搜索

[2072] 2021-07-07_代码审计-熊海CMS任意文件下载0day

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2021-07-07_代码审计-熊海CMS任意文件下载0day 代 码 审 计 - 熊 海 C M S 任 意 文 件 下 载   0 d a y ? 原 创   d o n 9   d o n 9 s e c   2 0 2 1 - 0 7 - 0 7 收 录 于 话 题   # 代 码 审 计   , 8 个 前 言 前 言 1 枚 很 简 单 的 洞 ， 昨 天 有 看 到 公 众 号 写 了 这 个 c m s 的 审 计 文 章 ， 但 是 没 提 这 个 洞 ， 所 以 这 里 简 单 分 享 一 下 。 目 录 目 录 源 码 扫 描 F o r t i f y   S C A 漏 洞 分 析 静 态 分 析 ( p h p s t o r m ) 动 态 调 试 ( p h p s t o r m + x d e b u g ) 漏 洞 验 证 漏 洞 利 用 源 码 扫 描 源 码 扫 描 F o r t i f y   S C A 先 用 工 具 (   F o r t i f y   S C A   ) 扫 一 波 t i p : 中 文 乱 码 问 题
漏 洞 分 析 漏 洞 分 析 静 态 分 析 静 态 分 析   ( p h p s t o r m ) 疑 似 存 在 漏 洞 的 位 置 / f i l e s / d o w n l o a d s . p h p 触 发 漏 洞 的 参 数 为 $ s o u r c e F i l e ,   跟 进 整 个 传 参 过 程 ， 判 断 该 参 数 的 值 是 否 可 控 C T R L + 鼠 标 左 键 单 击 ， 一 路 回 溯 / / 打 开 文 件     $ f p   =   f o p e n ( " $ s o u r c e F i l e " ,   " r b " ) ;
这 里 大 概 就 可 以 看 出 参 数 $ s o u r c e F i l e 的 值 大 概 率 是 受 c i d （ 用 户 可 控 ） 影 响 的 ， s o f t a d d 的 值 直 接 影 响 最 后 的 $ s o u r c e F i l e ,   静 态 分 析 到 这 里 就 差 不 多 结 束 了 。 动 态 调 试 动 态 调 试   （ （ p h p s t o r m   +   x d e b u g ） ） 把 系 统 的 功 能 大 致 过 了 一 遍 ， 理 清 了 该 系 统 的 文 件 下 载 功 能 的 实 现 方 式 s t e p 1 :   由 管 理 员 发 布 下 载   （ / a d m i n / ? r = n e w s o f t ） 注 ： 管 理 员 是 可 以 通 过 修 改 C o o i k e 绕 过 登 录 验 证 的 ， 网 上 已 经 有 很 多 分 析 ， 这 里 就 不 做 过 多 分 析 了 。 s t e p 2 :   用 户 前 台 点 击 下 载 即 可   （ / ? r = d o w n l o a d s & t y p e = s o f t & l i n e = u n i c o m & c i d = ） 首 先 找 到 发 布 内 容   - >   发 表 软 件 的 功 能 点 似 乎 要 找 的 可 控 参 数 应 该 就 是 这 了 #   依 次 回 溯 f o p e n ( " $ s o u r c e F i l e " ,   " r b " ) ;                 | $ s o u r c e F i l e   =   $ f i l e a d d ;                 | $ f i l e a d d = $ d o w n [ ' s o f t a d d ' ] ;                 | $ d o w n =   m y s q l _ f e t c h _ a r r a y ( $ r e s u l t ) ;                 | $ r e s u l t   =   m y s q l _ q u e r y ( $ q u e r y )   o r   d i e ( ' S Q L 语 句 有 误 ： ' . m y s q l _ e r r o r ( ) ) ;                 | $ f i l e i d = a d d s l a s h e s ( $ _ G E T [ ' c i d ' ] ) ;
下 断 点 ， 开 启 监 听 一 路 F 7 , 跟 一 遍 参 数 过 程 （ 主 要 关 注 s o f t a d d ） 最 后 到 / a d m i n / f i l e s / n e w s o f t . p h p   ( 9 3   ~   9 7 ) $ q u e r y   =   " I N S E R T   I N T O   d o w n l o a d   ( t i t l e , k e y w o r d s , d e s c r i p t i o n , i m a g e s , h i t , x i a z a i , d a x i a o , l a n g u a g e , v e r s i o n , a u t h o r , d e m o , u r l , s o f t a d d , s o f t a d d 2 , x s , c o n t e n t )   V A L U E S ( ' $ t i t l e ' , ' $ k e y w o r d s ' , ' $ d e s c r i p t i o n ' , ' $ f i l e n a m e ' , ' 1 ' , ' 0 ' , ' $ d a x i a o ' , ' $ l a n g u a g e ' , ' $ v e r s i o n ' , ' $ a u t h o r ' , ' $ d e m o ' ) " ; @ m y s q l _ q u e r y ( $ q u e r y )   o r   d i e ( ' 新 增 错 误 ： ' . m y s q l _ e r r o r ( ) ) ; e c h o   " < s c r i p t > a l e r t ( ' 亲 爱 的 ， 下 载 , " . $ i m g s m s . " 成 功 保 存 。 ' ) ; l o c a t i o n . h r e f = ' ? r = s o f t l i s t ' < / s c r i p t > " ;   e x i t ; }
如 图 这 里 $ s o f t a d d 直 接 被 插 入 了 数 据 库 到 这 里 漏 洞 的 产 生 的 原 因 也 就 分 析 完 了 。 漏 洞 验 证 漏 洞 验 证 u s e   x h c m s ; s e l e c t   *   f r o m   d o w n l o a d s ;
回 到 首 页 ， 找 到 文 件 下 载 的 功 能 点 成 功 下 载   C : w i n d o w s w i n . i n i 漏 洞 利 用 漏 洞 利 用 C o o k i e 伪 造 + 任 意 文 件 下 载 数 据 库 配 置 文 件 / i n c / c o n n . i n f o . p h p
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理