代码审计-minicms（代码审计需要什么资质）
cac55 2024-10-27 08:15 20 浏览 0 评论
下载Install.php 安装上 这个cms竟然没有数据库先去看了一下文件的功能
文件功能列表 https://www.4hou.com/technology/19138.html
│ build.php
│ index.php 整个项目的入口，首先引入核心库mc-core.php，然后进行路由，对路由结果进行相应的渲染，相当于MVC中的C
│ install.txt 复制为php文件后，用来安装MiniCMS
│ README.md
│
├─mc-admin 管理功能的实现
│ conf.php 用户设置页面，包括接收和保存更改的设置
│ editor.php 编辑器的大小、样式调整的库
│ foot.php html<foot>标签构造
│ head.php token验证，html<head>标签构造；若验证失败，跳转至主页
│ index.php 后台登陆身份验证页面
│ page-edit.php 页面编写处理逻辑，包括显示编辑页面、接收提交的页面、页面序列化储存
│ page.php 管理页面的库，声明加载数据、删除页面、还原页面（从回收站还原）
│ post-edit.php 文章编写处理逻辑，包括显示编辑页面、接收提交的页面、页面序列化储存
│ post.php 管理文章的库，声明加载数据、删除文章、还原文章（从回收站还原）
│ style.css 后台用到的CSS
│
└─mc-files
│ markdown.php 一个开源的markdown解析库
│ mc-conf.php 配置文件，包含用户名和密码等敏感信息
│ mc-core.php 引入mc-tags、mc-conf，声明404函数
│ mc-rss.php 订购RSS的链接
│ mc-tags.php 相当于M，引入markdown、包括一些核心函数，包括了加载各种信息的函数（网站名、文章数、前进后退等，中间有各种过滤，可以重点分析）
│
├─pages
│ └─index
│ delete.php 使用数组储存了删除页面的信息（id、标题、标签等）与data文件夹内的文章数据一一对应
│ draft.php 使用数组储存了草稿页面的信息（id、标题、标签等）与data文件夹内的文章数据一一对应
│ publish.php 使用数组储存了已发布的页面的信息（id、标题、标签等）与data文件夹内的文章数据一一对应
│
├─posts
│ ├─data 储存了文章内容的反序列化数据（文章内容等）
│ └─index
│ delete.php 使用数组储存了删除的文章的信息（id、标题、标签等）与data文件夹内的文章数据一一对应
│ draft.php 使用数组储存了草稿文章的信息（id、标题、标签等）与data文件夹内的文章数据一一对应
│ publish.php 使用数组储存了已发布文章的信息（id、标题、标签等）与data文件夹内的文章数据一一对应
│
└─theme
index.php 主题文件，决定了页面的风格，将C传入的信息显示出来，相当于V
style.css 主题使用的CSS风格
安装后访问，首页就只显示了三个功能 还包括一个首页
大体看了一下index.php，这里的Index.php就相当于C(控制路由)，大体的逻辑先是根据url后面?后的内容，判断$mc_get_type再根据$mc_get_type 返回指定的内容
XSS1
登陆界面 这里面貌似有xss
mc-admin/index.php
<form action="<?php echo $_SERVER['REQUEST_URI']; ?>" method="post">
直接输出，有点像xss
试了半天没试出来 我的火狐把<给urlencode postman也不行
看别的师傅说 用IE能弹窗 但是我经过测试也不能弹窗
去看了一下 登陆的验证过程一种是通过cookie验证，还有一种是账号密码验证，通过后设置cookie
垂直越权
刚开始以为越权漏洞是 把 普通用户的账号当作admin的账号，后来发现，普通用户执行admin的操作也是越权
post页面有编辑 删除 恢复等操作 这就是了解文件结构的作用 根据文件的作用 就能找到常见漏洞在Post.php的52行 有一处删除文件
unlink('../mc-files/posts/data/'.$id.'.dat');
回溯变量
if ($state != 'delete') {
$index_file2 = '../mc-files/posts/index/delete.php';
require $index_file2;
$mc_posts[$id] = $post;
file_put_contents($index_file2, "<?php\n\$mc_posts=".var_export($mc_posts, true)."\n?>");
} else {
unlink('../mc-files/posts/data/'.$id.'.dat');
}
$state=delete就可以绕过if判断
$state变量在load_posts函数处被赋值
else if ($_GET['state'] == 'delete'){
$state = 'delete';
$index_file = '../mc-files/posts/index/delete.php';
}
赋值之后，在就没有变化再去看$id变量$id变量是从ids种哪来的，ids是GET传过来的 可控
if (isset($_GET['delete']) || (isset($_GET['apply']) && $_GET['apply'] == 'delete')) {
if (isset($_GET['apply']) && $_GET['apply'] == 'delete') {
$ids = explode(',', $_GET['ids']);
foreach ($ids as $id) {
if (trim($id) == '')
continue;
delete_post($id);
load_posts();
}
} else {
delete_post($_GET['delete']);
}
试一下 访问post.php 结果是302很有可能是没登陆，所以重定向了，但是代码看到这里，没有发现有验证的地方，再往下看看在188行处
<?php require 'head.php' ?>
<script type="text/javascript">
function check_all(name)
{
var el = document.getElementsByTagName('input');
var len = el.length;
for(var i=0; i<len; i++) {
if((el[i].type=="checkbox") && (el[i].name==name)) {
el[i].checked = true;
}
}
}
在head.php中
if (isset($_COOKIE['mc_token'])) {
$token = $_COOKIE['mc_token'];
if ($token != md5($mc_config['user_name'].'_'.$mc_config['user_pass'])) {
Header("Location:index.php");
exit;
}
} else {
Header("Location:index.php");
exit;
}
这里对cookie进行了检查因为我没登陆，所以就302了但是不影响我们删文件，因为验证在删除的后边测试
data目录下的文件已经没了
XSS2
xss大部分是在输入的地方产生的，根据功能来，不去看代码，找到可以输入的地方统计一下发布文章那里有三个 分别是 标题 内容 标签设置 里面有评论代码
title
在管理页面 也就是post.php页面 同样会出现发布的内容，看一下这里也被转义了
content
内容这里存在xss
弹窗
tag
也转义了 不能打
设置处
同样设置这里 变量输出时都进行了转义不能弹窗
去源码里看一下后台是怎样处理数据的编辑页面在post-edit.php
require 'head.php';
这里开头就包含了head.php，不存在越权
下面对content进行了处理
if (isset($_POST['_IS_POST_BACK_'])) {
$post_id = $_POST['id'];
$post_state = $_POST['state'];
$post_title = trim($_POST['title']);
$post_content = get_magic_quotes_gpc() ? stripslashes(trim($_POST['content'])) : trim($_POST['content']);
$post_tags = explode(',', trim($_POST['tags']));
$post_date = date("Y-m-d");
$post_time = date("H:i:s");
$post_can_comment = $_POST['can_comment'];
get_magic_quotes_gpc 获得当前magic_quotes_gpc的配置选项设置stripslashes函数 返回以剥离反斜杠\的字符串在这里就等同于没处理 也没有过滤函数 对xss没防御措施
标题 在前端的输出哪里进行了一次转义操作 这是在草稿箱哪里进行的转义，但是在存储的过程中并没有进行转义操作
<input name="title" type="text" class="edit_textbox" placeholder="在此输入标题" value="<?php echo htmlspecialchars($page_title); ?>"/>
mc-admin/conf.php同样这里的转义是在conf界面显示的时候进行的转义，存储时没有进行转义
<?php echo htmlspecialchars($comment_code); ?>
后来发现 数据在存储过程中经过了一步var_export() 这个函数会把单引号转义 但是并不会转义<>所以我推测，这里的转义可能是浏览器转义的评论代码这里只在设置界面这里会显示，其他地方不显示，也就没了输出点
既然可以输入内容，那么输入一点代码会是什么样，不要忘了这里的内容被存在数组里， 所以要先逃出数组
$mc_config = array (
'version' => '1.10',
'site_link' => 'http://127.0.0.1/minicms',
'site_name' => '我的网站',
'site_desc' => '又一个MiniCMS网站',
'comment_code' => '<script>alert(1)</script>',
)
单引号闭合再加上注释符不行,前面说了comment_code中的单引号被var_export转义了，只能利用其他的位置就用网站标题吧最后发现从conf.php传过去的mc_config变量，都经过了var_export
后来看了已有的CVE 是使用了install.php 在安装时 通过设置网站标题为
');<?php phpinfo();?>
实现RCE 一般网站在安装后都会删除install.php
xss3
mc-admin/post.php这里有一个tag参数，最后的输出没有经过转义
if (isset($_GET['tag']))
$filter_tag = $_GET['tag'];
288行有输出点
<a class="link_button" href="?state=<?php echo $state; ?>&date=<?php echo $filter_date;?>&tag=<?php echo $filter_tag; ?>">?</a>
<a class="link_button" href="?state=<?php echo $state; ?>&date=<?php echo $filter_date;?>&tag=<?php echo $filter_tag; ?>&page=<?php echo $prev_page; ?>">?</a>
下面还有一个data参数，同样的道理，也存在xss利用过程和之前的基本一样
xss总结
可能只在一个地方输入，但是会在多个地方显示，也就是说虽然只在编辑页面输入了xss语句，但是会在post.php 以及minicms/?post/4hctsa等多个页面显示还有浏览器可能也会转义标签等xss因为这个cms使用了stripslashes来处理输入数据，那么可以全局搜索一下stripslashes来快速找到，有哪些地方可以输入数据，也就找到了xss输入点
RCE
page-edit.php下面还有一处写入操作file_put_content116行
$data['content'] = $post_content;
file_put_contents($file_path, serialize($data));
上面还有一处文件包含109行
代码审计-minicms$index_file = '../mc-files/posts/index/'.$post_state.'.php';
require $index_file;
回溯变量$post_content = $_POST['content']$post_state = $_POST['state']
都可控在测试的时候出现了两个问题content写上<?php phpinfo();?>
第一个还好说 content是存放在data目录下 这里的路径是index 可以用../跳转一下第二个捣鼓了半天 还没弄好 就是写入的文件是有后缀的，dat 而这里自动加上了一个后缀.php 试过%00 # ; ./长度截断 都不行最后把php的版本改为5.2 使用%00截断 实现了文件包含+RCE
一点收获
%00截断适用与php<5.3.29 并且GPC(magic_quotes_gpc)为off
总结
这个cms是一个搭建博客使用的，普通用户能够执行的东西比较少，像文件上传这种漏洞根本就不存在，主要是一个xss这里xss还用到了一个在action参数里输出，虽然没复现出来
相关推荐
- Protel电路设计常用设计编辑器案例2——创建元件
-
#大有学问#今天介绍一下Protel常用设计编辑器的电气连接工具栏。单击主工具栏上的工具按钮或选择【查看】|【工具栏】|【配线工具栏】菜单命令可以关闭或打开【电气连接(WiringTools)】工具...
- Protel调整元器件的位置(1)——移动和对齐元器件
-
今天介绍调整元器件位置的方法。首先介绍移动和对齐元器件的方法。在绘制电路原理图时，放置完了的电路图可能位置不太合适，需要进行移动。原理图中的所有对象都可以被移动，移动方法相似。对于元器件的移动来说又分...
- 电路仿真软件详谈(八)，proteus电路仿真软件和protel的区别
-
电路仿真软件是常用工具类型之一，proteus更是电路仿真软件中的佼佼者。但是对于proteus电路仿真软件和protel，二者总是被弄混淆。例如，protel是电路仿真软件吗?proteus电路仿真...
- PCB文件转换生产文件Protel 99SE_pcb格式转换
-
为何要将PCB文件转换为GERBER文件和钻孔数据？因为GERBER文件是一种国际标准的光绘格式文件，它包含RS-274-D和RS-274-X两种格式，其中RS-274-D称为基本GERBER格式，并...
- PCB设计项目教程 -PDF_pcb设计作品
-
PCB设计项目教程》及相关PCB设计教材详细介绍：一、核心教材《PCB设计项目教程》该教材由徐凯、王威担任主编，于2017年由北京理工大学出版社出版。其采用“项目导向、任务驱动”的教学模式，...
- 最受欢迎的pcb设计软件Protel99se到底怎么样?
-
Protel99se是一款国内非常实用且流行的设计行业的pcb设计软件，其由pcb原理图设计和多层板电路设计两大功能组成，其最大的特点是好获取，在网上可以随便的找到，且Protel99se软件适用于w...
- 人人都是网络雇佣兵，一种基于路由器的ddos平台设计思路
-
本文灵感来自于三个方面优酷路由宝，迅雷宝这种路由器流量兑现方式Anonymous匿名者的ddos方式传统木马ddos方案先说路由宝迅雷宝，这种以用户网络为节点的CDN网络中，会传输大量的流量，我上月优...
- 接口性能测试工具Locust介绍_接口和性能的测试要点
-
接口性能测试工具其实挺多的，小型有apache的ab工具，大型的有Jmeter、Locust......这里要介绍的是Locust，相对于Jmeter进行了比较完善的封装，Locust可以就显的更自...
- 华硕笔记本电脑安装系统实战心得体会
-
故障:某某的电脑叫人安装系统至一半就蓝屏死机.拿来给我安装,发现光驱无效,不能用光盘安装.电脑启动蓝屏.解决方法:用了半天时间安装也出现类似问题.后来考虑用U盘来装.1.首先制作U盘系统,把U盘资...
- dos命令systeminfo图文教程，显示操作系统配置信息msinfo32
-
大家好，我是老盖，首先感谢观看本文，本篇文章做的有视频，视频讲述的比较详细，也可以看我发布的视频。今天我们学习systeminfo命令，该工具显示本地或远程机器(包括服务包级别)的操作系统配置的信息，...
- 玩家展示现代硬件上运行的MS-DOS 拥有令人难以置信的向后兼容性
-
一位YouTuber展示了在现代计算机硬件上直接运行古老的MS-DOS操作系统和经典游戏的能力。这段视频由YouTuberInkbox发布，向观众展示了如何启动古老的、前Windows...
- 比微PE还干净还强大，带网络:USBOS V3.0超级PE装机工具20221031
-
期待已久的USBOSV3.0超级PE装机工具20221031又和大家见面了，用过的朋友都知道他的确很强大，对于新旧电脑的支持很好，目前为止还没有电脑不支持的，包括苹果PC。很多朋友还在用诸如大白菜、...
- 大童保险李晓婧:保险的本位是风险管理应在四方面进行建设
-
经济观察网记者姜鑫5月17日，大童保险服务宣布升级了风险管理模式，推出DOSM（DemandOriented，SolutionModel）需求导向型解决方案5.0版本。新解决方案从原有“六位...
- DOS常用命令及简介_dos常用命令大全及用法
-
DOS是英文DiskOperatingSystem的缩写，意思是“磁盘操作系统”。我是在95年开始学的电脑，当时学校的机房里，还没有一台WINDOWS操作系统的电脑，当时都是用DOS、UC-DOS...
- Windows 忘记开机密码?不用任何工具，1招轻松破解
-
出现忘记Windows密码的情况，概率有多大？对此，小电只能回答忘记开机密码的情况，说来就来，没有规律，也不会提前告诉你一声~而忘记Windows开机密码的时候，很多朋友都会想起可以使用u盘启动盘来破...
欢迎 你 发表评论:
- 一周热门
- 最近发表
- 标签列表
-
- 如何绘制折线图 (52)
- javaabstract (48)
- 新浪微博头像 (53)
- grub4dos (66)
- s扫描器 (51)
- httpfile dll (48)
- ps实例教程 (55)
- taskmgr (51)
- s spline (61)
- vnc远程控制 (47)
- 数据丢失 (47)
- wbem (57)
- flac文件 (72)
- 网页制作基础教程 (53)
- 镜像文件刻录 (61)
- ug5 0软件免费下载 (78)
- debian下载 (53)
- ubuntu10 04 (60)
- web qq登录 (59)
- 笔记本变成无线路由 (52)
- flash player 11 4 (50)
- 右键菜单清理 (78)
- cuteftp 注册码 (57)
- ospf协议 (53)
- ms17 010 下载 (60)