搜索

[842] 2018-02-25_【代码审计】PHPYun_v4.3CMS重装到Getshell

文档创建者：s7ckTeam
浏览次数：46
最后更新：2025-01-16
2018-02-25_【代码审计】PHPYun_v4.3CMS重装到Getshell 0 1 0 2 0 3 【 代 码 审 计 】 P H P Y u n _ v 4 . 3   C M S 重 装 到 G e t s h e l l 原 创   B y p a s s   B y p a s s   2 0 1 8 - 0 2 - 2 5 前 言 前 言         P H P Y u n 是 一 款 国 内 流 行 的 人 才 网 站 管 理 系 统 ， 做 了 一 些 测 试 ， 发 现 了 一 点 问 题 ， 做 个 记 录 ， 未 深 入 。 环 境 搭 建 环 境 搭 建 P H P Y u n 官 网 ： h t t p s : / / w w w . p h p y u n . c o m 网 站 源 码 版 本 ： P H P Y U N 人 才 招 聘 系 统 v 4 . 3 B e t a 程 序 源 码 下 载 ： 链 接 :   h t t p s : / / p a n . b a i d u . c o m / s / 1 p M Q 5 8 N p   密 码 :   j e 4 n 默 认 后 台 地 址 ： h t t p : / / 1 2 7 . 0 . 0 . 1 / a d m i n / i n d e x . p h p 默 认 账 号 密 码 ： a d m i n / a d m i n C M S 重 装 漏 洞 重 装 漏 洞 代 码 分 析 ： 代 码 分 析 ： 1 、 漏 洞 文 件 位 置 ： / i n s t a l l / i n d e x . p h p 在 i n d e x . p h p 中 ， 根 据 P H P 版 本 来 选 择 包 含 目 录 ， 我 们 的 环 境 包 含 的 P H P 5 目 录 ， 进 一 步 跟 进 P H P 5 目 录 查 看 代 码 2 、 漏 洞 文 件 位 置 ： / i n s t a l l / p h p 5 / i n s t a l l . p h p
可 以 看 到 ， 这 边 是 有 有 做 l o c k 文 件 判 断 的 ， 那 么 问 题 出 在 哪 呢 ？   我 们 再 来 看 一 下 常 量 S _ R O O T 的 定 义 ：   d e f i n e ( ' S _ R O O T ' ,   d i r n a m e ( _ _ F I L E _ _ ) . D I R E C T O R Y _ S E P A R A T O R ) ;   也 就 是 S _ R O O T 等 价 于   i n s t a l l ， 而 不 是 根 目 录 ; 所 以 这 边 的 判 断 是 判 断 / i n s t a l l / / d a t a / p h p y u n . l o c k 文 件 是 否 存 在 。   我 们 再 来 看 一 下 同 文 件 i n s t a l l . p h p 下 的 第 3 5 7 - 3 6 8 行 ： 代 码 逻 辑 上 ， / i n s t a l l / i n d e x . p h p 文 件 包 含 / i n s t a l l / p h p 5 / i n s t a l l . p h p 文 件 ， 这 边 使 用 相 对 路 径 ， 那 么 生 成 的 p h p y u n . l o c k 文 件 在 根 目 录 下 / d a t a / p h p y u n . l o c k 。 综 上 ， 在 p h p 5 / i n s t a l l . p h p 中 判 断 / i n s t a l l / d a t a / p h p y u n . l o c k 文 件 是 否 存 在 ， 然 而 实 际 上 p h p y u n . l o c k 在 / d a t a / p h p y u n . l o c k 中 ， 导 致 程 序 在 实 现 上 存 在 C M S 重 装 漏 洞 。 漏 洞 利 用 ： 漏 洞 利 用 ： 代 码 分 析 主 要 在 代 码 逻 辑 上 ， 利 用 却 很 简 单 ， 直 接 访 问 h t t p : / / 1 2 7 . 0 . 0 . 1 / i n s t a l l / i n d e x . p h p   直 接 进 入 重 装 界 面 。 后 台 后 台 G e t s h e l l
0 4 代 码 分 析 代 码 分 析 : 漏 洞 文 件 位 置 ： / a d m i n / m o d e l / c o n f i g . c l a s s . p h p   第 8 8 - 1 1 4 行 中 ： s a v e _ a c t i o n 函 数 对 用 户 提 交 的 参 数 写 入 数 据 库 中 ， 并 调 用 w e b _ c o n f i g ( ) 函 数 进 行 写 入 到 配 置 文 件 ， 我 们 继 续 跟 进 w e b _ c o n f i g ( ) 函 数 漏 洞 文 件 位 置 ： / a p p / p u b l i c / c o m m o n . p h p   第 5 1 3 - 5 2 9 行 ： 这 段 代 码 从 数 据 库 中 读 取 数 据 ， 并 写 入 到 配 置 文 件 c o n f i g . p h p 中 ， 并 未 经 任 何 处 理 ， 导 致 攻 击 者 可 以 构 造 脚 本 代 码 写 入 配 置 文 件 ， 从 而 导 致 程 序 在 实 现 上 存 在 代 码 执 行 漏 洞 。 漏 洞 利 用 ： 漏 洞 利 用 ： 登 录 系 统 - - 网 站 设 置 - - 安 全 设 置 - - 填 写 P a y l o a d ： 5 . 2 版 本 ：   " ) ; p h p i n f o ( ) ; $ c o n f i g = a r r a y ( " 5 . 4 版 本 ： " ) ; p h p i n f o ( ) ; / *
0 5 通 过 直 接 访 问 h t t p : / / 1 2 7 . 0 . 0 . 1 / d a t a / p l u s / c o n f i g . p h p ， 成 功 触 发 代 码 执 行 漏 洞 总 结 总 结         像 P H P Y u n 这 样 的 人 才 网 站 管 理 系 统 ， 相 对 功 能 会 复 杂 些 ， 但 仍 有 很 多 可 以 挖 掘 的 点 ， 黑 盒 结 合 白 盒 进 行 测 试 ， 发 现 的 两 个 问 题 ， 并 未 深 入 ， 欢 迎 志 同 道 合 的 朋 友 来 相 互 探 讨 ， 交 流 。 B y p a s s A b o u t   M e 一 个 网 络 安 全 爱 好 者 ， 对 技 术 有 着 偏 执 狂 一 样 的 追 求 。 致 力 于 分 享 原 创 高 质 量 干 货 ， 包 括 但 不 限 于 ： 渗 透 测 试 、 W A F 绕 过 、 代 码 审 计 、 安 全 运 维 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理