搜索

[14150] 2019-05-25_小众CMSvaeThinkv1.0.1代码执行漏洞挖掘分析

文档创建者：s7ckTeam
浏览次数：44
最后更新：2025-01-18
2019-05-25_小众CMSvaeThinkv1.0.1代码执行漏洞挖掘分析 小 众 C M S   v a e T h i n k   v 1 . 0 . 1   代 码 执 行 漏 洞 挖 掘 分 析 y u n s l e   F r e e B u f   2 0 1 9 - 0 5 - 2 5 0 x 0 1   引 言 引 言 本 文 是 对 一 个 小 众 本 文 是 对 一 个 小 众 C M S （ （ v a e T h i n k   v 1 . 0 . 1 ） 进 行 分 析 、 代 码 执 行 漏 洞 挖 掘 和 审 计 过 程 的 记 录 ， 该 ） 进 行 分 析 、 代 码 执 行 漏 洞 挖 掘 和 审 计 过 程 的 记 录 ， 该 C M S 基 于 基 于 T h i n k P H P 5 开 发 。 作 为 一 名 代 码 审 计 的 入 门 菜 鸟 ， 也 希 望 能 够 将 实 践 和 学 习 的 过 程 记 录 和 分 享 ， 以 期 能 够 与 大 开 发 。 作 为 一 名 代 码 审 计 的 入 门 菜 鸟 ， 也 希 望 能 够 将 实 践 和 学 习 的 过 程 记 录 和 分 享 ， 以 期 能 够 与 大 家 共 同 交 流 进 步 。 家 共 同 交 流 进 步 。 0 x 0 2   分 析 分 析 通 过 将 项 目 源 码 下 载 到 本 地 ， 首 先 对 项 目 源 码 目 录 结 构 进 行 了 解 ： w w w   W E B 部 署 目 录 （ 或 者 子 目 录 ） g i t ├ ─ a p p                                       应 用 目 录 │     ├ ─ c o m m o n                           公 共 模 块 目 录 │     │     ├ ─ m o d e l                       公 共 模 型 目 录 │     ├ ─ a d m i n                             后 台 模 块 目 录 │     │     ├ ─ c o n t r o l l e r             模 块 控 制 器 目 录 │     │     ├ ─ m o d e l                       模 块 模 型 目 录 │     │     ├ ─ v a l i d a t e                 模 块 验 证 器 目 录 │     ├ ─ p o r t                               A P I 接 口 模 块 目 录 │     │     ├ ─ c o n t r o l l e r             模 块 控 制 器 目 录 │     │     ├ ─ m o d e l                       模 块 模 型 目 录 │     │     ├ ─ v a l i d a t e                 模 块 验 证 器 目 录 │     ├ ─ c o m m o n . p h p                   公 共 函 数 文 件 │ ├ ─ d a t a                                     数 据 目 录 │     ├ ─ c o n f                               配 置 目 录 │     │     ├ ─ m o d u l e _ n a m e           模 块 配 置 目 录 │     │     ├ ─ e x t r a                       额 外 配 置 目 录 │     │     ├ ─ c o m m a n d . p h p                 命 令 行 工 具 配 置 文 件 │     │     ├ ─ c o n f i g . p h p                   公 共 配 置 文 件 │     │     ├ ─ r o u t e . p h p                     路 由 配 置 文 件 │     │     ├ ─ t a g s . p h p                       应 用 行 为 扩 展 定 义 文 件 │     │     └ ─ d a t a b a s e . p h p               数 据 库 配 置 文 件 │     ├ ─ r u n t i m e                         应 用 的 运 行 时 目 录 │     └ ─ i n s t a l l . l o c k               用 于 系 统 鉴 定 是 否 完 成 安 装 │   ├ ─ p u b l i c                                 W E B 目 录 （ 对 外 访 问 目 录 ） │     ├ ─ p l u g i n                     插 件 目 录
得 到 C M S 的 项 目 源 码 后 ， 不 着 急 进 行 源 码 的 白 盒 审 计 ， 可 以 先 将 C M S 部 署 和 运 行 起 来 ， 认 识 和 了 解 其 功 能 点 ， 同 时 进 行 黑 盒 测 试 。 该 C M S 的 部 署 比 较 简 单 ， 只 要 有 的 环 境 ， 并 且 将 网 站 根 目 录 指 向 目 录 即 可 ， 接 着 根 据 提 示 安 装 。 安 装 完 成 之 后 ， 访 问 该 C M S 直 接 出 现 登 录 页 面 ： 需 要 注 意 的 是 ， 一 般 在 登 录 功 能 处 可 能 存 在 需 要 注 意 的 是 ， 一 般 在 登 录 功 能 处 可 能 存 在 S Q L 注 入 漏 洞 ， 但 是 本 文 着 重 挖 掘 代 码 执 行 漏 洞 的 挖 掘 ， 因 此 其 他 注 入 漏 洞 ， 但 是 本 文 着 重 挖 掘 代 码 执 行 漏 洞 的 挖 掘 ， 因 此 其 他 类 型 会 略 过 类 型 会 略 过 ， 我 们 继 续 通 过 安 装 时 设 置 的 管 理 员 账 号 登 入 后 台 ， 进 一 步 了 解 后 台 的 其 他 功 能 点 ： │     ├ ─ t h e m e s                     模 板 文 件 目 录 │     └ ─ a d m i n _ t h e m e s               a d m i n 模 块 模 板 文 件 目 录 │     ├ ─ i n d e x . p h p                     入 口 文 件 │     ├ ─ r o u t e r . p h p                   快 速 测 试 文 件 │     └ ─ . h t a c c e s s                     用 于 a p a c h e 的 重 写 │ ├ ─ l i s t e n r a i n                         系 统 核 心 引 擎 目 录 │     ├ ─ t h i n k p h p                       T h i n k P H P 5 框 架 文 件 目 录 │     ├ ─ v a e                                 v a e T h i n k 框 架 核 心 类 库 目 录 │ ├ ─ e x t e n d                                 扩 展 类 库 目 录 ├ ─ v e n d o r                                 第 三 方 类 库 目 录 （ C o m p o s e r 依 赖 库 ） ├ ─ b u i l d . p h p                           自 动 生 成 定 义 文 件 （ 参 考 ） ├ ─ c o m p o s e r . j s o n                   c o m p o s e r   定 义 文 件 ├ ─ L I C E N S E . t x t                       授 权 说 明 文 件 ├ ─ R E A D M E . m d                           R E A D M E   文 件 ├ ─ t h i n k                                   命 令 行 入 口 文 件 L A M P p u b l i c
一 般 存 在 代 码 执 行 漏 洞 的 地 方 ， 可 能 在 如 下 这 些 功 能 模 块 ： 1 、 网 站 配 置 文 件 写 入 2 、 缓 存 c a c h e 文 件 写 入 3 、 日 志 文 件 写 入 4 、 文 件 上 传 5 、 代 码 执 行 函 数 参 数 可 控 从 这 5 点 出 发 ， 我 们 继 续 对 该 C M S 进 行 挖 掘 。 0 x 0 3   配 置 、 日 志 和 缓 存 文 件 配 置 、 日 志 和 缓 存 文 件 在 菜 单 中 ， 存 在 与 网 站 信 息 、 邮 件 和 短 信 配 置 相 关 的 功 能 页 面 。 在 不 进 行 源 码 审 计 的 情 况 下 ， 首 先 查 看 数 据 库 中 的 数 据 表 和 字 段 ， 发 现 没 有 存 储 和 这 些 配 置 相 关 的 信 息 ， 可 以 猜 测 这 些 信 息 可 能 直 接 经 过 处 理 后 存 储 在 某 个 配 置 文 件 中 ， 经 过 对 项 目 目 录 的 大 致 了 解 ， 应 该 是 在 下 。 我 们 输 入 特 定 的 测 试 数 据 进 行 提 交 ， 并 且 通 过 过 滤 包 含 特 定 数 据 的 文 件 ： 系 统 系 统 / 配 置 配 置 d a t a / c o n f g r e p
欣 喜 地 发 现 ， 输 入 的 配 置 内 容 写 入 了 中 ， 并 且 同 时 注 意 到 ， 输 入 的 配 置 内 容 同 样 写 入 了 日 志 文 件 。 我 们 继 续 构 造 可 控 内 容 ， 可 以 通 过 闭 合 前 面 的 数 组 逃 逸 出 来 ： 但 是 测 试 发 现 ， 可 控 内 容 前 的 会 直 接 返 回 ， 注 入 的 代 码 并 没 有 被 执 行 。 另 外 ， 注 意 一 下 配 置 文 件 的 路 径 可 以 发 现 ， 目 录 不 是 一 个 可 以 直 接 访 问 到 的 网 站 路 径 ， 除 非 能 够 配 合 其 他 的 路 径 穿 越 或 者 文 件 包 含 漏 洞 才 有 更 进 除 非 能 够 配 合 其 他 的 路 径 穿 越 或 者 文 件 包 含 漏 洞 才 有 更 进 一 步 的 可 能 一 步 的 可 能 ， 这 里 的 日 志 文 件 也 是 同 理 。 注 意 到 目 录 下 还 存 在 和 目 录 ， 其 中 存 储 了 一 些 缓 存 文 件 ： d a t a / c o n f / e x t r a / w e b c o n f i g . p h p d a t a / r u n t i m e / l o g / 2 0 1 9 0 5 / 1 5 5 7 8 2 3 2 3 1 - 1 4 . l o g ' ] ; p h p i n f o ( ) ; / / r e t u r n d a t a d a t a c a c h e t e m p
除 了 和 上 面 配 置 、 日 志 文 件 存 在 同 样 的 限 制 ， 这 些 缓 存 文 件 还 通 过 进 行 了 安 全 处 理 ： 0 x 0 4   文 件 上 传 文 件 上 传 几 条 路 暂 时 被 堵 死 了 不 要 慌 ， 继 续 观 察 C M S 的 其 他 功 能 点 。 在 管 理 员 的 页 面 ， 发 现 存 在 一 个 头 像 上 传 功 能 ， 简 单 选 择 一 个 上 传 ， 页 面 提 示 文 件 类 型 错 误 ， 不 排 除 这 只 是 一 个 前 端 校 验 的 可 能 ， 我 们 通 过 抓 包 修 改 文 件 后 缀 继 续 进 行 上 传 ： e x i t ( ) 修 改 个 人 信 息 t . p h p
测 试 后 发 现 这 里 的 上 传 点 果 然 只 对 文 件 后 缀 进 行 了 前 端 校 验 ， 直 截 了 当 上 传 后 缀 的 文 件 ： . p h p
0 x 0 5   代 码 执 行 函 数 参 数 可 控 代 码 执 行 函 数 参 数 可 控 该 C M S 除 了 头 像 功 能 点 直 接 暴 力 的 文 件 上 传 之 外 （ 过 于 简 单 。 。 ） ， 还 有 没 有 可 能 存 在 其 他 角 度 的 漏 洞 点 呢 ？ 比 如 用 比 如 用 户 输 入 可 以 直 接 作 为 某 些 代 码 执 行 函 数 的 参 数 ， 导 致 任 意 代 码 执 行 户 输 入 可 以 直 接 作 为 某 些 代 码 执 行 函 数 的 参 数 ， 导 致 任 意 代 码 执 行 。 怀 着 疑 问 我 们 继 续 对 C M S 开 始 进 一 步 的 挖 掘 ， 启 动 ！ 配 置 ！ 在 P H P 中 常 见 的 代 码 执 行 函 数 有 等 等 ， 通 过 进 行 全 局 搜 索 这 些 函 数 名 关 键 词 来 找 到 切 入 点 。 经 过 一 番 排 查 ， 最 终 定 位 到 了 一 个 比 较 可 疑 的 地 方 ： 我 们 继 续 从 此 处 逆 向 回 溯 分 析 ， 查 看 该 是 否 可 被 用 户 控 制 。 在 函 数 中 的 参 数 存 在 一 个 变 量 ： 变 量 来 自 上 一 行 的 ， 并 且 替 换 了 ， 但 是 没 有 进 行 其 他 的 过 滤 操 作 ： P H P S t o r m X D e b u g e v a l 、 s y s t e m c o m m a n d + s h i f t + f l i s t e n r a i n / v a e / l i b / A u t h . p h p 第 1 9 4 行 中 的 g e t A u t h L i s t 函 数 污 点 e v a l $ c o m m a n d $ r u l e [ ' c o n d i t i o n ' ] { ( w * ? ) } $ c o m m a n d   =   p r e g _ r e p l a c e ( ' / { ( w * ? ) } / ' ,   ' $ u s e r [ ' 1 ' ] ' ,   $ r u l e [ ' c o n d i t i o n ' ] ) ;
$ r u l e 是 从 数 据 库 中 查 询 得 到 的 数 据 的 一 部 分 。 从 作 者 的 注 释 可 以 看 到 ， 读 取 的 是 。 通 过 分 析 和 函 数 名 可 以 大 致 对 该 函 数 作 用 有 了 解 ， 是 对 通 过 用 户 i d 获 得 用 户 组 权 限 ， 并 且 返 回 权 限 列 表 。 继 续 查 看 的 调 用 情 况 ， 是 在 函 数 中 ： 继 续 回 溯 函 数 ， 发 现 调 用 在 ： 到 此 ， 基 本 可 以 确 定 在 功 能 模 块 中 会 触 发 此 流 程 。 接 着 下 断 点 进 行 动 态 调 试 ， 便 于 对 变 量 值 的 查 看 ， 我 们 选 择 菜 单 中 的 任 何 一 个 选 项 进 行 访 问 ， 执 行 流 程 会 经 过 上 述 我 们 分 析 过 的 检 查 函 数 中 ： 1 8 6 行   $ r u l e s   =   D b : : n a m e ( $ t h i s - > c o n f i g [ ' a u t h _ r u l e ' ] ) - > w h e r e ( $ m a p ) - > f i e l d ( ' c o n d i t i o n , n a m e ' ) - > s e l e c t ( ) ; 用 户 组 所 有 权 限 规 则 g e t A u t h L i s t c h e c k c h e c k 管 理 员 访 问 鉴 权
  分 析 后 可 以 确 定 ， 数 据 库 中 用 户 拥 有 的 权 限 对 应 的 规 则 的 分 析 后 可 以 确 定 ， 数 据 库 中 用 户 拥 有 的 权 限 对 应 的 规 则 的 字 段 将 会 作 为 字 段 将 会 作 为 的 参 数 被 执 行 的 参 数 被 执 行 接 着 继 续 确 定 数 据 表 中 的 字 段 是 否 为 用 户 可 控 ， 分 析 后 可 以 发 现 ， 在 后 台 的 页 面 中 存 在 对 该 数 据 表 的 操 作 功 能 ， 而 对 应 数 据 表 中 的 字 段 ： c o n d i t i o n e v a l ( ) c o n d i t i o n 系 统 / 节 点   [ h t t p : / / 1 2 7 . 0 . 0 . 1 / i n d e x . p h p / a d m i n / r u l e / i n d e x . h t m l ] ( h t t p : / / 1 2 7 . 0 . 0 . 1 / i n d e x . p h p / a d m i n / r u l e / i n d e x . h t m l ) 附 加 规 则 c o n d i t i o n
尝 试 修 改 内 容 后 ， 访 问 任 意 一 个 菜 单 中 的 页 面 ， 并 动 态 调 试 观 察 : 可 以 看 到 ， 可 控 内 容 没 有 经 过 过 滤 ， 成 功 触 发 该 ： 附 加 规 则 污 点
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理