|
( y! N" r# k7 n$ {2 R' U( F# I 前言这个CMS非常适合入门代码审计的人去学习，因为代码简单且漏洞成因经典，对一些新手有学习价值，前台注入从入口开始:/semcms/Templete/default/Include/index.php 
7 p6 E% _3 y1 u* J2 b- D 跟进web_inc.php,首先包含1)db_conn.php:建立与数据库的连接,代码量很少也很简单。 
* K! r% }, j3 X 2)contorl.php:对$_GET进行全局过滤危险的SQL函数。 
( Y: A' N# O6 Q& j" f/ c$ H( V( d0 g 这个过滤从最简单的角度来说，即mysql<8的情况下，把select禁用了，其实就没办法进行跨表查询，SQL利用造成危害的可能性会大大降低，当然这是一种直接且无需考虑用户体验为原则的暴力做法，点到为止吧。 ) u& ^9 t/ C* ^ |4 a& y9 D4 @$ V# t
回到web_inc.php,继续阅读，后面吸引我的地方，在于 89 line一处SQL语句的地方。  . @' {' _% W7 k, M" ^ M7 ?
可以看到$Language没有单引号，直接拼接到语句中，且值由POST方式传递，不过这里经过了verify_str函数，导致我没有办法利用select进行子查询，获取到sc_user表的后台管理员用户密码，那么事实真的如此么？ & p! r( m, H9 E* ]4 s
$Language=test_input(verify_str($_POST["languageID"]));经过verify_str函数处理后，会传入test_input函数，其返回值将会拼接进SQL语句中进行查询。 
" u8 k0 p6 H* |9 M; F test_input里面有个有趣的函数stripslashes,函数的作用就是用于去除反斜杠，举个如图例子 
$ R! u+ w% ^. m( ^/ p; Z 那么绕过verify_str思路就水到渠成了。  : v4 t6 t" ^0 P6 e$ O: _9 P9 }) T1 n
分析下payload的原理languageID=-1 uni\on sel\ect 1,concat(user_admin,0x2d,user_ps),3,4,5,6,7,8,9,10,11,12,13 ( V4 w$ J4 G" t& d
,14 from sc_userun\ion&&sel\ect绕过了verify_str函数的正则匹配，经过test_input的stripslashes去掉反斜杠，最终拼接到数据库中执行的语句，实际上 
) M9 s8 R. i$ a m8 R2 c4 c 返回的后台管理员的账号密码信息到$tag_indexmetatit变量中。 
) Z- m5 j4 P6 e6 m5 O% g 并经过if判断传递给$indextitle变量，最终直接被echo到返回包if (empty($tag_indexmetatit)){$indextitle=$tag_indexkey;}else{$indextitle=$tag_indexmetatit;}1 b3 K4 Q2 S: t* [
。 & N4 u4 J5 {/ p* d# r1 V
if (empty($tag_prometatit)){$protitle=$tag_prokey;}else{$protitle=$tag_prometatit;}
3 u4 f8 M( @5 P9 J$ |, ~& J if (empty($tag_newmetatit)){$newstitle=$tag_newkey;}
: o/ Z5 B2 H, I! M else{$newstitle=$tag_newmetatit;}   : U$ n% ?$ T7 Y E7 T3 T6 e# l
小结 由于web_inc.php是所有前台文件都会包含的，所以说这个注入点在任意前台文件中都可以无条件触发，唯一的区别就是其他文件可能没有回显的地方当然，同样地基于此绕过原理，还可以找到很多处类似的注入或者其他更为简单且直接的注入点,这些就留给读者们自己探索。
4 F/ H; {/ @* \& Q5 n 【→所有资源关注我，私信回复“资料”获取←】1、网络安全学习路线2、电子书籍（白帽子）3、安全大厂内部视频4、100份src文档5、常见安全面试题6、ctf大赛经典题目解析7、全套工具包8、应急响应笔记 + g' Z7 v6 h! o: ^0 L, B) ~: g
寻找后台 虽然在0x01中挖掘到了前台无限制回显的SQL注入漏洞,但因为查询数据库用的是mysqli的query函数而不是multi_query函数,故注入点并不支持堆叠注入，这直接导致我们少了一条SQLGetSHell的道路。 8 U: k# c5 y- ]. O6 l$ h
值得开心一点的是，我们目前可以通过注入点获取到管理员的账号密码，不过这个CMS的后台地址安装时是随机生成的，所以找到后台地址很困难，下面是自己尝试寻找后台的失败过程，很可惜没有突破失败的过程semcms/install/index.php
# n- k( W1 g# {5 I) K 安装文件有后台地址的生成代码 
; n7 Y1 ?# g' C' G7 A) z 那么我的思路，就是全局定位$ht_filename变量，看看有没有对此进行操作并存储的代码。  8 e7 z0 L! I, a7 C. {$ W
很遗憾，并没有找到对此变量引用的代码还没到放弃的时候，一般这个时候，我还会额外找找一些其他的办法比如搜索scandir函数，该函数作用是列出指定路径中的文件和目录，目的是通过找到类似目录遍历漏洞的点，从而找到后台地址。 
) c- P5 {) A% D5 S: p7 X& y, R 继续回溯TemplateDir 
4 z4 N2 j% ?7 G/ j h1 s/ ~4 y+ O 可惜的是，发现传入的第一个参数是固定的，故这个思路也断了，暂时没有想到其他的好办法了GetShell思路 目标CMS的代码量并不高，故寻找GetShell的思路，可以采用危险函数定位的方法来进行快速排除并在存在漏洞的可疑的地方再进行回溯分析。 ' [! |" H# o; `
定位思路文件包含函数:流程控制requireincluderequire_onceinclude_once文件操作函数: 文件系统函数copy — 拷贝文件delete — 参见 unlink 或 unset
* @; u$ |, b& v7 p0 Y5 e3 Q fflush — 将缓冲内容输出到文件file_get_contents — 将整个文件读入一个字符串file_put_contents — 将一个字符串写入文件fputcsv — 将行格式化为 CSV 并写入文件指针 / p! v+ k$ z \' G
fputs — fwrite 的别名fread — 读取文件（可安全用于二进制文件）fscanf — 从文件中格式化输入fwrite — 写入文件（可安全用于二进制文件）move_uploaded_file — 将上传的文件移动到新位置 3 G- T h: b6 {* k1 ~, I2 N
readfile — 输出文件rename — 重命名一个文件或目录rmdir — 删除目录unlink — 删除文件代码注入函数:eval — 把字符串作为PHP代码执行assert — 检查一个断言是否为 false ) L3 P- G4 N( y9 ^
preg_replace — 执行一个正则表达式的搜索和替换命令执行函数:程序执行函数escapeshellarg — 把字符串转码为可以在 shell 命令里使用的参数escapeshellcmd — shell 元字符转义 & y, m9 I6 v6 B0 r( ~
exec — 执行一个外部程序passthru — 执行外部程序并且显示原始输出proc_close — 关闭由 proc_open 打开的进程并且返回进程退出码proc_get_status — 获取由 proc_open 函数打开的进程的信息 % W* {: ?. y$ p
proc_nice — 修改当前进程的优先级proc_open — 执行一个命令，并且打开用来输入/输出的文件指针proc_terminate — 杀除由 proc_open 打开的进程shell_exec — 通过 shell 环境执行命令，并且将完整的输出以字符串的方式返回。 6 h- O9 q. }3 D/ Z) D6 `
system — 执行外部程序，并且显示输出变量覆盖:extract — 从数组中将变量导入到当前的符号表parse_str — 将字符串解析成多个变量后台GetShell搜索file_put_contents 5 ?& \7 U& b$ p4 l$ g5 @
函数，只有两个结果，一个是参数写死，故放弃，故只剩这个分析。 
' I4 u" J, F- e4 i. L) q 写入的文件$templateUrl得到的值是固定两种类型../index.php 根目录
0 P/ W2 X; i r% [8 }4 b ../.htaccess 根目录function Mbapp($mb,$lujin,$mblujin,$dirpaths。
/ i7 {- I& W) {% W+ W, O ,$htmlopen){
! s4 q0 J# z8 o, V2 `$ X" E+ O# a& P; a. o' F
1 A$ A2 b9 x0 U3 S, ^
if ($htmlopen==1){$ml="j";}else{$ml="d";}+ V; C) m% X' ~" B6 I2 q" q
7 M$ A/ k t# u( F6 V$ {, e $template="index.php,hta/".$ml
" |9 ]3 ^9 w% E2 F: B ."/.htaccess"; //开始应用模版
" Q0 U. \. T$ o) @ // 1.$template=index.php,hta/j/.htaccess) g' q: R9 m& d6 Q" C3 I/ g
// 2.$template=index.php,hta/d/.htaccess0 W6 Y* R6 t9 Z" @1 g- Q5 K
* }& d; q7 f0 t) K: x $template_mb=explode(",",$template);: O9 k, Z9 Z& Y' @5 P$ u0 U
//$template_mb 根据,分割为index.php和hta/d/.htaccess的数组
6 X: E; I9 E- y+ k# E5 F7 R p" T. t2 S+ A1 g
for ' S! v$ }9 v- j4 K7 B( X1 G
($i=0;$i - O0 S2 q N$ y; c9 I
$mblujin.Templete/.$mb./Include/.$template_mb[$i]);! [5 c2 Q; {# ?; T8 K, H0 M5 k* i) I
// ../拼接$template_mb[$i]中的"hta/".$ml & Q' d% V# ^7 G" A4 }- \0 D* W: u- I; }% h
."/"字符串替换为空的结果
. i* G" I i ~( @ // 即得到../.htacess 或者 ../.index.php
2 K' L M4 {6 z7 t $templateUrl = $lujin.str_replace( / z! O# w8 M! P- N
"hta/".$ml."/","", $template_mb[$i]);7 R8 b' J+ s0 H: @$ u6 h# j
// 修改$template_o的标记为$mb的值
6 `5 I1 } C" Y
" y. c" p. C( y/ s: j1 q1 } $output = str_replace(, $mb, $template_o);' q$ S; P1 f: y, J( _* r
$output = str_replace( ! u2 U* Y9 m- z/ `+ g5 s
, $dirpaths, $output);1 t% g9 V% B4 ]3 d( d
// 将替换的内容写入到$templateUrl指向的文件
* Y. |3 l& G% C( H file_put_contents($templateUrl
" W6 K9 y, E7 u , $output);
; L- C2 h/ Y* M& a! c9 E8 ^$ f' E# @1 ?9 |6 K2 M5 r
}7 D, }4 ^: T( v9 u
$ }6 ~6 J7 G8 r: o$ ?0 t }那么这个函数如果$mb可控的话，会发生什么问题？问题一能够修改semcms/Templete/default/Include/index.php中的
( T# O4 M/ M) F" n! e$ Y [0 `: i 的内容  8 \3 m7 s; z7 _. G# ?8 _
那么可以尝试如下的形式构造payload:/semcms/N8D3ch_Admin/SEMCMS_Template.php?CF=template&mb=default/.phpinfo():./..最终的话会在
+ T: ], H: @% S& d: H7 T# T semcms/Templete/default/Include/index.php写入如下图所示。  " I, |. W. x4 J
问题2能够修改根目录.htacess的内容与 .htaccess 相关的奇淫技巧SetHandler application/x-httpd-php此时当前目录及其子目录下所有文件都会被当做 php 解析。
8 U" A0 h* o+ o8 x, x 那么可以尝试如下的形式构造payload:/semcms/N8D3ch_Admin/SEMCMS_Template.php?CF=template&mb=default/%0aSetHandler%20application/
0 ?# G# L, `" @) r' B# U+ z x-httpd-php%0a%23/../..* n! N; q, h; n3 m- m
/ u. x8 C% N) Q- W% ^4 z, Z& q6 x: L$ f3 T
//这里因为application/x-httpd-php中带有/，所以多需要一个../进行跳转 
0 n+ g! [4 g0 ? 最终写入的内容:  2 \: R2 r1 _3 H! N% t6 X
那么我们随意上传一个文件，即可当作PHP来解析。那么$mb到底是否可控呢？ 回溯Mbapp函数的上层调用，可以发现可以通过$_GET[mb]来控制。 
7 D, Y0 r6 e, N2 S3 [2 g4 r- M3 b/ x 不过因为文件引进/semcms/Include/contorl.php，会调用verify_str对$_GET变量进行过滤。 
b, J. i: Y" m1 V4 L6 w& n- j 很不凑巧，过滤了单引号，导致我们问题1覆盖的index.php的思路直接断了，因为根本没办法逃逸出单引号不过问题2的话，倒是可以成功，因为传入的内容并不在inject_check_sql的黑名单中，可以成功地覆盖。 ! O' f2 ^: ]0 p0 Y
.htaccess文件，不过这种方式也是有局限性的，需要Apahce是通过module的形式加载PHP的文件来执行才可以，并且需要在Linux环境，因为window不支持跨越不存在的路径任意文件删除 最后还想额外提一下关于后台的漏洞，便是其中一个任意文件删除漏洞，这个删除点不是直接的点，而是先通过构造需要删除的文件路径存进数据库，再通过触发其他点进行获取，传入
/ M* m: x9 _1 L+ S+ `0 b: k unlink中进行删除，这种类型笔者称之为二次任意文件删除漏洞，很是经典。漏洞演示:1)传入../rmme.txt作为图片的路径  ( u0 d% h& Y \9 {/ q
2)选择删除图片后，会删除文件网站根目录下的rmme.txt文件  & [; ?: m$ W. \2 a
成因 1) 添加URL入库的时候，只是做了test_input，并没有过滤..。  ' u) y I$ F W
(2) 直接入库   8 ^( E- f: m$ Z* v
(3) 删除图片的时候，传入AID，获取到images_url字段的值../rmme.txt传入Delfile函数进行删除。  ; `1 u( g+ t1 j7 G8 o4 {
Delfile函数先判断文件是否存在，再使用unlink删掉文件，全程没有一丁点的过滤，送分题!  5 V n; E! A, v5 N( P3 F
总结 本文直接从一个入口的注入点展开，想找到一条合适的链路到GetShell的完整过程，但是遗憾的是，没能解决6位随机后台地址的问题，故实际利用起来的话，局限性还是有的，姑且称之为一次分享式的尝试性代码审计体验录吧。
1 w; m. \' e- g. r) B( p% `* J1 [( Z$ ^' Y& L2 o" k
% v q# R* v* I/ h% ]& i+ {( Q4 v4 K! P( Q, C0 F4 {2 M
1 G' x `2 W5 m6 {. e6 C
| 
