树莓派 php检测,（赢树莓派）《php代码审计》(三，殴打管理员)课程体验我...

你的名字 2023-01-16 06:49 5阅读 0赞

nancheal：hello，you shi wo

xiaohuoban：how old are you

这一定是你们现在的心情吧

![9baf2b6185ba2463f18727a712af6ad1.gif][]，少侠，有话好说别动手，看我今天带来了什么，我找到大米里的洞啦啦啦啦啦啦啦

嗯，这个洞是个xss，专打管理员哟

一直想找一个xss，嗯，今天找到了，很开心

漏洞发生在用户修改资料的地方,好先来看图吧：

![8f3ff2fbfdd7c7c8339951a6542705fa.gif][]

2015-12-08\_17-54-35.png (25.5 KB, 下载次数: 43)

2015-12-8 17:55 上传

对应源码中的代码位置为\\Web\\Lib\\Action\\MemberAction.class.php,如图：

![8f3ff2fbfdd7c7c8339951a6542705fa.gif][]

2015-12-08\_17-58-30.png (43.57 KB, 下载次数: 55)

2015-12-8 17:59 上传

看见了嘛，在post来的数据都经过了remove\_xss的过滤，(单从这里来看，这个cms的版本不会太低，因为它unset了三个data里的数据，还是有些防御的)

我们就去看看remove\_xss是不是真的可以防御我们的xss代码吧，位置在\\Core\\Common\\functions.php,源码如图：

![8f3ff2fbfdd7c7c8339951a6542705fa.gif][]

2015-12-08\_18-05-02.png (67.72 KB, 下载次数: 50)

2015-12-8 18:06 上传

这里的图截的不太清楚，因为它的黑名单太长了。。。，没关系一会我把它copy上来，这个remove也就是找到这些黑名单，然后破坏，不让它们起作用，黑名单:

$ra1 = array('javascript', 'vbscript', 'expression', 'applet', 'meta', 'xml', 'blink', 'link', 'style', 'script', 'embed', 'object', 'iframe', 'frame', 'frameset', 'ilayer', 'layer', 'bgsound', 'title', 'base','video');$ra2 = array('onabort', 'onactivate', 'onafterprint', 'onafterupdate', 'onbeforeactivate', 'onbeforecopy', 'onbeforecut', 'onbeforedeactivate', 'onbeforeeditfocus', 'onbeforepaste', 'onbeforeprint', 'onbeforeunload', 'onbeforeupdate', 'onblur', 'onbounce', 'oncellchange', 'onchange', 'onclick', 'oncontextmenu', 'oncontrolselect', 'oncopy', 'oncut', 'ondataavailable', 'ondatasetchanged', 'ondatasetcomplete', 'ondblclick', 'ondeactivate', 'ondrag', 'ondragend', 'ondragenter', 'ondragleave', 'ondragover', 'ondragstart', 'ondrop', 'onerror', 'onerrorupdate', 'onfilterchange', 'onfinish', 'onfocus', 'onfocusin', 'onfocusout', 'onhelp', 'onkeydown', 'onkeypress', 'onkeyup', 'onlayoutcomplete', 'onload', 'onlosecapture', 'onmousedown', 'onmouseenter', 'onmouseleave', 'onmousemove', 'onmouseout', 'onmouseover', 'onmouseup', 'onmousewheel', 'onmove', 'onmoveend', 'onmovestart', 'onpaste', 'onpropertychange', 'onreadystatechange', 'onreset', 'onresize', 'onresizeend', 'onresizestart', 'onrowenter', 'onrowexit', 'onrowsdelete', 'onrowsinserted', 'onscroll', 'onselect', 'onselectionchange', 'onselectstart', 'onstart', 'onstop', 'onsubmit', 'onunload','onprogress','onsuspend');

可以发现ra1是一些可能xss的标签

ra2是一些可能xss的事件

看了下它过滤了video，却没有过滤audio(真是奇葩的过滤，要不都过滤一遍，要不就别过滤了吧) 媒体的这些事件里没有过滤oncanplay

于是可以构造这样的xss代码

至于代码插在哪一个字段，我插在了居住地那里，ok看看打管理员的效果吧:

![8f3ff2fbfdd7c7c8339951a6542705fa.gif][]

2015-12-08\_18-14-29.png (44.67 KB, 下载次数: 49)

2015-12-8 18:15 上传

因为没有control属性，所以可以在管理员不知情的情况下run

![a048f5905e5296fa78eabc50bd54a9ce.png][]

看看代码：

![8f3ff2fbfdd7c7c8339951a6542705fa.gif][]

2015-12-08\_18-15-26.png (14.21 KB, 下载次数: 63)

2015-12-8 18:17 上传

看audio没被破坏，哈哈

对了今天留意了下我的版本是5.3.1的，没去官网下，官网好像要什么580

![92ce2d5f8990cd8bc37c5a948cf2d6bb.gif][]的认证，一会我把我的下载地址打包给大家，有兴趣可以下个玩玩

![69e1381fceea8d249f87d2e29f265857.gif][]

好啦洞讲完了，预告下明天代码审计课程要更新了，小伙伴们记得去上课啊

![9d164ce5098a2524d2769b0629e39786.gif][]

[9baf2b6185ba2463f18727a712af6ad1.gif]: /images/20221022/c3119919c7c644c5a5335cb777481e64.png
[8f3ff2fbfdd7c7c8339951a6542705fa.gif]: /images/20221022/537d37e168434db783857ee8a17614e3.png
[a048f5905e5296fa78eabc50bd54a9ce.png]: /images/20221022/6fe53df4e0a340198fba19e4e6365aed.png
[92ce2d5f8990cd8bc37c5a948cf2d6bb.gif]: /images/20221022/ed201312e6fc4648b571cef9cecd4b2c.png
[69e1381fceea8d249f87d2e29f265857.gif]: /images/20221022/a20d67526ce84033b621887e7082745a.png
[9d164ce5098a2524d2769b0629e39786.gif]: /images/20221022/f564c0bb4c374d6e933f5a44ac3f0c4a.png