搜索

[852] 2018-04-02_【代码审计】CLTPHP_v5.5.3前台XML外部实体注入漏洞

文档创建者：s7ckTeam
浏览次数：57
最后更新：2025-01-16
2018-04-02_【代码审计】CLTPHP_v5.5.3前台XML外部实体注入漏洞 0 0 0 1 0 2 【 代 码 审 计 】 C L T P H P _ v 5 . 5 . 3 前 台 X M L 外 部 实 体 注 入 漏 洞 原 创   B y p a s s   B y p a s s   2 0 1 8 - 0 4 - 0 2 前 言 前 言 C L T P H P 采 用 T h i n k P H P 开 发 ， 后 台 采 用 L a y u i 框 架 的 内 容 管 理 系 统 。 在 代 码 审 计 中 ， 发 现 了 微 信 接 口 存 在 X M L 外 部 实 体 注 入 漏 洞 ， 后 面 和 小 伙 伴 s n 0 0 p y 交 流 ， 他 也 发 现 了 这 个 点 。 X M L 外 部 实 体 注 入 漏 洞 的 代 码 实 例 比 较 少 ， 这 边 也 分 享 一 下 思 路 。 环 境 搭 建 环 境 搭 建 C L T P H P 官 网 ： h t t p : / / w w w . c l t p h p . c o m 网 站 源 码 版 本 ： C L T P H P 内 容 管 理 系 统 5 . 5 . 3 版 本 程 序 源 码 下 载 ： h t t p s : / / g i t e e . c o m / c h i c h u / c l t p h p 默 认 后 台 地 址 ：   h t t p : / / 1 2 7 . 0 . 0 . 1 / a d m i n / l o g i n / i n d e x . h t m l 默 认 账 号 密 码 ：   后 台 登 录 名 ： a d m i n     密 码 ： a d m i n 1 2 3 代 码 分 析 代 码 分 析
0 3 1 、 漏 洞 文 件 位 置 ： / a p p / w c h a t / c o n t r o l l e r / W c h a t . p h p 第 1 0 0 - 1 3 3 行 ： 在 这 段 代 码 中 ， 用 f i l e _ g e t _ c o n t e n t s ( " p h p : / / i n p u t " )   接 收 X M L 数 据 ， 然 后 带 入 s i m p l e x m l _ l o a d _ s t r i n g 函 数 中 ， 导 致 程 序 在 实 现 上 存 在 X M L 外 部 实 体 注 入 。 接 着 往 下 看 ， 如 何 去 利 用 呢 ? x m l 的 解 析 结 果 返 回 给 $ p o s t O b j , 进 行 条 件 判 断 ， 根 据 M s g T y p e 取 值 进 入 不 同 的 回 复 机 制 中 处 理 ， 当 M s g T y p e = t e x t ， 进 入 M s g T y p e T e x t 函 数 ， 跟 进 这 个 函 数 看 看 ： 2 、 漏 洞 文 件 位 置 ： / a p p / w c h a t / c o n t r o l l e r / W c h a t . p h p   第 1 4 1 - 1 7 2 行 ： 这 段 函 数 进 行 消 息 回 复 处 理 ， 将 获 得 $ c o n t e n t S t r 进 行 判 断 是 否 是 数 组 ， 然 后 带 入 函 数 处 理 ， 最 后 返 回 结 果 。 我 们 来 看 一 下 e v e n t _ k e y _ t e x t 函 数 ： 3 、 漏 洞 文 件 位 置 ： / e x t e n d / c l t / W c h a t O a u t h . p h p   第 1 5 5 - 1 7 1 行 ： 通 过 s p r i n t f 函 数 返 回 6 个 节 点 ， 其 中 T o U s e r N a m e 、 F r o m U s e r N a m e 可 控 ， 我 们 可 以 通 过 构 造 P a y l o a d ， 实 现 任 意 文 件 读 取 ， 攻 击 者 可 利 用 该 漏 洞 获 取 网 站 敏 感 信 息 。 漏 洞 利 用 漏 洞 利 用
0 4 通 过 构 造 P a y l o d 读 取 w i n . i n i 文 件 内 容 P a u l o a d ： h t t p : / / 1 2 7 . 0 . 0 . 1 / w c h a t / w c h a t / g e t M e s s a g e . h t m l 1 .     < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " u t f - 8 " ? >     2 .     < ! D O C T Y P E   x x e   [ < ! E L E M E N T   n a m e   A N Y   > < ! E N T I T Y   x x e   S Y S T E M   " f i l e : / / / C : / w i n d o w s / w i n . i n i "   > ] >     3 .     < r o o t > < M s g T y p e > t e x t < / M s g T y p e >   < T o U s e r N a m e > & x x e ;   < / T o U s e r N a m e > < / r o o t >     修 复 建 议 修 复 建 议 方 案 一 、 使 用 开 发 语 言 提 供 的 禁 用 外 部 实 体 的 方 法 P H P ： l i b x m l _ d i s a b l e _ e n t i t y _ l o a d e r ( t r u e ) ; 方 案 二 、 过 滤 用 户 提 交 的 X M L 数 据   关 键 词 ： < ! D O C T Y P E 和 < ! E N T I T Y ， 或 者 ， S Y S T E M 和 P U B L I C 。 B y p a s s A b o u t   M e 一 个 网 络 安 全 爱 好 者 ， 对 技 术 有 着 偏 执 狂 一 样 的 追 求 。 致 力 于 分 享 原 创 高 质 量 干 货 ， 包 括 但 不 限 于 ： 渗 透 测 试 、 W A F 绕 过 、 代 码 审 计 、 安 全 运 维 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理