网站首页 > 知识剖析正文

代码审计-minicms 代码审计面试题

nixiaole 2024-11-11 15:24:50 知识剖析 17 ℃

下载Install.php 安装上这个cms竟然没有数据库先去看了一下文件的功能

文件功能列表 https://www.4hou.com/technology/19138.html

│  build.php
│  index.php 整个项目的入口，首先引入核心库mc-core.php，然后进行路由，对路由结果进行相应的渲染，相当于MVC中的C
│  install.txt 复制为php文件后，用来安装MiniCMS
│  README.md
│
├─mc-admin 管理功能的实现
│      conf.php 用户设置页面，包括接收和保存更改的设置
│      editor.php 编辑器的大小、样式调整的库
│      foot.php html<foot>标签构造
│      head.php token验证，html<head>标签构造；若验证失败，跳转至主页
│      index.php 后台登陆身份验证页面
│      page-edit.php 页面编写处理逻辑，包括显示编辑页面、接收提交的页面、页面序列化储存
│      page.php 管理页面的库，声明加载数据、删除页面、还原页面（从回收站还原）
│      post-edit.php 文章编写处理逻辑，包括显示编辑页面、接收提交的页面、页面序列化储存
│      post.php 管理文章的库，声明加载数据、删除文章、还原文章（从回收站还原）
│      style.css 后台用到的CSS
│
└─mc-files
    │  markdown.php 一个开源的markdown解析库
    │  mc-conf.php 配置文件，包含用户名和密码等敏感信息
    │  mc-core.php 引入mc-tags、mc-conf，声明404函数
    │  mc-rss.php 订购RSS的链接
    │  mc-tags.php 相当于M，引入markdown、包括一些核心函数，包括了加载各种信息的函数（网站名、文章数、前进后退等，中间有各种过滤，可以重点分析）
    │
    ├─pages
    │  └─index
    │          delete.php 使用数组储存了删除页面的信息（id、标题、标签等）与data文件夹内的文章数据一一对应
    │          draft.php 使用数组储存了草稿页面的信息（id、标题、标签等）与data文件夹内的文章数据一一对应
    │          publish.php 使用数组储存了已发布的页面的信息（id、标题、标签等）与data文件夹内的文章数据一一对应
    │
    ├─posts
    │  ├─data 储存了文章内容的反序列化数据（文章内容等）
    │  └─index
    │          delete.php 使用数组储存了删除的文章的信息（id、标题、标签等）与data文件夹内的文章数据一一对应
    │          draft.php 使用数组储存了草稿文章的信息（id、标题、标签等）与data文件夹内的文章数据一一对应
    │          publish.php 使用数组储存了已发布文章的信息（id、标题、标签等）与data文件夹内的文章数据一一对应
    │
    └─theme
            index.php 主题文件，决定了页面的风格，将C传入的信息显示出来，相当于V
            style.css 主题使用的CSS风格

安装后访问，首页就只显示了三个功能还包括一个首页

大体看了一下index.php，这里的Index.php就相当于C(控制路由)，大体的逻辑先是根据url后面?后的内容，判断$mc_get_type再根据$mc_get_type 返回指定的内容

XSS1

登陆界面这里面貌似有xss

mc-admin/index.php

<form action="<?php echo $_SERVER['REQUEST_URI']; ?>" method="post">

直接输出，有点像xss

试了半天没试出来我的火狐把<给urlencode postman也不行

看别的师傅说用IE能弹窗但是我经过测试也不能弹窗

去看了一下登陆的验证过程一种是通过cookie验证，还有一种是账号密码验证，通过后设置cookie

垂直越权

刚开始以为越权漏洞是把普通用户的账号当作admin的账号，后来发现，普通用户执行admin的操作也是越权

post页面有编辑删除恢复等操作这就是了解文件结构的作用根据文件的作用就能找到常见漏洞在Post.php的52行有一处删除文件

unlink('../mc-files/posts/data/'.$id.'.dat');

回溯变量

if ($state != 'delete') {
    $index_file2 = '../mc-files/posts/index/delete.php';

    require $index_file2;

    $mc_posts[$id] = $post;

    file_put_contents($index_file2, "<?php\n\$mc_posts=".var_export($mc_posts, true)."\n?>");
  } else {
    unlink('../mc-files/posts/data/'.$id.'.dat');
  }

$state=delete就可以绕过if判断

$state变量在load_posts函数处被赋值

else if ($_GET['state'] == 'delete'){
      $state = 'delete';
      $index_file = '../mc-files/posts/index/delete.php';
    }

赋值之后，在就没有变化再去看$id变量$id变量是从ids种哪来的，ids是GET传过来的可控

if (isset($_GET['delete']) || (isset($_GET['apply']) && $_GET['apply'] == 'delete')) {
  if (isset($_GET['apply']) && $_GET['apply'] == 'delete') {
    $ids = explode(',', $_GET['ids']);
    foreach ($ids as $id) {
      if (trim($id) == '')
        continue;
      delete_post($id);
      load_posts();
    }
  } else {
    delete_post($_GET['delete']);
  }

试一下访问post.php 结果是302很有可能是没登陆，所以重定向了，但是代码看到这里，没有发现有验证的地方，再往下看看在188行处

<?php require 'head.php' ?>
<script type="text/javascript">
function check_all(name)
{
  var el  = document.getElementsByTagName('input');
  var len = el.length;

  for(var i=0; i<len; i++) {
    if((el[i].type=="checkbox") && (el[i].name==name)) {
      el[i].checked = true;
    }
  }
}

在head.php中

if (isset($_COOKIE['mc_token'])) {
  $token = $_COOKIE['mc_token'];

  if ($token != md5($mc_config['user_name'].'_'.$mc_config['user_pass'])) {
    Header("Location:index.php");
    exit;
  }
} else {
  Header("Location:index.php");
  exit;
}

这里对cookie进行了检查因为我没登陆，所以就302了但是不影响我们删文件，因为验证在删除的后边测试

data目录下的文件已经没了

XSS2

xss大部分是在输入的地方产生的，根据功能来，不去看代码，找到可以输入的地方统计一下发布文章那里有三个分别是标题内容标签设置里面有评论代码

title

在管理页面也就是post.php页面同样会出现发布的内容，看一下这里也被转义了

content

内容这里存在xss

弹窗

tag

也转义了不能打

设置处

同样设置这里变量输出时都进行了转义不能弹窗

去源码里看一下后台是怎样处理数据的编辑页面在post-edit.php

require 'head.php';

这里开头就包含了head.php，不存在越权

下面对content进行了处理

if (isset($_POST['_IS_POST_BACK_'])) {
  $post_id          = $_POST['id'];
  $post_state       = $_POST['state'];
  $post_title       = trim($_POST['title']);
  $post_content     = get_magic_quotes_gpc() ? stripslashes(trim($_POST['content'])) : trim($_POST['content']);
  $post_tags        = explode(',', trim($_POST['tags']));
  $post_date        = date("Y-m-d");
  $post_time        = date("H:i:s");
  $post_can_comment  = $_POST['can_comment'];

get_magic_quotes_gpc 获得当前magic_quotes_gpc的配置选项设置stripslashes函数返回以剥离反斜杠\的字符串在这里就等同于没处理也没有过滤函数对xss没防御措施

标题在前端的输出哪里进行了一次转义操作这是在草稿箱哪里进行的转义，但是在存储的过程中并没有进行转义操作

<input name="title" type="text" class="edit_textbox" placeholder="在此输入标题" value="<?php echo htmlspecialchars($page_title); ?>"/>

mc-admin/conf.php同样这里的转义是在conf界面显示的时候进行的转义，存储时没有进行转义

<?php echo htmlspecialchars($comment_code); ?>

后来发现数据在存储过程中经过了一步var_export() 这个函数会把单引号转义但是并不会转义<>所以我推测，这里的转义可能是浏览器转义的评论代码这里只在设置界面这里会显示，其他地方不显示，也就没了输出点

既然可以输入内容，那么输入一点代码会是什么样，不要忘了这里的内容被存在数组里，所以要先逃出数组

$mc_config = array (
  'version' => '1.10',
  'site_link' => 'http://127.0.0.1/minicms',
  'site_name' => '我的网站',
  'site_desc' => '又一个MiniCMS网站',
  'comment_code' => '<script>alert(1)</script>',
)

单引号闭合再加上注释符不行,前面说了comment_code中的单引号被var_export转义了，只能利用其他的位置就用网站标题吧最后发现从conf.php传过去的mc_config变量，都经过了var_export

后来看了已有的CVE 是使用了install.php 在安装时通过设置网站标题为

');<?php phpinfo();?>

实现RCE 一般网站在安装后都会删除install.php

xss3

mc-admin/post.php这里有一个tag参数，最后的输出没有经过转义

if (isset($_GET['tag']))
  $filter_tag = $_GET['tag'];

288行有输出点

<a class="link_button" href="?state=<?php echo $state; ?>&date=<?php echo $filter_date;?>&tag=<?php echo $filter_tag; ?>">?</a>
    <a class="link_button" href="?state=<?php echo $state; ?>&date=<?php echo $filter_date;?>&tag=<?php echo $filter_tag; ?>&page=<?php echo $prev_page; ?>">?</a>

下面还有一个data参数，同样的道理，也存在xss利用过程和之前的基本一样

xss总结

可能只在一个地方输入，但是会在多个地方显示，也就是说虽然只在编辑页面输入了xss语句，但是会在post.php 以及minicms/?post/4hctsa等多个页面显示还有浏览器可能也会转义标签等xss因为这个cms使用了stripslashes来处理输入数据，那么可以全局搜索一下stripslashes来快速找到，有哪些地方可以输入数据，也就找到了xss输入点

RCE

page-edit.php下面还有一处写入操作file_put_content116行

$data['content'] = $post_content;

    file_put_contents($file_path, serialize($data));

上面还有一处文件包含109行

代码审计-minicms$index_file = '../mc-files/posts/index/'.$post_state.'.php';
    require $index_file;

回溯变量$post_content = $_POST['content']$post_state = $_POST['state']

都可控在测试的时候出现了两个问题content写上<?php phpinfo();?>

第一个还好说 content是存放在data目录下这里的路径是index 可以用../跳转一下第二个捣鼓了半天还没弄好就是写入的文件是有后缀的，dat 而这里自动加上了一个后缀.php 试过%00 # ; ./长度截断都不行最后把php的版本改为5.2 使用%00截断实现了文件包含+RCE

一点收获

%00截断适用与php<5.3.29 并且GPC(magic_quotes_gpc)为off

总结

这个cms是一个搭建博客使用的，普通用户能够执行的东西比较少，像文件上传这种漏洞根本就不存在，主要是一个xss这里xss还用到了一个在action参数里输出，虽然没复现出来

上一篇：这一次，终于把XSS理解透彻 xsslibs
下一篇：如何使用PHP验证和过滤HTML表单提交的数据?示例代码剖析

网站首页 > 知识剖析 正文