搜索

[15241] 2020-04-11_通读审计之DOYOCMS

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-04-11_通读审计之DOYOCMS 通 读 审 计 之 D O Y O C M S H e i h u 5 7 7   F r e e B u f   2 0 2 0 - 0 4 - 1 1 前 言 前 言 首 先 大 家 看 到 我 文 章 的 标 题 ， 我 这 里 所 谓 的 首 先 大 家 看 到 我 文 章 的 标 题 ， 我 这 里 所 谓 的 “ 通 读 审 计 通 读 审 计 ” 就 是 把 整 个 代 码 审 计 过 程 一 字 不 差 的 记 录 下 来 。 因 为 审 计 过 很 多 就 是 把 整 个 代 码 审 计 过 程 一 字 不 差 的 记 录 下 来 。 因 为 审 计 过 很 多 C M S ， 也 看 过 很 多 代 码 ， 也 看 过 很 多 代 码 审 计 文 章 ， 大 多 数 都 是 把 漏 洞 点 提 一 下 然 后 文 章 结 束 ， 对 于 不 懂 审 计 文 章 ， 大 多 数 都 是 把 漏 洞 点 提 一 下 然 后 文 章 结 束 ， 对 于 不 懂 M V C 的 审 计 者 来 说 ， 看 其 他 人 代 码 审 计 文 章 ， 很 多 细 节 问 题 搞 不 明 白 （ 因 为 我 的 审 计 者 来 说 ， 看 其 他 人 代 码 审 计 文 章 ， 很 多 细 节 问 题 搞 不 明 白 （ 因 为 我 自 己 也 是 从 那 里 过 来 的 ） ， 所 以 读 起 来 不 是 太 舒 畅 ， 自 己 学 习 起 来 也 有 点 吃 力 ， 尤 其 到 自 己 也 是 从 那 里 过 来 的 ） ， 所 以 读 起 来 不 是 太 舒 畅 ， 自 己 学 习 起 来 也 有 点 吃 力 ， 尤 其 到 M V C 框 架 一 块 。 然 后 这 把 就 是 给 大 家 分 享 一 下 我 个 人 的 框 架 一 块 。 然 后 这 把 就 是 给 大 家 分 享 一 下 我 个 人 的 整 个 代 码 审 计 过 程 ， 以 及 如 何 发 现 漏 洞 ， 如 何 自 己 构 造 语 句 等 等 。 这 次 审 计 的 整 个 代 码 审 计 过 程 ， 以 及 如 何 发 现 漏 洞 ， 如 何 自 己 构 造 语 句 等 等 。 这 次 审 计 的 c m s 是 是 D O Y O C M S 建 站 系 统 ， 因 为 我 们 学 校 使 用 的 该 系 统 ， 就 随 建 站 系 统 ， 因 为 我 们 学 校 使 用 的 该 系 统 ， 就 随 便 拿 一 套 过 来 记 录 吧 。 也 是 给 自 己 做 个 记 录 ， 给 大 家 分 享 个 人 经 验 。 便 拿 一 套 过 来 记 录 吧 。 也 是 给 自 己 做 个 记 录 ， 给 大 家 分 享 个 人 经 验 。 一 、 一 、 M V C 的 了 解 的 了 解 这 里 就 不 再 废 话 了 ， 直 接 就 开 始 吧 。 I n d e x . p h p 第 二 行 ， 上 来 直 接 r e q u i r e 进 来 一 个 c o n f i g . p h p ， 我 们 来 看 一 下 该 文 件 到 底 做 了 哪 些 操 作 。 O K ， c o n f i g . p h p 文 件 定 义 了 一 些 常 量 以 及 数 据 库 信 息 。 I n d e x . p h p 第 三 行 。 如 下 图 的 变 量 值 赋 给 I n d e x . p h p 的 第 四 行 的 把 c o n f i g . p h p 的 两 个 定 义 常 量 $ d o y o C o n f i g [ ' v i e w ' ] [ ' c o n f i g ' ] [ ' t e m p l a t e _ d i r ' ]   =   A P P _ P A T H . ' / t e m p l a t e / ' . $ d o y o C o n f i g [ ' e x t ' ] [ ' v i e w _ t h e m e s ' ] ; $ d o y o C o n f i g [ ' v i e w ' ] [ ' c o n f i g ' ] [ ' t e m p l a t e _ d i r ' ] r e q u i r e ( D O Y O _ P A T H . " / s y s . p h p " ) ;
的 D O Y O _ P A T H 与 s y s . p h p 拼 接 起 来 并 且 包 含 ( 包 含 i n c l u d e / s y s . p h p ) 我 们 看 一 下 包 含 进 来 的 s y s . p h p 文 件 进 行 了 哪 些 操 作 S y s . p h p 的 第 四 行 包 含 进 来 一 个 F u n c t i o n s . p h p 文 件 。 从 文 件 名 上 来 看 来 猜 测 是 包 含 来 的 一 些 方 法 吧 。 打 开 看 一 下 好 ， 确 定 包 含 方 法 。 回 到 s y s . p h p 文 件 继 续 通 读 S y s . p h p 文 件 的 第 五 行 R e q u i r e 进 来 i n c . p h p 文 件 并 且 使 用 s p C o n f i g R e a d y 函 数 处 理 ( 之 前 提 到 的 f u n c t i o n s . p h p 方 法 文 件 还 记 得 吧 ) 跟 进 s p C o n f i g R e a d y 方 法 可 以 看 到 第 2 1 8 行 进 行 判 断 传 入 进 来 的 $ u s e c o n f i g 保 存 到 $ p r e c o n f i g 内 ( 合 并 数 组 ) 。 从 他 调 用 该 方 法 中 给 形 参 1 传 递 一 个 r e q u i r e 进 来 的 文 件 可 以 判 断 。 该 文 件 直 接 r e t u r n 一 个 数 组 。 打 开 包 含 进 来 的 r e q u i r e ( D O Y O _ P A T H . ” / i n c . p h p ” ) 文 件 来 看 一 番 d e f i n e ( " A P P _ P A T H " , d i r n a m e ( _ _ F I L E _ _ ) ) ; d e f i n e ( " D O Y O _ P A T H " , A P P _ P A T H . " / i n c l u d e " ) ; $ G L O B A L S [ ' G _ D Y ' ]   =   s p C o n f i g R e a d y ( r e q u i r e ( D O Y O _ P A T H . " / i n c . p h p " ) , $ d o y o C o n f i g ) ;
直 接 r e t u r n 一 个 数 组 好 ， 把 i n c . p h p 文 件 r e t u r n 的 数 组 与 之 前 在 i n d e x . p h p 中 定 义 过 的 $ d o y o C o n f i g [ ' v i e w ' ] [ ' c o n f i g ' ] [ ' t e m p l a t e _ d i r ' ] 保 存 到 全 局 变 量 $ G L O B A L S [ ‘ G _ D Y ’ ] 回 来 继 续 读 取 s y s . p h p 在 f u n c t i o n s 文 件 中 ， 跟 进 i m p o r t 方 法 。 再 来 看 一 下 传 递 进 来 的 值 3 9 - 4 3 行 的 进 行 判 断 形 参 $ s f i l e n a m e 是 否 可 读 ， 可 读 即 包 含 。 O K ， 了 解 完 i m p o r t 是 用 来 读 取 文 件 之 后 ， 我 们 随 着 依 次 打 开 这 三 个 文 件 ， 看 一 下 都 有 哪 些 操 作 。 i f (   T R U E   = =   @ i s _ r e a d a b l e ( $ s f i l e n a m e )   ) {                 r e q u i r e ( $ s f i l e n a m e ) ;                 $ G L O B A L S [ ' G _ D Y ' ] [ ' i m p o r t _ f i l e ' ] [ m d 5 ( $ s f i l e n a m e ) ]   =   T R U E ;                 r e t u r n   T R U E ; }
哈 哈 ， 三 个 文 件 都 是 定 义 的 类 文 件 。 从 字 面 上 来 看 s y C o n t r o l l e r ： C o n t r o l l e r 的 表 面 意 思 为 控 制 器 s y M o d e l ： M o d e l 的 表 面 意 思 为 模 型 s y V i e w ： V i e w 的 表 面 意 思 为 视 图 M V C … 再 回 来 读 s y s . p h p 文 件 的 第 2 9 - 3 6 行 判 断 分 支 给 $ G L O B A L S [ ‘ G _ D Y ’ ] [ ‘ u r l ’ ] [ “ u r l _ p a t h _ b a s e ” ] 进 行 赋 值 再 读 取 s y s . p h p 文 件 的 第 4 2 - 5 0 行 看 到 ! e m p t y ( $ _ S E R V E R [ ‘ P A T H _ I N F O ’ ] ， 是 用 来 实 现 伪 静 态 化 的 操 作 的 下 面 的 5 2 - 5 8 行 是 作 为 重 点 。 判 断 分 支 给 $ G L O B A L S [ ‘ G _ D Y ’ ] [ ‘ u r l ’ ] [ “ u r l _ p a t h _ b a s e ” ] 进 行 赋 值 再 读 取 s y s . p h p 文 件 的 第 4 2 - 5 0 行 看 到 ! e m p t y ( $ _ S E R V E R [ ‘ P A T H _ I N F O ’ ] ， 是 用 来 实 现 伪 静 态 化 的 操 作 的 下 面 的 5 2 - 5 8 行 是 作 为 重 点 。
跟 进 s y C l a s s 与 s p L a u n c h 方 法 二 、 二 、   P H P 任 意 文 件 替 换 漏 洞 任 意 文 件 替 换 漏 洞 紧 接 着 上 面 继 续 往 下 分 析 我 们 打 开 s y s e s s i o n 文 件 看 一 下 。 自 改 了 s e s s i o n 存 储 机 制 。 注 意 看 w r i t e 方 法 。 写 入 s e s s i o n 操 作 。 看 到 在 f i l e _ p u t _ c o n t e n t s 写 入 前 拼 接 了 ”   < ? p h p   d i e ( ) ; ? > ” 关 键 字 。 首 先 我 们 想 到 p h p : / / f i l t e r 进 行 绕 过 。 但 是 我 们 可 以 看 到 前 面 拼 接 了 一 个 $ f i l e d i r 。 $ f i l e d i r 变 量 是 路 径 信 息 。 不 可 控 。 则 p h p : / / f i l t e r 无 法 绕 过 。 f u n c t i o n   s y C l a s s ( $ c l a s s _ n a m e ,   $ a r g s   =   n u l l ,   $ s d i r   =   n u l l ,   $ f o r c e _ i n s t   =   F A L S E ) {                 i f ( p r e g _ m a t c h ( " / ^ [ a - z A - Z 0 - 9 _ - ] * $ / " , $ c l a s s _ n a m e ) = = 0 ) s y E r r o r ( " 类 定 义 不 存 在 ， 请 检 查 。 " ) ;                 i f ( T R U E   ! =   $ f o r c e _ i n s t ) i f ( i s s e t ( $ G L O B A L S [ ' G _ D Y ' ] [ " i n s t _ c l a s s " ] [ $ c l a s s _ n a m e ] ) ) r e t u r n   $ G L O B A L S [ ' G _ D Y ' ] [ " i n s t _ c l a s s " ] [ $ c l a s s _ n a m e ] ;                 i f ( n u l l   ! =   $ s d i r   & &   ! i m p o r t ( $ s d i r )   & &   ! i m p o r t ( $ s d i r . ' / ' . $ c l a s s _ n a m e . ' . p h p ' ) ) r e t u r n   F A L S E ;                 $ h a s _ d e f i n e   =   F A L S E ;                 i f ( c l a s s _ e x i s t s ( $ c l a s s _ n a m e ,   f a l s e )   | |   i n t e r f a c e _ e x i s t s ( $ c l a s s _ n a m e ,   f a l s e ) ) {                                 $ h a s _ d e f i n e   =   T R U E ;                 } e l s e {                                 i f (   T R U E   = =   i m p o r t ( $ c l a s s _ n a m e . ' . p h p ' ) ) {                                                 $ h a s _ d e f i n e   =   T R U E ;                                 }                 }                 i f ( F A L S E   ! =   $ h a s _ d e f i n e ) {                                 $ a r g S t r i n g   =   ' ' ; $ c o m m a   =   ' ' ;                                 i f ( n u l l   ! =   $ a r g s ) f o r   ( $ i   =   0 ;   $ i   <   c o u n t ( $ a r g s ) ;   $ i   + + )   {   $ a r g S t r i n g   . =   $ c o m m a   .   " $ a r g s [ $ i ] " ;   $ c o m m a   =   ' ,   ' ; }                                 e v a l ( " $ G L O B A L S [ ' G _ D Y ' ] [ ' i n s t _ c l a s s ' ] [ $ c l a s s _ n a m e ] =   n e w   $ c l a s s _ n a m e ( $ a r g S t r i n g ) ; " ) ;                                 r e t u r n   $ G L O B A L S [ ' G _ D Y ' ] [ " i n s t _ c l a s s " ] [ $ c l a s s _ n a m e ] ;                 }                 s y E r r o r ( $ c l a s s _ n a m e . " 类 定 义 不 存 在 ， 请 检 查 。 " ) ; }
f i l e _ p u t _ c o n t e n t s 在 w i n d o w s 下 我 们 可 以 进 行 写 入 冒 号 文 件 流 的 格 式 。 例 如 ： x x x . p h p : . p h p 。 可 以 逃 逸 < ? p h p   e x i t ; ? > 。 但 是 生 成 后 的 文 件 却 是 空 的 。 再 进 行 x x x . p h p < < < 写 入 文 件 数 据 ， 思 路 是 这 样 的 ， 但 是 。 我 们 还 可 以 看 到 在 拼 接 $ n a m e 的 同 时 。 后 面 连 接 了 一 个 ’ . p h p ’ 。 那 么 我 们 提 交 的 数 据 就 变 成 了 x x x . p h p < < < . p h p 。 显 然 。 打 乱 了 文 件 流 规 则 。 也 无 法 利 用 ！ 我 们 没 有 任 何 机 会 来 通 过 s e s s i o n 文 件 来 g e t s h e l l 但 是 从 另 一 个 角 度 讲 ， f i l e _ p u t _ c o n t e n t s 函 数 是 由 f o p e n 函 数 与 f w r i t e 函 数 封 装 起 来 的 。 使 用 了 ’ w ’ 的 写 入 规 则 。 比 如 ， 这 里 有 一 个 1 . p h p 。 文 件 内 容 为 1 2 3 ， 当 你 f i l e _ p u t _ c o n t e n t s ( ‘ 1 . p h p ’ , ’ x x x ’ ) ; 的 时 候 ， 1 . p h p 文 件 内 容 ” 1 2 3 ” 会 被 替 换 为 我 们 传 入 的 ” x x x ” 再 来 看 看 程 序 自 写 的 s e s s i o n 存 储 机 制 居 然 没 有 对 路 径 做 任 何 过 滤 。 那 么 就 比 较 有 趣 了 。 我 们 可 以 通 过 修 改 s e s s i o n 的 值 。 来 进 行 替 换 任 何 文 件 。 就 可 以 成 功 把 根 目 录 下 的   / i n c l u d e / i n c . p h p   文 件 内 容 给 替 换 掉 。 i n c l u d e / i n c . p h p   文 件 内 容 为 网 站 配 置 。 该 框 架 中 有 运 行 。 再 结 合 之 前 程 序 写 入 s e s s i o n 文 件 内 容 所 定 义 的 < ? p h p   d i e ( ) ; ? > 。 可 以 导 致 网 站 无 法 正 常 访 问 。 ( 被 d i e 暂 停 程 序 运 行 ) 。 验 证 漏 洞 结 果 ： 三 、 继 续 观 察 三 、 继 续 观 察 M V C 我 们 再 回 到 f u n c t i o n s . p h p 文 件 进 行 读 取 第 1 1 行 进 行 s y C l a s s 函 数 处 理 。 我 们 之 前 了 解 到 s y C l a s s 方 法 是 用 来 处 理 类 文 件 并 包 含 的 。 $ h a n d l e _ c o n t r o l l e r   =   s y C l a s s ( $ _ _ c o n t r o l l e r ,   n u l l ,   $ G L O B A L S [ ' G _ D Y ' ] [ " c o n t r o l l e r _ p a t h " ] . ' / ' . $ _ _ c o n t r o l l e r . " . p h p " ) ;
传 入 的 第 三 个 参 数 亮 了 。 根 据 我 们 传 递 的 参 数 ， 则 / s o u r c e / $ _ G E T [ ‘ c ’ ] 是 我 们 所 包 含 的 文 件 。 我 们 在 s o u r c e 文 件 夹 下 创 建 t e s t . p h p 进 行 验 证 一 下 看 来 逻 辑 是 没 有 问 题 的 接 着 我 们 继 续 往 下 看 f u n c t i o n s . p h p 文 件 的 第 1 6 行 这 样 来 ， 我 们 整 个 的 处 理 逻 辑 搞 清 楚 开 始 挖 掘 漏 洞 四 、 四 、 S S R F 漏 洞 漏 洞 当 前 我 在 f u n c t i o n s . p h p 这 个 文 件 。 既 来 之 ， 则 安 之 。 我 通 过 危 险 自 定 义 的 一 些 方 法 来 寻 找 漏 洞 我 从 f u n c t i o n s . p h p 文 件 的 第 1 0 0 - 1 1 7 行 发 现 了
该 函 数 传 入 的 $ u r l 如 果 没 有 严 谨 的 过 滤 ， 则 会 造 成 S S R F 漏 洞 全 局 搜 索 一 下 这 个 函 数 。 看 到 大 名 鼎 鼎 的 a _ s y s 类 文 件 ( $ _ R E Q U E S T [ ‘ c ’ ] ) 与 调 用 该 漏 洞 的 方 法 ( $ _ R E Q U E S T [ ‘ a ’ ] ) 可 是 问 题 来 了 ， 我 们 所 包 含 类 文 件 的 路 径 是   / s o u r c e ， 而 不 是 / s o u r c e / a d m i n / x x x . p h p 那 么 我 们 如 何 引 入 呢 ？ 不 慌 。
全 局 搜 索 一 下 哪 里 修 改 了 $ d o y o C o n f i g [ ‘ v i e w ’ ] [ ‘ c o n f i g ’ ] [ ‘ t e m p l a t e _ d i r ’ ] 的 值 ( 该 值 影 响 包 含 路 径 ) 在 a d m i n . p h p 中 重 现 了 i n d e x . p h p 的 操 作 。 只 是 略 有 一 些 不 同 那 么 我 们 S S R F 漏 洞 利 用 点 也 只 能 在 后 台 了 ， 有 一 定 的 局 限 性 登 陆 后 台 后 我 们 包 含 a _ s y s . p h p 文 件 并 实 例 化 该 类 ， 然 后 调 用 t e m p l a t e _ c a c h e 方 法 这 里 是 传 入 的 $ y 。 我 们 在 该 文 件 内 翻 半 天 也 不 会 翻 到 s y A r g s 方 法 的 。 原 因 很 简 单 ， 继 承 了 一 个 类 。 这 里 构 造 方 法 有 了 和 t e m p l a t e _ c a c h e 方 法 相 同 的 步 骤 我 们 之 前 所 看 过 的 这 个 类 的 一 个 s y A r g s 方 法 可 是 在 s y C o n t r o l l e r 中 也 没 有 找 到 s y A r g s 方 法 ， 那 么 我 们 就 需 要 看 一 下 _ _ c a l l 魔 术 方 法 的 处 理 了 第 4 8 行 r e t u r n   s y C l a s s ( $ n a m e ) - > _ _ i n p u t ( $ a r g s ) ;
s y C l a s s 我 们 之 前 了 解 到 的 功 能 就 是 进 行 包 含 s y A r g s 这 个 类 文 件 或 实 例 化 该 类 ， 随 后 调 用 i n p u t 方 法 ， 把 我 们 c o n s t r u c t 的 $ t h i s - > a = $ t h i s - > s y A r g s ( ' a ' , 1 ) ; 中 ’ a ’ , 1 以 数 组 的 形 式 传 递 给 _ _ i n p u t 方 法 看 一 下 g e t 方 法 调 用 了 h a s 方 法 ， 把 字 符 串 ’ a ’ 传 递 进 去 了 跟 进 h a s 方 法 咦 ？ 多 了 一 个 成 员 属 性 $ t h i s - > a r g s 我 们 看 一 下 构 造 方 法 是 否 初 始 化 该 属 性 该 类 的 构 造 方 法 a r g s 成 员 属 性 是 $ _ R E Q U E S T 进 来 的 变 量 如 果 我 们 传 入 的 ? a = t e m p l a t e _ c a c h e ， 返 回 t r u e 再 回 来 看 一 下 该 分 支 结 构 继 续 跟 进 f i l t e r s 方 法 看 到 该 方 法 是 用 来 过 滤 传 入 数 据 内 容 的 。 在 其 中 的   c a s e   0 ， 1 , 2 , 3 , 4 , 5 , 中 ， 可 以 看 到 都 对 传 入 的 数 据 进 行 过 滤 操 作 。 可 是 在 c a s e   2 中 ， 漏 洞 出 现 了 。 这 里 涉 及 到 a r r a y _ w a l k _ r e c u r s i v e 函 数 利 用 问 题 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理