xhcms-v1.0 代码审计

Aukum

已于 2024-05-05 19:09:46 修改

阅读量1.1k

点赞数 25

文章标签：网络安全 web安全

于 2024-05-05 19:08:50 首次发布

本文链接：https://blog.csdn.net/Aukum/article/details/138470853

版权

首先，直接使用代码审计工具自动审计筛一下。

可以看到很多，大致分为SQL注入、任意文件读取、文件上传、变量覆盖，这里面应该有误报。

SQL注入

把SQL注入的筛一遍吧。都看看。

1、误报

/admin/files/adset.php

定位到这里，无非就是$ad1、$ad2、$ad3这三个参数，结合mysql_error()（返回上一个 MySQL 操作产生的文本错误信息），这里很可能有报错注入。但是$ad1、$ad2、$ad3被addslashes()函数转义==没搞，除非数据库和PHP的编码设置不同，那就能试一下宽字节注入。后面的误报就不仔细说了。

2、GET传参未过滤

/admin/files/editoolumn.php，/admin/files/editlink.php，/admin/files/editsoft.php，/admin/files/editwz.php

注意找对地方。

直接报错注入。先找到位置，手注测一下。报错注入不了解可以看下报错注入，简单来说搞定报错函数和concat()函数即可。

xhcms_v1.0/admin/?r=editcolumn&type=2&id=1'   #报错
xhcms_v1.0/admin/?r=editcolumn&type=2&id=1' and 1=1 -- a  #没报错，正常页面
xhcms_v1.0/admin/?r=editcolumn&type=2&id=1' and updatexml(1,concat(0x7e,(select user()),0x7e),1) -- a #报错显示~root@localhost~

确定存在SQL注入。接下来sqlmap跑一遍，发现sqlmap跑不出来，搜了一下需要替换sqlmap安装路径下的data\xml\payloads\error_based.xml中<vector>和<payload>标签内的内容。实在换不了就手注吧。

3、POST/GET传参未过滤，UPDATE注入

/admin/files/imageset.php，/admin/files/seniorset.php，/admin/files/reply.php

来看/admin/files/imageset.php，POST传参没做任何处理。

继续往下看。

很明显，$query这里可以利用。看一下这段sql语句是在干嘛，更新图片设置，UPDATE每个字段的值，每一字段都要有对应的值，因此注入点在$img_wzgd。payload与上面一致，报错注入。

202' and updatexml(1,(concat(0x7e,(select database()),0x7e)),1) -- a

同理/admin/files/seniorset.php。就这里而言就是找update最后一个字段作为注入点。

补充：install/index.php应该也存在同样问题。$user是注入点。(这里偷懒没测试)

4、UPDATE注入结合无单引号绕过addslashes函数

/files/content.php，/files/software.php，/files/download.php

拿/files/content.php来说，定位到19行。

虽然$id会被addslashes函数处理，但是注意$query中$id的位置，只要SQL语句中传参无单引号闭合即可绕过。

?r=content&cid=1 and updatexml(1,concat(0x7e,(select database()),0x7e),1)

验证的确存在后，sqlmap跑即可。

sqlmap.py -u "xx" -D xhcms --tables --batch

5、GET传参未过滤，DELETE注入

./admin/files/softlist.php，/admin/files/wzlist.php

以./admin/files/softlist.php为例，定位到第7-9行，对GET传参未作处理。

?r=softlist&delete=1' and updatexml(1,concat(0x7e,(select database()),0x7e),1) -- a

任意文件读取漏洞

/files/downloads.php

首先定位到100行
//打开文件  
$fp = fopen("$sourceFile", "rb");

往上找$sourceFile到32行
$sourceFile = $fileadd; //要下载的临时文件名  

接下来找$fileadd
$fileadd=$down['softadd'];

继续往上
$down= mysql_fetch_array($result);
最终定位到cid
$fileid=addslashes($_GET['cid']);

由此得知，最终读取的文件取决于softadd的值。因此如果softadd是一个敏感文件的地址，我们就能在前台将敏感文件下载。接下来测试是否可行。

找到这段功能对应前台的下载中心和后台的下载列表。首先，后台下载列表中新建一个下载，softadd栏的内容为网站主机敏感文件地址。