搜索

[27027] 2020-06-29_一次有意思的代码审计(初学)

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-06-29_一次有意思的代码审计(初学) 一 次 有 意 思 的 代 码 审 计 ( 初 学 ) 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 0 6 - 2 9 收 录 于 话 题   # K a l i   L i n u x   , 8 个 本 文 作 者 ： 一 合 一 合 （ K a l i   L i n u x 2 0 2 0 星 球 学 员 ） 对 于 代 码 审 计 初 学 者 而 言 , b l u e c m s 拿 来 练 手 是 不 二 之 选 . 对 于 b l u e c m s 的 审 计 方 法 , 我 先 是 用 了 通 读 全 文 , 又 用 回 溯 危 险 函 数 进 行 审 计 . 对 于 这 个 远 古 c m s 的 漏 洞 , 随 便 看 看 就 能 找 到 一 堆 , 多 数 是 一 些 注 入 未 过 滤 或 未 有 单 引 号 保 护 之 类 的 . 但 是 在 昨 天 晚 上 , 我 发 现 一 个 很 有 意 思 的 漏 洞 , 拿 出 来 自 己 记 录 一 下 , 顺 便 给 星 球 的 初 学 者 朋 友 们 分 享 一 下 思 路 , 说 的 不 对 的 地 方 还 请 大 佬 们 轻 喷 . 漏 洞 是 再 / i n c l u d e / c o m m o n . f u n . p h p 文 件 中 , 这 个 文 件 是 定 义 的 公 共 函 数 文 件 , 代 码 在 5 7 9 行 , $ s q l   =   " I N S E R T   I N T O " . t a b l e ( ' p o s t _ a t t ' ) . "   ( p o s t _ i d ,   a t t _ i d ,   v a l u e )   V A L U E S   ( ' $ p o s t _ i d ' , ' $ k ' ,   ' $ v ' ) " ; 这 条 s q l 语 句 中 存 在 变 量 ( 见 下 图 ) . 可 以 看 到 $ p o s t _ i d 是 函 数 形 参 传 过 来 的 , $ k , $ v 是 形 参 $ a t t _ v a l 的 键 和 值 , 这 个 参 数 应 该 是 一 个 数 组 . 我 们 在 程 序 中 搜 索 i n s e r t _ a t t _ v a l u e 函 数 , 用 来 追 溯 该 函 数 实 例 化 传 参 的 地 方 ( 见 下 图 ) . 发 现 根 目 录 下 u s e r . p h p   文 件 实 例 化 了 该 函 数 并 传 递 了 参 数 , 于 是 跟 进 去 . 这 个 函 数 传 入 两 个 实 参 , $ m u s t _ a t t _ a r r ,   $ p o s t _ i d   其 中 $ p o s t _ i d 经 过 了 i n t v a l 过 滤 , 且 单 引 号 导 入 s q l 语 句 , 无 法 利 用 . 而 $ m u s t _ a t t _ a r r 的 值 来 自 于 另 一 个 函 数 , 如 下 : $ m u s t _ a t t _ a r r   =   g e t _ a t t ( $ m o d e l _ i d ,   $ _ P O S T [ ' a t t 1 ' ] ,   ' m u s t _ a t t ' ) ; 追 踪 到 g e t _ a t t 函 数 中 , 发 现 该 函 数 就 是 处 理 数 组 的 函 数 ,
    这 时 候 我 决 定 用 x d e b u g 传 入 参 数 调 试 一 下 , 看 看 数 组 的 处 理 , 注 意 , 该 函 数 主 要 处 理 的 是 p o s t 进 来 的 ’ a t t 1 ’ 数 组 , 我 们 构 造 g e t 和 p o s t 请 求 , 是 u s e r . p h p 满 足 i f 条 件 , 如 下 图 .     我 们 传 入 的 a t t 1 接 受 的 数 组 k e y 值 是 k e y , v a l u e 值 是 a b c ’ , 然 后 我 发 现 p o s t 进 来 的 a b c ’ 被 过 滤 成 a b c ’ 了 .
过 滤 函 数 我 也 找 到 了 , 文 件 一 开 始 就 包 含 进 来 了 ！ 可 见 , p o s t / g e t / c o o k i e 都 做 了 防 注 入 , 但 没 有 过 滤 x s s , 当 然 我 们 重 点 是 找 注 入 点 , 但 是 我 发 现 传 入 的 数 组 k e y 值 没 有 过 滤 , 现 在 很 多 框 架 都 不 过 滤 k e y 值 , 试 着 用 k e y ’ 进 行 注 入 测 试 . 发 现 成 功 报 错 . 用 s q l m a p 跑 一 下 , 搞 定 . ( s q l m a p 截 图 用 的 之 前 缓 存 , 懒 得 从 新 跑 了 ) 总 结 , 这 次 虽 然 过 滤 了 v a l u e 值 , 但 是 没 有 过 滤 数 组 的 k e y 值 , 利 用 i n s e r t 语 句 进 行 注 入 . 现 在 很 多 框 架 都 没 有 过 滤 k e y 值 , 这 次 审 计 算 积 累 了 一 点 小 经 验 吧 .       扫 描 下 方 二 维 码 加 入 扫 描 下 方 二 维 码 加 入 K a l i   l i n u x 2 0 2 0 星 球 学 习 星 球 学 习 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！ 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！
目 前 目 前 2 8 0 0 0 + 人 已 关 注 加 入 我 们 人 已 关 注 加 入 我 们
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理