 的 $ i d 可 控 ， “ a d _ i d = $ i d ” ， 可 能 不 需 要 单 引 号 闭 合 就 可 以 s q l 注 入 先 随 便 传 个 参 数 看 看 s q l 语 句 是 怎 样 的 竟 然 这 样 ， 就 可 以 用 括 号 闭 合 来 注 入 了
2 . 前 台 前 台 r e g i s t e r 控 制 器 控 制 器 s q l 注 入 注 入 看 看 $ w h e r e 是 否 可 控 于 是 构 造 p a y l o a d 如 下 3 . 前 台 前 台 l o g i n 控 制 器 控 制 器 s q l 注 入 注 入 这 里 一 共 有 三 处 同 样 的 关 键 词 ， 需 要 注 意 的 一 点 是 ， 这 三 条 不 管 双 击 进 去 哪 一 条 后 都 只 会 高 亮 显 示 第 一 处 关 键 词 的 位 置 。 第 一 处 第 二 处
第 三 处 第 一 处 和 第 二 处 所 在 的 函 数 都 是 在 d o l o g i n ( ) 函 数 内 调 用 的 接 下 来 在 第 二 处 所 在 页 面 传 参 p a y l o a d 看 看 结 果 出 现 错 误 提 示 ， 那 么 就 调 试 跟 踪 看 看 是 哪 里 的 问 题
然 后 继 续 跟 进 这 行 代 码 ，
最 后 看 看 第 三 处 后 面 的 结 果 大 致 看 了 一 下 基 本 都 是 w h e r e ( ) 内 的 参 数 都 做 了 强 制 类 型 转 换 成 i n t 型 ， 或 者 不 可 控 ， 并 且 也 没 有 看 到 f i n ( ) 内 有 可 控 参 数 的 。 全 局 搜 索 全 局 搜 索 - > s e l e c t / d e l e t e (
这 两 都 没 找 到 s e l e c t / d e l e t e ( ) 里 面 有 可 控 参 数 的 全 局 搜 索 全 局 搜 索 - > s a v e ( 这 里 找 的 也 是 不 符 合 可 能 存 在 漏 洞 的 条 件 全 局 搜 素 全 局 搜 素 - > o r d e r ( 同 上 ， 没 看 到 o r d e r ( ) 内 有 可 控 参 数 的 0 x 0 3   自 动 审 计 自 动 审 计
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理