代码审计-minicms（代码审计需要什么资质）
cac55 2024-10-27 08:15 18 浏览 0 评论
下载Install.php 安装上 这个cms竟然没有数据库先去看了一下文件的功能
文件功能列表 https://www.4hou.com/technology/19138.html
│ build.php
│ index.php 整个项目的入口，首先引入核心库mc-core.php，然后进行路由，对路由结果进行相应的渲染，相当于MVC中的C
│ install.txt 复制为php文件后，用来安装MiniCMS
│ README.md
│
├─mc-admin 管理功能的实现
│ conf.php 用户设置页面，包括接收和保存更改的设置
│ editor.php 编辑器的大小、样式调整的库
│ foot.php html<foot>标签构造
│ head.php token验证，html<head>标签构造；若验证失败，跳转至主页
│ index.php 后台登陆身份验证页面
│ page-edit.php 页面编写处理逻辑，包括显示编辑页面、接收提交的页面、页面序列化储存
│ page.php 管理页面的库，声明加载数据、删除页面、还原页面（从回收站还原）
│ post-edit.php 文章编写处理逻辑，包括显示编辑页面、接收提交的页面、页面序列化储存
│ post.php 管理文章的库，声明加载数据、删除文章、还原文章（从回收站还原）
│ style.css 后台用到的CSS
│
└─mc-files
│ markdown.php 一个开源的markdown解析库
│ mc-conf.php 配置文件，包含用户名和密码等敏感信息
│ mc-core.php 引入mc-tags、mc-conf，声明404函数
│ mc-rss.php 订购RSS的链接
│ mc-tags.php 相当于M，引入markdown、包括一些核心函数，包括了加载各种信息的函数（网站名、文章数、前进后退等，中间有各种过滤，可以重点分析）
│
├─pages
│ └─index
│ delete.php 使用数组储存了删除页面的信息（id、标题、标签等）与data文件夹内的文章数据一一对应
│ draft.php 使用数组储存了草稿页面的信息（id、标题、标签等）与data文件夹内的文章数据一一对应
│ publish.php 使用数组储存了已发布的页面的信息（id、标题、标签等）与data文件夹内的文章数据一一对应
│
├─posts
│ ├─data 储存了文章内容的反序列化数据（文章内容等）
│ └─index
│ delete.php 使用数组储存了删除的文章的信息（id、标题、标签等）与data文件夹内的文章数据一一对应
│ draft.php 使用数组储存了草稿文章的信息（id、标题、标签等）与data文件夹内的文章数据一一对应
│ publish.php 使用数组储存了已发布文章的信息（id、标题、标签等）与data文件夹内的文章数据一一对应
│
└─theme
index.php 主题文件，决定了页面的风格，将C传入的信息显示出来，相当于V
style.css 主题使用的CSS风格
安装后访问，首页就只显示了三个功能 还包括一个首页
大体看了一下index.php，这里的Index.php就相当于C(控制路由)，大体的逻辑先是根据url后面?后的内容，判断$mc_get_type再根据$mc_get_type 返回指定的内容
XSS1
登陆界面 这里面貌似有xss
mc-admin/index.php
<form action="<?php echo $_SERVER['REQUEST_URI']; ?>" method="post">
直接输出，有点像xss
试了半天没试出来 我的火狐把<给urlencode postman也不行
看别的师傅说 用IE能弹窗 但是我经过测试也不能弹窗
去看了一下 登陆的验证过程一种是通过cookie验证，还有一种是账号密码验证，通过后设置cookie
垂直越权
刚开始以为越权漏洞是 把 普通用户的账号当作admin的账号，后来发现，普通用户执行admin的操作也是越权
post页面有编辑 删除 恢复等操作 这就是了解文件结构的作用 根据文件的作用 就能找到常见漏洞在Post.php的52行 有一处删除文件
unlink('../mc-files/posts/data/'.$id.'.dat');
回溯变量
if ($state != 'delete') {
$index_file2 = '../mc-files/posts/index/delete.php';
require $index_file2;
$mc_posts[$id] = $post;
file_put_contents($index_file2, "<?php\n\$mc_posts=".var_export($mc_posts, true)."\n?>");
} else {
unlink('../mc-files/posts/data/'.$id.'.dat');
}
$state=delete就可以绕过if判断
$state变量在load_posts函数处被赋值
else if ($_GET['state'] == 'delete'){
$state = 'delete';
$index_file = '../mc-files/posts/index/delete.php';
}
赋值之后，在就没有变化再去看$id变量$id变量是从ids种哪来的，ids是GET传过来的 可控
if (isset($_GET['delete']) || (isset($_GET['apply']) && $_GET['apply'] == 'delete')) {
if (isset($_GET['apply']) && $_GET['apply'] == 'delete') {
$ids = explode(',', $_GET['ids']);
foreach ($ids as $id) {
if (trim($id) == '')
continue;
delete_post($id);
load_posts();
}
} else {
delete_post($_GET['delete']);
}
试一下 访问post.php 结果是302很有可能是没登陆，所以重定向了，但是代码看到这里，没有发现有验证的地方，再往下看看在188行处
<?php require 'head.php' ?>
<script type="text/javascript">
function check_all(name)
{
var el = document.getElementsByTagName('input');
var len = el.length;
for(var i=0; i<len; i++) {
if((el[i].type=="checkbox") && (el[i].name==name)) {
el[i].checked = true;
}
}
}
在head.php中
if (isset($_COOKIE['mc_token'])) {
$token = $_COOKIE['mc_token'];
if ($token != md5($mc_config['user_name'].'_'.$mc_config['user_pass'])) {
Header("Location:index.php");
exit;
}
} else {
Header("Location:index.php");
exit;
}
这里对cookie进行了检查因为我没登陆，所以就302了但是不影响我们删文件，因为验证在删除的后边测试
data目录下的文件已经没了
XSS2
xss大部分是在输入的地方产生的，根据功能来，不去看代码，找到可以输入的地方统计一下发布文章那里有三个 分别是 标题 内容 标签设置 里面有评论代码
title
在管理页面 也就是post.php页面 同样会出现发布的内容，看一下这里也被转义了
content
内容这里存在xss
弹窗
tag
也转义了 不能打
设置处
同样设置这里 变量输出时都进行了转义不能弹窗
去源码里看一下后台是怎样处理数据的编辑页面在post-edit.php
require 'head.php';
这里开头就包含了head.php，不存在越权
下面对content进行了处理
if (isset($_POST['_IS_POST_BACK_'])) {
$post_id = $_POST['id'];
$post_state = $_POST['state'];
$post_title = trim($_POST['title']);
$post_content = get_magic_quotes_gpc() ? stripslashes(trim($_POST['content'])) : trim($_POST['content']);
$post_tags = explode(',', trim($_POST['tags']));
$post_date = date("Y-m-d");
$post_time = date("H:i:s");
$post_can_comment = $_POST['can_comment'];
get_magic_quotes_gpc 获得当前magic_quotes_gpc的配置选项设置stripslashes函数 返回以剥离反斜杠\的字符串在这里就等同于没处理 也没有过滤函数 对xss没防御措施
标题 在前端的输出哪里进行了一次转义操作 这是在草稿箱哪里进行的转义，但是在存储的过程中并没有进行转义操作
<input name="title" type="text" class="edit_textbox" placeholder="在此输入标题" value="<?php echo htmlspecialchars($page_title); ?>"/>
mc-admin/conf.php同样这里的转义是在conf界面显示的时候进行的转义，存储时没有进行转义
<?php echo htmlspecialchars($comment_code); ?>
后来发现 数据在存储过程中经过了一步var_export() 这个函数会把单引号转义 但是并不会转义<>所以我推测，这里的转义可能是浏览器转义的评论代码这里只在设置界面这里会显示，其他地方不显示，也就没了输出点
既然可以输入内容，那么输入一点代码会是什么样，不要忘了这里的内容被存在数组里， 所以要先逃出数组
$mc_config = array (
'version' => '1.10',
'site_link' => 'http://127.0.0.1/minicms',
'site_name' => '我的网站',
'site_desc' => '又一个MiniCMS网站',
'comment_code' => '<script>alert(1)</script>',
)
单引号闭合再加上注释符不行,前面说了comment_code中的单引号被var_export转义了，只能利用其他的位置就用网站标题吧最后发现从conf.php传过去的mc_config变量，都经过了var_export
后来看了已有的CVE 是使用了install.php 在安装时 通过设置网站标题为
');<?php phpinfo();?>
实现RCE 一般网站在安装后都会删除install.php
xss3
mc-admin/post.php这里有一个tag参数，最后的输出没有经过转义
if (isset($_GET['tag']))
$filter_tag = $_GET['tag'];
288行有输出点
<a class="link_button" href="?state=<?php echo $state; ?>&date=<?php echo $filter_date;?>&tag=<?php echo $filter_tag; ?>">?</a>
<a class="link_button" href="?state=<?php echo $state; ?>&date=<?php echo $filter_date;?>&tag=<?php echo $filter_tag; ?>&page=<?php echo $prev_page; ?>">?</a>
下面还有一个data参数，同样的道理，也存在xss利用过程和之前的基本一样
xss总结
可能只在一个地方输入，但是会在多个地方显示，也就是说虽然只在编辑页面输入了xss语句，但是会在post.php 以及minicms/?post/4hctsa等多个页面显示还有浏览器可能也会转义标签等xss因为这个cms使用了stripslashes来处理输入数据，那么可以全局搜索一下stripslashes来快速找到，有哪些地方可以输入数据，也就找到了xss输入点
RCE
page-edit.php下面还有一处写入操作file_put_content116行
$data['content'] = $post_content;
file_put_contents($file_path, serialize($data));
上面还有一处文件包含109行
代码审计-minicms$index_file = '../mc-files/posts/index/'.$post_state.'.php';
require $index_file;
回溯变量$post_content = $_POST['content']$post_state = $_POST['state']
都可控在测试的时候出现了两个问题content写上<?php phpinfo();?>
第一个还好说 content是存放在data目录下 这里的路径是index 可以用../跳转一下第二个捣鼓了半天 还没弄好 就是写入的文件是有后缀的，dat 而这里自动加上了一个后缀.php 试过%00 # ; ./长度截断 都不行最后把php的版本改为5.2 使用%00截断 实现了文件包含+RCE
一点收获
%00截断适用与php<5.3.29 并且GPC(magic_quotes_gpc)为off
总结
这个cms是一个搭建博客使用的，普通用户能够执行的东西比较少，像文件上传这种漏洞根本就不存在，主要是一个xss这里xss还用到了一个在action参数里输出，虽然没复现出来
相关推荐
- Linux :远程访问的 16 个最佳工具(一)
-
通过远程桌面协议(RDP)可以访问远程Linux桌面计算机，这是Microsoft开发的专有协议。它为用户提供了一个图形界面，可以通过网络连接连接到另一台/远程计算机。FreeRDP是...
- Guacamole安装部署_guacamole简单搭建
-
Guacamole安装部署Guacamole简介Guacamole是提供连接远程桌面的解决方案的开源项目（也可以说是一个远程桌面网关），通过浏览器就能远程操作服务器，适用于Chrome、Firefox...
- 1-FreeRTOS入门指南_freertos+lwip
-
本专栏是根据官方提供的文档进行FreeRTOS的各个功能函数的说明，以及函数的使用本专栏不涉及动手操作，只是对原理进行说明，FreeRTOS基础知识篇更新完成会对如何在开发板上进行上手实战操作。这里不...
- Windows暂停远程桌面，这些工具可替代
-
Windows暂停远程桌面，这些工具可替代近日，Windows官方宣布将于2025年5月27日起，在Windows10和Windows11应用商店中下架“Microsoft远程桌面”应用。这一消...
- 现在做 Web 全景合适吗?_前端全景
-
作者：前端藏经阁转发链接：https://www.yuque.com/xwifrr/uxqg5v/cgclx0前言Web全景在以前带宽有限的条件下常常用来作为街景和360°全景图片可查看。它可以...
- 网页直连，MSTSC远程控制Windows新姿势!
-
不用安装软件，打开浏览器就能远程办公？今天要聊的是一种颠覆传统的远程控制玩法，直接用网页连接Windows电脑，无需下载客户端，手机、平板、Mac甚至Linux都能轻松操作。这可不是吹牛，结合MSTS...
- QQ出现大面积盗号，原因已查明，请抓紧改密码
-
你没有看错，QQ又上了微博热搜，这次比较严重了，QQ出现大面积盗号，多个QQ群出现yellow信息，其次导致多位成员被踢出，并且还被封号处理，到底怎么回事？请继续往下看。在6月26日晚上10点左...
- 我在淘宝花10块钱，买到了能玩“宝可梦”的Q群机器人
-
十一月雨|文我是个没事喜欢逛淘宝的人，虽然是个不怎么好的习惯，但总是能够发现一些奇奇怪怪的东西，这次我发现的是一种Q群机器人。Q群机器人，大多是基于腾讯SmartQQ协议实现的一种能自动回复、自定...
- Metasploit最实用的攻击模块"Meterpreter"
-
Meterpreter命令详解Meterpreter是Metasploit渗透测试平台框架中功能最强大的攻击载荷模块，在最新的Metasploitv4.5.0版本中，攻击载荷模块已经达到了25...
- 手机QQ再更新，上线了一个想让人“无法回避”的新功能
-
近日，手机QQ更新了V8.2.6.700版本，苹果iOS版和安卓版手机QQ上线了一个新功能：可以实时显示对方的手机电量以及充电状态。开通电量显示也很简单，长按主页左上方的头像，在在线状态中选择我的电量...
- 「网络安全」常见攻击篇(20)——点击劫持
-
什么是点击劫持？点击劫持(Clickjacking)技术又称为界面伪装攻击(UIredressattack)，是一种视觉上的欺骗手段。通常有两种方式：攻击者使用一个透明的iframe，覆盖...
- 曾利用驱动人生升级通道传播的木马下载器攻击方法再次升级
-
一、概述御见威胁情报中心1月25日再次监测到曾利用驱动人生升级通道传播的木马下载器攻击方法再升级。本次升级主要变化在于攻击模块，木马在之前的版本上，新增计划任务“DnsScan”，在其中将永恒之蓝攻击...
- QQ飞车手游:点券首个功能性宠物上架，实战稳定触发还不快入手?
-
随着版本的逐渐更新，点券宠物在道具模式发挥逐渐越来越小，曾经探讨点券宠物在道具是不是真的没有用？直到出现了波斯猫改变了，我对点券宠物在道具模式的看法，如今又一个强势点券宠物来袭，而且特性触发简单，还是...
- 工单系统设计实战(上):核心配置与效能提升
-
流程的标准化并非终点，而是研发效能持续革命的基石。当工单系统真正成为研发团队的“神经中枢”，每一次需求的精准流转、每一行代码的受控提交、每一次版本的可靠发布，都将汇聚成驱动产品持续进化的强大动力...
- 6个编辑PDF文档内容的工具(软件+网站)
-
在日常办公、学习和生活中，PDF文件因其格式稳定、跨平台兼容性强等特点，被广泛应用。但有时我们拿到PDF文件后，却发现需要修改其中的内容，总感觉有点难搞。其实PDF文档编辑修改也很简单，这里分享6个软...
欢迎 你 发表评论:
- 一周热门
- 最近发表
- 标签列表
-
- 如何绘制折线图 (52)
- javaabstract (48)
- 新浪微博头像 (53)
- grub4dos (66)
- s扫描器 (51)
- httpfile dll (48)
- ps实例教程 (55)
- taskmgr (51)
- s spline (61)
- vnc远程控制 (47)
- 数据丢失 (47)
- wbem (57)
- flac文件 (72)
- 网页制作基础教程 (53)
- 镜像文件刻录 (61)
- ug5 0软件免费下载 (78)
- debian下载 (53)
- ubuntu10 04 (60)
- web qq登录 (59)
- 笔记本变成无线路由 (52)
- flash player 11 4 (50)
- 右键菜单清理 (78)
- cuteftp 注册码 (57)
- ospf协议 (53)
- ms17 010 下载 (60)