TinyShop缓存文件获取WebShell之0day – 作者:simeon-安全小百科

*本文中涉及到的相关漏洞已报送厂商并得到修复，本文仅限技术研究与讨论，严禁用于非法用途，否则产生的一切后果自行承担。

*本文原创作者simeon，属于FreeBuf原创奖励计划，禁止转载

TinyShop是一款电子商务系统（网店系统），适合企业及个人快速构建个性化网上商店。系统是基于Tiny（自主研发）框架开发的，使系统更加的安全、快捷、稳定、高性能。

1.1.1下载及安装

1.下载地址

http://www.tinyrise.org/down.html

2.安装

在本地先安装一个php+mysql的环境，然后将TinyShop压缩包解压到网站根目录，访问http://localhost/tinyshop/install/index.php根据提示进行设置即可，如图1所示，需要设置数据库名称、密码和管理员密码，数据库表前缀可以使用默认的，也可以自定义设置，后续按照提示进行安装即可。

图1安装TinyShop

3.管理及重要信息

（1）TinyShop后台管理地址http://localhost/tinyshop/index.php?con=admin&act=login，输入admin和设置的密码admin888进行登录。

（2）数据库管理员表名称为tiny_manager

（3）数据库配置文件/protected/config/config.php。

4.TinyShop商城系统的用户密码加密方式

（1）查看管理员密码

打开数据库中的tiny_manager表，如图2所示，“dqrvRY*`”为validcode值，密码值为：96601e27d0bcd9dce06f95e55df40a6c。

图2管理密码值

（2）管理员密码计算方式

以密码的验证码（validcode）为“dqrvRY*`”,密码明文为“admin888”为例

md5（dqrvRY*`）=96601e27d0bcd9dce06f95e55df40a6c

取前16位“96601e27d0bcd9dc”，和后16位“e06f95e55df40a6c”，与明文密码组合成登录密码“96601e27d0bcd9dc”+“admin”+”e06f95e55df40a6c”,

然后返回“96601e27d0bcd9dcadmin888e06f95e55df40a6c”的32位小写md5也即数据库表中的password=md5（96601e27d0bcd9dcadmin888e06f95e55df40a6c）=7c2160f89a2fecff792522553004acb1，如图3所示，可以通过在线网站https://md5jiami.51240.com/直接查询其32为md5值。

图3在线查询md5密码

（3）php加密函数

/**

* @brief调用系统的MD5散列方式

* @param String $str

* @return String

*/

public static functionmd5x($str,$validcode=false)

{

if($validcode){

$key = md5($validcode);

$str =substr($key,0,16).$str.substr($key,16,16);

}

returnmd5($str);

}

通过分析知道即使tinyshop使用最简单的123456，获取的密码是32+6=38位字符串加密，直接暴力破解的成功率非常低。这也是md5变异加密，增强其安全性的一种实际应用。

1.1.2文件包含漏洞挖掘及利用

1.文件包含漏洞

（1）备份数据库

登录后台系统后，单击“系统设置”-“数据库管理”-“数据库备份”全选数据库后进行备份，成功备份后，在“数据库还原”-“处理”-“下载”中可以获取文件下载地址，如图4所示。其具体地址为：

http://localhost/tinyshop/index.php?con=admin&act=down&back=2017122522_5673_1936.sql

图4获取数据库备份文件下载地址

（2）获取文件包含漏洞

在数据库下载url中发现有一个back参数，直接将该参数替换成数据库配置文件地址../../protected/config/config.php，即可下载，如图5所示，其exp为：

http://localhost/tinyshop/index.php?con=admin&act=down&back=../../protected/config/config.php，back参数可以换成网站存在的任意文件进行下载，通过下载数据库配置文件可以获取数据库配置信息。

图5本地文件包含漏洞

   function back_list()

   {

          $database_path =Tiny::getPath(‘database’);

          $files =glob($database_path . ‘*.sql’);

          $this->assign(‘files’,$files);

          $database_url =Tiny::getPath(‘database_url’);

          $this->assign(“database_url”,$database_url);

          $this->redirect();

   }

//备份下载操作

   function down()

   {

          $database_path =Tiny::getPath(‘database’);

          $backs =Req::args(“back”);

          Http::download($database_path.$backs,$backs);