搜索

[2078] 2021-08-04_CMS审计任意文件删除-RCE

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2021-08-04_CMS审计任意文件删除-RCE C M S 审 计 :   任 意 文 件 删 除 - > R C E 原 创   d o n 9 s e c   d o n 9 s e c   2 0 2 1 - 0 8 - 0 4 收 录 于 话 题 # 漏 洞 挖 掘   , 1 # g e t s h e l l   , 1 # 审 计   , 1 # 代 码 审 计   , 8 目 录 目 录 前 言 前 言 漏 洞 挖 掘 漏 洞 挖 掘 思 路 分 享 思 路 分 享 全 局 搜 索 ， 定 位 关 键 字 全 局 搜 索 ， 定 位 关 键 字 判 断 前 台 洞 判 断 前 台 洞   o r   后 台 洞 后 台 洞 漏 洞 利 用 漏 洞 利 用 了 解 路 由 ， 构 造 了 解 路 由 ， 构 造 p a y l o a d 验 证 漏 洞 ， 尝 试 验 证 漏 洞 ， 尝 试 g e t s h e l l 小 结 小 结 前 言 前 言 最 近 投 了 一 些 白 盒 审 计 的 岗 位 ， 于 是 想 着 多 看 看 代 码 ， 训 练 一 下 审 计 能 力 ， 本 篇 主 要 分 享 思 路 ， 至 于 关 于 系 统 的 详 细 信 息 ， 文 章 就 不 大 肆 标 注 了 。 下 面 是 前 段 时 间 总 结 的 关 于 “ 重 装 漏 洞   - >   R C E ” 的 审 计 思 路 安 装 完 成 后 ， 没 有 删 除 i n s t a l l 相 关 文 件 ， 也 没 有 对 安 装 状 态 进 行 校 验 判 断 存 在 l o c k 文 件 后 ， 但 是 并 没 有 代 码 执 行 流 程 并 没 有 结 束 存 在 l o c k 文 件 ， 且 代 码 执 行 流 程 退 出 ， 此 时 可 以 打 组 合 拳 ( 任 意 文 件 删 除 ) 文 章 的 漏 洞 属 于 第 三 种 。 漏 洞 挖 掘 漏 洞 挖 掘 定 向 漏 洞 挖 掘 - 任 意 文 件 删 除 全 局 搜 索   u n l i n k ( 在 该 c m s 中 一 共 存 在 5 处 疑 似 存 在 漏 洞 的 代 码 段 ， 特 征 为 u n l i n k ( 参 数 可 控 1 .   / a p p / c o n t r o l l e r / p i c t u r e . c l a s s . p h p
2 .   / p l u g i n s / f l a s h / M a i n . c l a s s . p h p 3 .   a p p c o n t r o l l e r k i n d e d i t o r . c l a s s . p h p 4 .   / a p p / a d m i n / p i c t u r e . c l a s s . p h p 5 .   / a p p / a d m i n / d o w n l o a d . c l a s s . p h p p u b l i c   f u n c t i o n   d e l e t e P i c ( )   {     $ p a t h   =   R O O T _ P A T H . $ _ G E T [ ' p i c ' ] ;     u n l i n k ( $ p a t h ) ;     $ f l a s h   =   M ( " f l a s h " ) ;     $ r o w   =   $ f l a s h - > q u e r y ( " d e l e t e   f r o m   " . T A B L E P R E . " a t t a c h m e n t   w h e r e   f i l e p a t h = ' " . $ _ G E T [ ' p i c ' ] . " ' " ) ;     e c h o   ' 删 除 成 功 ' ; }     p u b l i c   f u n c t i o n   f l a s h D e l P i c ( )   {         $ f l a s h   =   M ( " f l a s h " ) ;         e c h o ( $ f l a s h ) ;         $ f l a s h - > q u e r y ( " d e l e t e   f r o m   t c _ f l a s h   w h e r e   p h o t o = ' " . $ _ G E T [ ' d e l P a t h ' ] . " ' " ) ;             $ p a t h   = $ _ G E T [ ' d e l P a t h ' ] ;             $ d e l P a t h   =   $ p a t h ;             i f   ( f i l e _ e x i s t s ( $ d e l P a t h ) )   {                 u n l i n k ( $ d e l P a t h ) ;                 e x i t ( 1 ) ;             }             e x i t ( 0 ) ;         }     p u b l i c   f u n c t i o n   d e l e t e ( )   {         $ p a t h   =   R O O T _ P A T H . $ _ G E T [ ' p i c ' ] ;         u n l i n k ( $ p a t h ) ;         $ f l a s h   =   M ( " f l a s h " ) ;         $ r o w   =   $ f l a s h - > q u e r y ( " d e l e t e   f r o m   t c _ f l a s h   w h e r e   p h o t o = ' " . $ _ G E T [ ' p i c ' ] . " ' " ) ;         e c h o   ' 删 除 成 功 ' ;     } < ? p h p d e f i n e d ( ' I N _ A D M I N ' )   o r   e x i t ( ' A c c e s s   D e n i e d ' ) ; d e f i n e d ( ' x x x x _ C M S ' )   o r   e x i t ( ' A c c e s s   D e n i e d ' ) ;     p u b l i c   f u n c t i o n   d e l e t e P i c ( )   {     $ p a t h   =   R O O T _ P A T H . $ _ G E T [ ' p i c ' ] ;     u n l i n k ( $ p a t h ) ;     $ f l a s h   =   M ( " f l a s h " ) ;     $ r o w   =   $ f l a s h - > q u e r y ( " d e l e t e   f r o m   " . T A B L E P R E . " a t t a c h m e n t   w h e r e   f i l e p a t h = ' " . $ _ G E T [ ' p i c ' ] . " ' " ) ;     e c h o   ' 删 除 成 功 ' ; }   < ? p h p
对 于 现 役 安 服 仔 的 我 来 说 ， 肯 定 还 是 比 较 热 衷 于 前 台 洞 的 ， 但 是 有 些 情 况 下 ， 拿 到 后 台 权 限 也 可 能 最 多 刷 个 弱 口 令 ， 这 时 候 后 台 洞 带 来 的 效 果 也 是 不 容 小 觑 的 。 所 以 上 面 存 在 漏 洞 的 代 码 段 也 主 要 分 为 前 台 文 件 入 口 处 没 有 校 验 权 限 后 台 文 件 入 口 处 判 断 了 是 否 为 a d m i n 漏 洞 利 用 漏 洞 利 用 当 从 代 码 层 面 找 到 漏 洞 后 ， 怎 样 去 触 发 漏 洞 也 很 重 要 的 ， 我 刚 开 始 学 代 码 审 计 的 时 候 ， 就 是 很 确 定 这 儿 有 洞 ， 但 是 就 是 不 知 道 怎 么 触 发 它 ， 现 在 总 结 其 原 因 很 简 单 ： 还 是 审 的 量 不 够 ， 没 到 质 变 引 起 量 变 的 那 一 步 ， 就 像 上 次 团 队 的 师 傅 给 我 的 建 议 一 样 ， " 你 看 得 太 少 了 ， 技 术 栈 太 窄 " 。 面 对 m v c 框 架 的 系 统 ， 看 看 它 的 开 发 手 册 ， 了 解 到 它 的 路 由 是 怎 样 实 现 的 对 构 造 p a y l o a d 就 差 不 多 了 。 该 系 统 的 路 由 构 造 p a y l o a d 俗 话 说 “ 不 想 当 将 军 的 士 兵 不 是 好 士 兵 ” ， 那 么 “ 不 能 g e t s h e l l 的 洞 也 不 是 好 洞 ”   < ? p h p d e f i n e d ( ' I N _ A D M I N ' )   o r   e x i t ( ' A c c e s s   D e n i e d ' ) ; d e f i n e d ( ' x x x x _ C M S ' )   o r   e x i t ( ' A c c e s s   D e n i e d ' ) ;   . . .   p u b l i c   f u n c t i o n   d e l e t e P i c ( )   {     $ p a t h   =   R O O T _ P A T H . $ _ G E T [ ' p i c ' ] ;     u n l i n k ( $ p a t h ) ;     $ f l a s h   =   M ( " a t t a c h m e n t " ) ;     $ r o w   =   $ f l a s h - > q u e r y ( " d e l e t e   f r o m   " . T A B L E P R E . " a t t a c h m e n t   w h e r e   f i l e p a t h = ' " . $ _ G E T [ ' p i c ' ] . " ' " ) ;     e c h o   ' 删 除 成 功 ' ; } #   控 制 器 _ 方 法 , g e t 或 p o s t 传 参 i n d e x . p h p ? a c = c o n t r o l l e r _ m e t h o d & p a r a m 1 = & p a r a m 2 = #   这 里 主 要 测 试 前 台 洞 i n d e x . p h p ? a c = p i c t u r e _ d e l e t e P i c & p i c = / x . t x t
关 于 漏 洞 任 意 文 件 删 除 拿 s h e l l 的 姿 势 ,   目 前 我 了 解 到 比 较 成 熟 的 有 3 种 删 除 i n s t a l l . l o c k ,   重 装 g e t s h e l l 删 除 m y . p h p 这 类 的 数 据 库 配 置 文 件 ， 重 装 g e t s h e l l 删 除 权 限 校 验 文 件 ， 组 合 需 权 限 的 文 件 上 传 漏 洞 g e t s h e l l 这 里 属 于 第 一 种 ， 需 要 关 注 两 个 文 件 / a p p / d a t a / i n s t a l l . l o c k 决 定 是 否 能 重 装 / a p p / d a t a / m y s q l . p h p 决 定 是 否 能 g e t s h e l l 首 先 看 一 下 数 据 库 配 置 文 件 发 现 数 据 库 名 “ D B N A M E ” 应 该 就 是 我 们 需 要 找 的 软 柿 子 了 闭 合 情 况 来 到 输 入 数 据 库 配 置 信 息 的 安 装 步 骤 ， 填 入 p a y l o a d 触 发 插 入 的 p a y l o a d ( 访 问 会 加 载 m y s q l . p h p 的 文 件 即 可 ) d e f i n e ( ' D B N A M E ' ,   ' t e s t ' ) ; p h p i n f o ( ) ; / / ; t e s t ' ) ; p h p i n f o ( ) ; / /
小 结 小 结 该 系 统 还 存 在 一 些 其 他 的 洞 ， 还 在 继 续 看 ， 尝 试 构 造 出 b u g   — >   r c e 的 完 整 链 路 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理