Day106：代码审计-PHP原生开发篇文件安全上传监控功能定位关键搜索1day挖掘

目录

emlog-文件上传&文件删除

emlog-模板文件上传

emlog-插件文件上传

emlog-任意文件删除

通达OA-文件上传&文件包含

知识点：

PHP审计-原生开发-文件上传&文件删除-Emlog
PHP审计-原生开发-文件上传&文件包含-通达OA

emlog-文件上传&文件删除

文件安全挖掘点：

1、脚本文件名：upload.php、up.php、upfile.php、del.php、delfile.php、down.php、downfile.php 、read.php、readfile.php

2、应用功能点：下载，上传，读取，删除   --> URL路径 --> 文件地方代码 --> 分析

如果功能点可以作为漏洞的强特征，就可以通过找功能点来找漏洞

3、操作关键字：直接搜索操作类函数或变量：$_FILES  move_upload_file ； 还有 上传文件，删除文件，安装文件，上传成功，上传失败等

搜索不到：文件路径也可能写入数据库了

emlog-模板文件上传

搜索函数关键字或应用关键字：

流程：搜$_FILES->template.php->upload_zip->emUnZip

流程：搜安装或上传等->template.php->upload_zip->emUnZip

https://www.cnvd.org.cn/flaw/show/CNVD-2023-74536

这个路东并不是说文件里面存在上传漏洞，因为在软件、应用程序或网站的开发中，/templates 目录通常是用来存放模板文件的地方。模板文件用于定义数据显示的结构和布局，是一种将内容和表现分离的设计手段。

意思应该上传模板文件存在漏洞

修改参数 tpl 即可更换模板

模板文件存放路径 

搜$_FILES

搜索上传

定位到文件 /admin/template.php

搜索安装模板，在 /view/template.php，可以根据 MVC 架构特点，在 /admin/template.php 处理试图

MVC 架构是一种用于设计软件应用的模式，尤其是在图形用户界面(GUI)的应用程序开发中广泛采用。MVC 代表 Model-View-Controller，这三个组件是MVC架构的核心，它们各自承担着不同的职责，使得应用程序的开发、维护和扩展变得更加容易和清晰。

  1. Model（模型）:模型代表的是应用程序的数据结构，通常模型对象负责在数据库中存取数据。它包含了数据的处理逻辑，例如计算或数据校验等。模型是独立于用户界面的，因此模型的改变通常不直接影响视图的显示。模型提供了一种方式来操作应用程序的数据，以及将这些数据转化为有用的信息。
  2. View（视图）:视图是应用程序中用户界面的部分。它负责将数据（即模型）以图形界面的形式展现给用户。视图仅仅展示数据，不包含业务逻辑。换句话说，视图是模型的可视化表示。当模型的状态发生变化时，视图可以更新其展示的内容，反映最新的信息。
  3. Controller（控制器）:控制器是模型与视图之间的协调者。它接收用户的输入（例如，鼠标点击和键盘输入），并决定如何处理这些输入。例如，控制器可以决定响应用户的某个动作来修改模型的状态或更新视图。控制器将用户的输入转化为模型的更新和视图的操作，确保模型和视图的同步。

进入 emDirect() 函数

$r = explode('/', $zip->getNameIndex(0), 2);

getNameIndex(0) 方法调用是ZipArchive类的一个功能，它接受一个整数作为参数（在这个例子中是0），这个参数指定了ZIP文件中条目的索引。此方法返回该索引对应的条目的名称，即ZIP文件中第一个文件或文件夹的名称。如果ZIP文件为空或指定的索引不存在，此方法将返回FALSE。

explode('/', $zip->getNameIndex(0), 2) 函数是PHP中用于将字符串拆分为数组的内置函数。这里，它被用来将getNameIndex(0)返回的第一个条目名称按照'/'（正斜杠）分隔符进行分割。参数2表示最多分割为两部分，这意味着如果存在多个'/'，只分割第一个，将结果分为两个元素的数组。

$dir = isset($r[0]) ? $r[0] . '/' : '';

这行PHP代码是在处理由前一行代码$r = explode('/', $zip->getNameIndex(0), 2);生成的数组$r。具体来说，它在确定并构建一个表示目录路径的字符串。

代码解析如下：

  1. isset($r[0])：这个函数检查数组$r中是否有索引为0的元素。由于explode函数至少会返回一个元素的数组（除非传递的是空字符串），通常情况下索引0是存在的。如果$zip->getNameIndex(0)返回的是以/开头的路径，那么$r[0]将是一个空字符串。
  2. ? $r[0] . '/'：这是三元运算符的中间部分。如果isset($r[0])为true（即$r[0]存在），那么取出数组$r中索引为0的元素，并在其后添加一个正斜杠'/'。这通常用来确保得到的路径是一个目录路径。
  3. : ''：这是三元运算符的最后部分。如果isset($r[0])为false（即$r[0]不存在），则目录字符串设为一个空字符串。
  4. $dir：这是存储最终目录字符串的变量。如果数组$r中存在索引0，那么$dir将是该值加上一个尾随正斜杠（表示目录）。如果不存在，$dir就是空字符串。

综上所述，这行代码用于从ZIP压缩包中提取的第一个文件（或目录）的路径，获取它的目录部分，并确保这个目录字符串以正斜杠结束。这在处理ZIP文件中的条目时，用于构建路径、创建目录结构或进行路径检查时非常有用。

此处上传模板存在文件上传漏洞且没有过滤。

如何利用？

  1. 压缩默认模版目录
  2. 压缩一个带后门模版
  3. 上传带后门模版压缩包

制作模板压缩包，文件目录如下：

test.php内部是一个后门

上传常规，出现 test 模板

模板压缩包制作可知压缩一下defualt或者下载一个看看目录结构

emlog-插件文件上传

流程：搜$_FILES->plugin.php->upload_zip->emUnZip

流程：搜安装或上传等->plugin.php->upload_zip->emUnZip

https://www.cnvd.org.cn/flaw/show/CNVD-2023-74535

定位到 /admin/plugin.php

制作插件压缩包

上传成功

emlog-任意文件删除

流程：搜unlink->data.php->action=dell_all_bak->bak[]

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41633

1、/admin/data.php?action=dell_all_bak

2、bak[1]=../xxx.php

删除成功！

通达OA-文件上传&文件包含

安装，双击运行即可

安装后的目录

控制中心在 /bin 目录下

Web目录

IDEA打开源码，发现源码加密

解决办法：

  1. 方法一：找关键字，如上图中，可能在前面，中间，后米娜，之后百度搜索，看看是什么加密，再看看能否解密
  2. 方法二：直接搜索该OA版本的加密

开始时使用Zend解密出现闪退，原因：(1) 内存不够   (2)代码资源被占用
退出IDEA即可解决
等待IDEA更新索引

流程：找文件名->绕验证P->DEST_UID,UPLOAD_MOD->构ATTACHMENT

文件上传(文件名称)：/webroot/ispirit/im/upload.php

流程：搜include_once->gateway.php->$url->$key->$json

文件包含(include_once)：/ispirit/interface/gateway.php

这个漏洞的挖掘时是艰难的，项目太大了，需要时间慢慢测试，才发现到upload.php，使用搜索的方式结果太多了。实战中，大型的程序挖掘需要时间。也可以使用动态分析的技术，配合使用。
接收参数 p 

经由上述分析，构造符合条件的文件上传：
  1. 设置P参数不为0
  2. 设置DEST_UID参数为1
  3. 设置UPLOAD_MODE参数为1,2,3
  4. 设置上传文件参数名为ATTACHMENT
<html>
<body>
<form action="http://127.0.0.1/ispirit/im/upload.php" method="post" enctype="multipart/form-data">
<input type="text"name="P" value=1></input>
<input type="text"name="UPLOAD_MODE" value=1></input>
<input type="text" name="DEST_UID" value=1></input>
<input type="file" name="ATTACHMENT"></input>
<input type="submit" ></input>
</body>
</html>

文件监控：file-jiankong.py，方便监控获取文件上传到什么地方

使用：直接放到文件的根目录下，就可以监视该文件夹下的文件变化，可以快速找到文件上传到那个目录了

txt 里面是后门代码 

这个文件是不可访问的，没有权限，因为再 Web 目录的外面

思路：配合文件包含后门代码，需要满足参数参数可控，没过滤

poc1:/ispirit/interface/gateway.php?json={}&url=/general/../../attach/im/2310/1600449966.1.txt
poc2:/ispirit/interface/gateway.php?json={}&url=/ispirit/../../attach/im/2310/1600449966.1.txt
poc3:/ispirit/interface/gateway.php?json={}&url=/module/../../attach/im/2310/1600449966.1.txt

但是又碰到一个问题

没有回显，解决办法：webshell 连接，把结果写入到别的文件里，再访问。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/809898.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

【高项】信息化发展

【高项】信息化发展

目录 1.1 信息与信息化 1.1.1 信息 1.信息的定义 2.信息的特征与质量 1.1.2 信息系统 1.信息系统及其特性 2.信息系统生命周期 1.1.3 信息化 1.信息化内涵 2.信息化体系&#xff08;口诀&#xff1a;上应下技左人右规&#xff0c;中资网&#xff09; 1.2 现代化基础…
阅读更多...
集装箱5G智能制造工厂数字孪生可视化平台，推进企业数字化转型

集装箱5G智能制造工厂数字孪生可视化平台，推进企业数字化转型

集装箱5G智能制造工厂数字孪生可视化平台&#xff0c;推进企业数字化转型。在当下数字化转型的热潮中&#xff0c;集装箱5G智能制造工厂数字孪生可视化平台成为了推动企业转型升级的重要工具。这一平台将先进的5G技术与智能制造相结合&#xff0c;通过数字孪生技术实现生产过程…
阅读更多...
开课通知 | 5月六西格玛绿带培训火热招生

开课通知 | 5月六西格玛绿带培训火热招生

尊敬的各位学员&#xff1a; 天行健管理咨询将于近期开展六西格玛绿带公开课&#xff0c;旨在为广大企业和个人提供专业的六西格玛绿带培训&#xff0c;帮助大家掌握六西格玛绿带的核心知识和技能&#xff0c;提升工作效率和质量。现将相关事宜通知如下&#xff1a; 一、培训时…
阅读更多...
工智能图像降噪软件 ON1 NoNoise AI 2024 for Mac激活版

工智能图像降噪软件 ON1 NoNoise AI 2024 for Mac激活版

ON1 NoNoise AI 2024 for Mac是一款专为Mac用户设计的先进人工智能图像降噪软件。其核心功能在于能够利用机器学习技术&#xff0c;快速并智能地消除图像中的噪点&#xff0c;无论是亮度噪点还是颜色噪点&#xff0c;都能得到显著的改善。 软件下载&#xff1a;ON1 NoNoise AI …
阅读更多...
【AR】使用深度API实现虚实遮挡

【AR】使用深度API实现虚实遮挡

遮挡效果 本段描述摘自 https://developers.google.cn/ar/develop/depth 遮挡是深度API的应用之一。 遮挡&#xff08;即准确渲染虚拟物体在现实物体后面&#xff09;对于沉浸式 AR 体验至关重要。 参考下图&#xff0c;假设场景中有一个Andy&#xff0c;用户可能需要放置在包含…
阅读更多...
揭秘英特尔AI芯片如何做到比H100训练快40%、推理快50%

揭秘英特尔AI芯片如何做到比H100训练快40%、推理快50%

英特尔&#xff0c;开始正面硬刚英伟达了。 深夜时分&#xff0c;英特尔CEO帕特基辛格激动展示全新AI芯片Gaudi 3&#xff0c;引领未来科技潮流&#xff0c;开启智能新篇章。 他为什么开心到现场直接蹦迪&#xff1f; 看下Gaudi 3的性能结果&#xff0c;就一目了然了&#xf…
阅读更多...
算法打卡day32

算法打卡day32

今日任务&#xff1a; 1&#xff09;738.单调递增的数字 2&#xff09;968.监控二叉树 738.单调递增的数字 题目链接&#xff1a;738. 单调递增的数字 - 力扣&#xff08;LeetCode&#xff09; 文章讲解&#xff1a;代码随想录 (programmercarl.com) 视频讲解&#xff1a;贪…
阅读更多...
初学网络编程

初学网络编程

网络编程是指编写能够在网络环境中运行&#xff0c;进行数据通信的程序的过程。它涵盖了从建立网络连接、发送和接收数据&#xff0c;到关闭连接等一系列操作。网络编程是开发网络应用程序的基础&#xff0c;它使得不同的计算机和设备能够通过网络进行数据交换和通信。 三个核…
阅读更多...
ELK企业级日志分析系统（elasticsearch+logstash+kibana）

ELK企业级日志分析系统（elasticsearch+logstash+kibana）

目录 一.ELK概述 1.定义 &#xff08;1&#xff09;ElasticSearch &#xff08;2&#xff09;Kiabana &#xff08;3&#xff09;Logstash &#xff08;4&#xff09;Filebeat 2.filebeat结合logstash带来好处 3.为什么要是用ELK&#xff1f; 4.完整日志系统基本特征 …
阅读更多...
Docker学习笔记（一）：入门篇，Docker概述、基本组成等，对Docker有一个初步的认识

Docker学习笔记（一）：入门篇，Docker概述、基本组成等，对Docker有一个初步的认识

前言 记录时间 [2024-4-5] 在先前的文章中&#xff0c;笔者进行了Windows系统下YOLOv8模型的简单测试&#xff0c;并由此引发思考&#xff1a;是否能尝试将此模型运行在Linux中呢&#xff1f;又或者&#xff0c;运行在Docker中。关于Docker的学习就这么展开了。 本文便是有关D…
阅读更多...
RX8130CE为用户提供带复位延迟和主备电管理的解决方案

RX8130CE为用户提供带复位延迟和主备电管理的解决方案

实时时钟作为设备的精确时钟来源&#xff0c;其作用如同人的心脏&#xff0c;为设备提供准确稳定的心跳.而便携式设备由于应用场景多变&#xff0c;所以对内部元器件要求也相对较高&#xff0c;这就对作为核心器件的实时时钟模块提出不少挑战。世强代理品牌EPSON实时钟模块产品…
阅读更多...
【Linux】开始了解重定向

【Linux】开始了解重定向

送给大家一句话&#xff1a; 人真正的名字是&#xff1a;欲望。所以你得知道&#xff0c;消灭恐惧最有效的办法&#xff0c;就是消灭欲望。 – 史铁生 《我与地坛》 开始了解重定向 1 前言2 重定向与缓冲区2.1 文件描述符分配规则2.2 重定向的现象2.3 重定向的理解2.4 缓冲区…
阅读更多...
5.6 mybatis之RowBounds分页用法

5.6 mybatis之RowBounds分页用法

文章目录 mybatis 中&#xff0c;使用 RowBounds 进行分页&#xff0c;非常方便&#xff0c;不需要在 sql 语句中写 limit&#xff0c;即可完成分页功能。但是由于它是在 sql 查询出所有结果的基础上截取数据的&#xff0c;所以在数据量大的sql中并不适用&#xff0c;它更适合在…
阅读更多...
【Python】OPC UA 服务器扫描工具

【Python】OPC UA 服务器扫描工具

引言 OPC UA&#xff08;开放平台通信统一架构&#xff09;是一种跨平台的、开放的数据交换标准&#xff0c;广泛用于工业自动化领域。在工业4.0的大背景下&#xff0c;OPC UA服务器在网络中的部署日益增多&#xff0c;如何快速有效地发现这些服务器成为了一个实际需求。本文将…
阅读更多...
UI自动化测试重点思考(下)--装饰器/生成器/夹具的使用/描述符的作用/ddt驱动/多线程

UI自动化测试重点思考(下)--装饰器/生成器/夹具的使用/描述符的作用/ddt驱动/多线程

UI自动化测试重点思考--装饰器 装饰器装饰器定义装饰器代码示例装饰器的执行如何将装饰器融合到pytest框架里面 生成器创建生成器生成器的定义如何将生成器融合到pytest框架里面 fixture&#xff08;夹具&#xff09;使用pytest fixture 中 scope 参数的详细解释 描述符的总结描…
阅读更多...
【Sentinel的限流使用】⭐️SpringBoot整合Sentinel实现Api的限流

【Sentinel的限流使用】⭐️SpringBoot整合Sentinel实现Api的限流

目录 前言 一、Sentinel下载 二、SpringBoot 整合 Sentinel 三、流控规则 章末 前言 小伙伴们大家好&#xff0c;上次使用OpenFeign时用到了 Hystrix实现熔断和限流的功能&#xff0c;但是发现该工具已经停止维护了&#xff0c;于是想到了Spring Cloud Alibaba开发的Sentin…
阅读更多...
高创新 | Matlab实现OOA-CNN-GRU-Attention鱼鹰算法优化卷积门控循环单元注意力机制多变量回归预测

高创新 | Matlab实现OOA-CNN-GRU-Attention鱼鹰算法优化卷积门控循环单元注意力机制多变量回归预测

高创新 | Matlab实现OOA-CNN-GRU-Attention鱼鹰算法优化卷积门控循环单元注意力机制多变量回归预测 目录 高创新 | Matlab实现OOA-CNN-GRU-Attention鱼鹰算法优化卷积门控循环单元注意力机制多变量回归预测预测效果基本介绍程序设计参考资料 预测效果 基本介绍 1.Matlab实现OOA…
阅读更多...
如何在CentOS7.x上生成自签名SSL证书

如何在CentOS7.x上生成自签名SSL证书

在配置HTTPS连接时&#xff0c;SSL证书是确保数据传输安全性的关键组件。自签名证书是一种不通过证书颁发机构&#xff08;CA&#xff09;签发的证书&#xff0c;适用于测试和内部使用。以下是在CentOS 7.x系统上生成自签名证书的详细步骤。 1. 安装OpenSSL OpenSSL是一个强大…
阅读更多...
【嵌入式学习】ARM day04.11

【嵌入式学习】ARM day04.11

一、思维导图 二、练习 实现三个灯闪烁 汇编代码 .text .global _start _start: 使能GPIOE和F时钟LDR r0,0x50000A28LDR r1,[R0]ORR R1,R1,#(0X3<<4)STR R1,[R0]配置GPIOE和F的MODER寄存器LDR r0,0x50006000 GPIOELDR R1,0X50007000 G…
阅读更多...
顶顶通呼叫中心中间件-回铃音补偿(mod_cti基于FreeSWITCH)

顶顶通呼叫中心中间件-回铃音补偿(mod_cti基于FreeSWITCH)

顶顶通呼叫中心中间件-回铃音补偿(mod_cti基于FreeSWITCH) 回铃音的用处 回铃音&#xff1a; 当别人打电话给你时&#xff0c;你的电话响铃了&#xff0c;而他听到的声音叫做回铃音。回铃音是被叫方向主叫方传送&#xff0c;也是彩铃功能的基础。我们平时打电话听到的“嘟 嘟…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023