搜索

[13828] 2019-03-05_从小众blueCMS入坑代码审计

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-03-05_从小众blueCMS入坑代码审计 从 小 众 b l u e C M S 入 坑 代 码 审 计 1 3 3 2 4 0 7 4 8 9 3   F r e e B u f   2 0 1 9 - 0 3 - 0 5 b l u e C M S 介 绍 介 绍 终 于 决 定 要 入 坑 终 于 决 定 要 入 坑 “ 代 码 审 计 代 码 审 计 ” ， 之 前 也 陆 陆 续 续 试 着 做 一 些 ， 但 总 是 浅 尝 而 止 ， 并 没 有 坚 持 下 来 。 作 为 一 个 菜 ， 之 前 也 陆 陆 续 续 试 着 做 一 些 ， 但 总 是 浅 尝 而 止 ， 并 没 有 坚 持 下 来 。 作 为 一 个 菜 鸟 ， 在 之 前 也 看 了 许 多 大 牛 的 文 章 ， 学 习 了 一 些 新 的 思 路 ， 看 着 大 牛 简 简 单 单 就 挖 到 了 一 些 鸟 ， 在 之 前 也 看 了 许 多 大 牛 的 文 章 ， 学 习 了 一 些 新 的 思 路 ， 看 着 大 牛 简 简 单 单 就 挖 到 了 一 些 0 d a y ， 显 着 特 别 高 ， 显 着 特 别 高 大 上 ， 心 生 羡 慕 的 同 时 自 己 也 想 试 着 写 一 写 ， 写 的 不 好 ， 希 望 大 家 能 够 包 容 。 因 为 水 平 还 不 够 ， 所 以 就 选 了 一 大 上 ， 心 生 羡 慕 的 同 时 自 己 也 想 试 着 写 一 写 ， 写 的 不 好 ， 希 望 大 家 能 够 包 容 。 因 为 水 平 还 不 够 ， 所 以 就 选 了 一 个 特 别 小 众 的 个 特 别 小 众 的 b l u e C M S 。 同 时 做 总 结 ， 搞 清 楚 漏 洞 原 理 。 好 ， 进 入 正 文 ！ 。 同 时 做 总 结 ， 搞 清 楚 漏 洞 原 理 。 好 ， 进 入 正 文 ！ b l u e C M S 是 一 款 小 众 的 C M S ， 网 上 也 有 人 发 布 其 相 关 漏 洞 。 目 前 先 分 析 那 些 文 章 提 到 的 漏 洞 ， 进 行 漏 洞 的 复 现 。 增 长 一 下 经 验 ， 也 不 奢 求 能 发 现 什 么 高 质 量 的 漏 洞 ， 只 要 能 在 大 牛 的 基 础 上 发 现 新 的 漏 洞 ， 就 已 经 满 足 了 。 接 下 来 对 已 公 布 的 漏 洞 进 行 分 析 ： 一 个 是 位 于 根 目 录 下 的 a d _ j s . p h p 文 件 中 ， 存 在 s q l 注 入 。 环 境 准 备 环 境 准 备 B l u e C M S   v 1 . 6 P h p s t u d y （ 可 快 速 搭 建 环 境 ）   p h p 5 . 2 + a p a c h e + m y s q l 操 作 系 统   W I N 7   6 4 位 s q l 注 入 注 入 问 题 问 题 1 ： ： 首 先 查 看 配 置 文 件 ， 发 现 网 站 有 统 一 的 过 滤 方 法 ， 在 文 件 c o m m o n . i n c . p h p 中 ， 对 $ _ p o s t 、 $ _ g e t 、 $ _ c o o k i e s 和 $ _ r e q u e s t 统 一 进 行 g p c 处 理 。 代 码 如 下 ： 产 生 漏 洞 的 文 件 a d _ j s . p h p ， 代 码 中 直 接 对 变 量 $ a d _ i d 进 行 拼 接 ， 没 有 使 用 单 引 号 ， 所 以 我 们 可 以 绕 过 魔 术 引 号 的 转 译 。 追 踪 函 数 g e t o n e ( ) ， 代 码 在 m y s q l . c l a s s . p h p 中 ， 直 接 执 行 了 s q l 语 句 。 i f ( ! g e t _ m a g i c _ q u o t e s _ g p c ( ) ) {         $ _ P O S T   =   d e e p _ a d d s l a s h e s ( $ _ P O S T ) ;         $ _ G E T   =   d e e p _ a d d s l a s h e s ( $ _ G E T ) ;         $ _ C O O K I E S   =   d e e p _ a d d s l a s h e s ( $ _ C O O K I E S ) ;         $ _ R E Q U E S T   =   d e e p _ a d d s l a s h e s ( $ _ R E Q U E S T ) ; }
漏 洞 复 现 ， 脚 本 p o c 直 接 爬 取 用 户 名 和 密 码 ： h t t p : / / 1 7 2 . 1 6 . 6 9 . 2 / b l u e c m s / a d _ j s . p h p ? a d _ i d = 1   U N I O N   S E L E C T 1 , 2 , 3 , 4 , 5 , 6 , G R O U P _ C O N C A T ( a d m i n _ n a m e , 0 x 3 a , p w d )   F R O M   b l u e _ a d m i n s q l 注 入 注 入 问 题 问 题 2 ： ： 配 置 文 件 中 对 $ _ p o s t 、 $ _ g e t 、 $ _ c o o k i e s 和 $ _ r e q u e s t 统 一 进 行 g p c 处 理 ， 但 是 遗 漏 了 $ _ S E R V E R 。 而 且 网 站 恰 恰 通 过 该 变 量 获 取 i p 地 址 ， 因 此 我 们 就 可 以 对 i p 通 过 c l i e n t - i p 或 x - f o r w a r d e d - f o r 等 进 行 伪 造 。 代 码 如 下 ： 所 以 我 们 接 下 来 的 思 路 ， 对 g e t i p 进 行 全 文 搜 索 ， 查 到 文 件 c o m m e n t . p h p ， 点 击 进 去 ， 进 行 追 踪 。 进 入 到 文 件 c o m m e n t . p h p 中 ， 我 们 发 现 网 站 还 是 做 了 安 全 处 理 的 ， 如 对 c o m m e n t 内 容 做 了 h t m l 转 译 ， 所 以 x s s 不 存 在 了 ， 其 它 的 参 数 进 行 g p c 转 译 和 字 符 的 i n t v a l 强 制 转 换 ， 基 本 上 避 免 了 s q l 漏 洞 ； 而 且 我 们 还 可 以 确 定 漏 洞 触 发 的 地 点 ， 在 评 论 处 ： 漏 洞 复 现 ： f u n c t i o n   g e t i p ( ) {         i f   ( g e t e n v ( ' H T T P _ C L I E N T _ I P ' ) )         {                 $ i p   =   g e t e n v ( ' H T T P _ C L I E N T _ I P ' ) ;           }         e l s e i f   ( g e t e n v ( ' H T T P _ X _ F O R W A R D E D _ F O R ' ) )           {                   $ i p   =   g e t e n v ( ' H T T P _ X _ F O R W A R D E D _ F O R ' ) ;         }         e l s e i f   ( g e t e n v ( ' H T T P _ X _ F O R W A R D E D ' ) )           {                   $ i p   =   g e t e n v ( ' H T T P _ X _ F O R W A R D E D ' ) ;         }         e l s e i f   ( g e t e n v ( ' H T T P _ F O R W A R D E D _ F O R ' ) )         {                 $ i p   =   g e t e n v ( ' H T T P _ F O R W A R D E D _ F O R ' ) ;           }         e l s e i f   ( g e t e n v ( ' H T T P _ F O R W A R D E D ' ) )         {                 $ i p   =   g e t e n v ( ' H T T P _ F O R W A R D E D ' ) ;         }         e l s e         {                   $ i p   =   $ _ S E R V E R [ ' R E M O T E _ A D D R ' ] ;         }         r e t u r n   $ i p ; }
重 定 向 漏 洞 重 定 向 漏 洞 参 数 $ f r o m 可 控 ， 紧 紧 使 用 b a s e 6 4 进 行 加 密 ， 漏 洞 位 置 ， 在 登 录 的 时 候 触 发 ， 不 过 问 题 不 严 重 。 漏 洞 实 现 X s s 漏 洞 漏 洞 X s s 漏 洞 点 1 ： 在 文 件 u s e r . p h p 中 ， 我 们 可 以 看 到 编 辑 个 人 资 料 的 地 方 ， 存 在 存 储 型 x s s 漏 洞 ， 因 为 只 有 $ a d d r e s s 进 行 了 h t m l 转 译 处 理 ， 但 是 其 他 的 变 量 进 行 的 长 度 的 限 制 。 测 试 了 一 下 ， 只 有 在 变 量 $ e m a i l 和 $ m s n 处 导 致 x s s 漏 洞 。 如 变 量 q q 、 m o b i l e _ p h o n e 等 ， 长 度 限 制 为 2 0 ， 所 以 不 能 触 发 x s s 了 。   / / 编 辑 个 人 资 料 e l s e i f ( $ a c t   = =   ' e d i t _ u s e r _ i n f o ' ) {           $ u s e r _ i d   =   i n t v a l ( $ _ S E S S I O N [ ' u s e r _ i d ' ] ) ;           i f ( e m p t y ( $ u s e r _ i d ) ) {                   r e t u r n   f a l s e ;           }         $ b i r t h d a y   =   t r i m ( $ _ P O S T [ ' b i r t h d a y ' ] ) ;         $ s e x   =   i n t v a l ( $ _ P O S T [ ' s e x ' ] ) ;         $ e m a i l   =   ! e m p t y ( $ _ P O S T [ ' e m a i l ' ] )   ?   t r i m ( $ _ P O S T [ ' e m a i l ' ] )   :   ' ' ;         $ m s n   =   ! e m p t y ( $ _ P O S T [ ' m s n ' ] )   ?   t r i m ( $ _ P O S T [ ' m s n ' ] )   :   ' ' ;         $ q q   =   ! e m p t y ( $ _ P O S T [ ' q q ' ] )   ?   t r i m ( $ _ P O S T [ ' q q ' ] )   :   ' ' ;         $ m o b i l e _ p h o n e   =   ! e m p t y ( $ _ P O S T [ ' m o b i l e _ p h o n e ' ] )   ?   t r i m ( $ _ P O S T [ ' m o b i l e _ p h o n e ' ] )   :   ' ' ;         $ o f f i c e _ p h o n e   =   ! e m p t y ( $ _ P O S T [ ' o f f i c e _ p h o n e ' ] )   ?   t r i m ( $ _ P O S T [ ' o f f i c e _ p h o n e ' ] )   :   ' ' ;         $ h o m e _ p h o n e       =   ! e m p t y ( $ _ P O S T [ ' h o m e _ p h o n e ' ] )   ?   t r i m ( $ _ P O S T [ ' h o m e _ p h o n e ' ] )   :   ' ' ;         $ a d d r e s s   =   ! e m p t y ( $ _ P O S T [ ' a d d r e s s ' ] )   ?   h t m l s p e c i a l c h a r s ( $ _ P O S T [ ' a d d r e s s ' ] )   :   ' ' ;
漏 洞 复 现 ： 参 数 $ e m a i l ； 弹 窗 成 功 按 下 F 1 2 ， 查 看 页 面 打 码 X s s 漏 洞 点 2 ： 在 文 件 u s e r . p h p 中 ， 我 们 可 以 看 到 添 加 新 闻 的 地 方 ， 存 在 存 储 型 x s s 漏 洞 ， 因 为 只 有 $ d e s c r i p t 和 $ c o n t e n t 没 有 进 行 h t m l 转 译 处 理 。 继 续 跟 踪 函 数 f i l t e r _ d a t a ， 代 码 如 下 ： 我 们 很 容 易 进 行 绕 过 ， 如 利 用 < i m g   s r c = 1   o n e r r o r = a l e r t ( 1 ) > 或 者 大 小 写 绕 过 ， < s c i r < s c r i p t > < s c i r 阅 读 原 文         e l s e i f   ( $ a c t   = =   ' d o _ a d d _ n e w s ' )   {           i n c l u d e _ o n c e   ' i n c l u d e / u p l o a d . c l a s s . p h p ' ;           $ i m a g e   =   n e w   u p l o a d ( ) ;           $ t i t l e   =   ! e m p t y ( $ _ P O S T [ ' t i t l e ' ] )   ?   h t m l s p e c i a l c h a r s ( t r i m ( $ _ P O S T [ ' t i t l e ' ] ) )   :   ' ' ;           $ c o l o r   =   ! e m p t y ( $ _ P O S T [ ' c o l o r ' ] )   ?   h t m l s p e c i a l c h a r s ( t r i m ( $ _ P O S T [ ' c o l o r ' ] ) )   :   ' ' ;           $ c i d   =   ! e m p t y ( $ _ P O S T [ ' c i d ' ] )   ?   i n t v a l ( $ _ P O S T [ ' c i d ' ] )   :   ' ' ;           i f ( e m p t y ( $ c i d ) ) {                   s h o w m s g ( ' 新 闻 分 类 不 能 为 空 ' ) ;           }           $ a u t h o r   =   ! e m p t y ( $ _ P O S T [ ' a u t h o r ' ] )   ?   h t m l s p e c i a l c h a r s ( t r i m ( $ _ P O S T [ ' a u t h o r ' ] ) )   :   $ _ S E S S I O N [ ' a d m i n _ n a m e ' ] ;           $ s o u r c e   =   ! e m p t y ( $ _ P O S T [ ' s o u r c e ' ] )   ?   h t m l s p e c i a l c h a r s ( t r i m ( $ _ P O S T [ ' s o u r c e ' ] ) )   :   ' ' ;         $ c o n t e n t   =   ! e m p t y ( $ _ P O S T [ ' c o n t e n t ' ] )   ?   f i l t e r _ d a t a ( $ _ P O S T [ ' c o n t e n t ' ] )   :   ' ' ;         $ d e s c r i p t   =   ! e m p t y ( $ _ P O S T [ ' d e s c r i p t ' ] )   ?   m b _ s u b s t r ( $ _ P O S T [ ' d e s c r i p t ' ] ,   0 ,   9 0 )   :   m b _ s u b s t r ( h t m l 2 t e x t ( $ _ P O S T [ ' c o n t e n t ' ] ) , 0 ,   9 0 ) ; f u n c t i o n   f i l t e r _ d a t a ( $ s t r ) {         $ s t r   =   p r e g _ r e p l a c e ( " / < ( / ? ) ( s c r i p t | i ? f r a m e | m e t a | l i n k ) ( s * ) [ ^ < ] * > / " ,   " " ,   $ s t r ) ;         r e t u r n   $ s t r ; }
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理