搜索

[26536] 2020-11-29_[代码审计]fengcms1.32从详细漏洞分析到漏洞利用

文档创建者：s7ckTeam
浏览次数：253
最后更新：2025-01-19
2020-11-29_[代码审计]fengcms1.32从详细漏洞分析到漏洞利用 [ 代 码 审 计 ]   f e n g c m s 1 . 3 2 从 详 细 漏 洞 分 析 到 漏 洞 利 用 M 7 8 安 全 团 队   2 0 2 0 - 1 1 - 2 9 以 下 文 章 来 源 于 哈 拉 少 安 全 小 队   ， 作 者 P A N D A 墨 森 # #   前 言 前 言 这 是 我 在 此 发 表 的 第 一 篇 代 码 审 计 的 文 章 ， 仅 供 学 习 参 考 ！ 这 是 我 在 此 发 表 的 第 一 篇 代 码 审 计 的 文 章 ， 仅 供 学 习 参 考 ！ 一 、 一 、 C m s 初 识 ： 初 识 ： F e n g C m s — — 由 地 方 网 络 工 作 室 基 于 P H P + M Y S Q L 开 发 。 是 一 款 开 源 的 网 站 内 容 管 理 系 统 。 系 统 支 持 自 由 订 制 模 型 ， 你 完 全 可 以 用 F e n g C m s 打 造 一 个 你 想 要 的 任 意 展 示 模 型 。 模 版 和 程 序 分 离 、 自 由 标 签 系 统 ， 让 F e n g C m s 灵 活 无 比 。 拥 有 F e n g C m s ， 你 可 以 完 成 国 内 9 5 % 的 网 站 制 作 需 要 ！ - 目 录 结 构 ： 目 录 结 构 ： 哈 拉 少 安 全 小 队 哈 拉 少 安 全 小 队   . 专 注 安 全 研 究 ， 漏 洞 复 现 ， 代 码 审 计 ， p y t h o n   p o c / e x p 脚 本 开 发 ， 经 常 更 新 一 些 最 新 的 漏 洞 复 现 ， 漏 洞 分 析 文 章 ， 以 及 脱 敏 的 实 战 文 章 。
二 、 漏 洞 描 述 ： 二 、 漏 洞 描 述 ： 在 f e n g c m s 的 安 装 程 序 中 ， 由 于 安 装 检 测 判 断 代 码 无 效 和 写 入 文 件 时 代 码 过 滤 不 严 ， 添 加 数 据 到 配 置 文 件 的 时 候 ， 可 以 插 入 任 意 恶 意 p a y l o a d ， 达 到 实 现 闭 合 原 本 的 代 码 ， 使 插 入 的 w e b s h e l l 存 留 在 了 配 置 文 件 中 ， 从 而 g e t s h e l l 。 三 、 漏 洞 分 析 过 程 ： 三 、 漏 洞 分 析 过 程 ： - - 首 先 分 析 一 下 首 先 分 析 一 下 / i n s t a l l / i n d e x . p h p ： ： 在 i n s t a l l 目 录 下 的 i n d e x . p h p 文 件 中 的 第 2 5 行 代 码 ， 可 以 看 到 这 里 进 行 了 是 否 安 装 过 的 检 测 ， 判 断 了 i n s t a l l 目 录 是 否 存 在 ， 然 后 输 出 前 端 j s 代 码 对 用 户 进 行 提 示 ： 但 是 注 意 ： 注 意 ： 判 断 完 之 后 ， 程 序 是 没 有 立 刻 停 止 执 行 的 ， 导 致 后 续 的 安 装 步 骤 代 码 仍 然 都 会 继 续 往 下 执 行 ， 这 也 是 导 致 漏 洞 产 生 危 害 的 原 因 之 一 ： 安 装 过 程 就 是 通 过 判 断 G E T 方 式 传 入 的 s t e p 参 数 ， 控 制 安 装 流 程 ：
剩 下 的 步 骤 代 码 类 似 ， 具 体 就 是 以 下 文 件 ： - - 接 下 来 分 析 一 下 接 下 来 分 析 一 下 / i n s t a l l / i n s t a l l . p h p 文 件 ： 文 件 ： 这 里 获 取 到 表 单 中 P O S T 传 过 来 的 数 据 ， 进 行 数 据 库 连 接 ：
表 单 内 容 ： 可 以 看 到 这 里 以 写 入 的 方 式 打 开 了 $ f i l e s ， 然 后 将 $ c o n f i g 作 为 内 容 直 接 写 入 进 去 ， 但 是 可 以 看 到 这 里 是 没 有 进 行 任 何 过 滤 的 ， 同 时 这 个 $ c o n f i g 的 内 容 是 我 们 可 控 的 ( 看 后 面 的 代 码 截 图 ) ： $ f i l e 在 / i n s t a l l / i n s t a l l . p h p 的 第 8 行 定 义 了 ， 是 配 置 文 件 的 路 径 ：
$ c o n f i g 是 在 / i n s t a l l / d a t a . p h p 中 定 义 ， 用 f i l e _ g e t _ c o n t e n t s 读 取 了 配 置 文 件 的 内 容 ： $ c o n f i g _ f i l e 是 在 / i n s t a l l / i n d e x . p h p 中 定 义 了 ， 读 取 原 配 置 文 件 ， 然 后 对 原 文 件 进 行 了 内 容 替 换 ， 并 且 替 换 的 内 容 就 是 通 过 G E T 方 式 传 过 来 的 ， 并 且 是 我 们 可 控 的 （ 在 s t e p 3 . p h p 中 获 取 我 们 了 输 入 的 内 容 ， 然 后 直 接 进 行 了 替 换 ） ， 没 有 进 行 任 何 的 过 滤 ： s t e p 3 . p h p ： ：
看 一 下 / c o n f i g . p h p 中 的 配 置 内 容 ： 所 以 我 们 只 需 要 在 表 前 缀 处 插 入 恶 意 p a y l o a d 即 可 ， 最 终 效 果 如 下 ： 最 终 效 果 如 下 ： 圈 住 的 地 方 就 是 我 们 传 入 的 恶 意 p a y l o a d ， ' ) 闭 合 了 前 面 的 代 码 ， / / 注 释 后 面 的 代 码 ， 成 功 将 p a y l o a d 留 在 了 c o n f i g . p h p 中 ：
执 行 流 程 ： 执 行 流 程 ： 入 口 文 件 / i n d e x . p h p ， 这 里 包 含 了 / s y s t e m / a p p . p h p 文 件 ： 跟 进 / s y s t e m / a p p . p h p 文 件 ： 在 这 里 会 包 含 引 入 配 置 文 件 ， 所 以 当 我 们 访 问 i n d e x . p h p 入 口 文 件 的 时 候 ， 会 执 行 c o n f i g . p h p 文 件 中 插 入 的 恶 意 p a y l o a d ， 从 而 g e t s h e l l ： 四 、 漏 洞 利 用 ： 四 、 漏 洞 利 用 ： 1 、 访 问 安 装 页 面
按 照 步 骤 执 行 ： s t e p 3 时 ， 在 表 前 缀 处 插 入 恶 意 p a y l o a d ：
安 装 完 成 ： 再 次 查 看 c o n f i g . p h p ， 已 经 成 功 被 插 入 w e b s h e l l ： f _ ' ) ; e v a l ( $ _ P O S T [ ' x x ' ] ) ; / /
直 接 访 问 入 口 文 件 i n d e x . p h p ， 可 以 成 功 执 行 ： 蚁 剑 连 接 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理