bluecms_v_1.6sp1代码审计

最新推荐文章于 2024-03-04 14:58:58 发布
最新推荐文章于 2024-03-04 14:58:58 发布
阅读量782 收藏 2
点赞数
分类专栏： 代码审计与分析 文章标签： bluecms 代码审计 web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/RestoreJustice/article/details/129733999
版权

bluecms_v_1.6sp1代码审计

cms概况

bluecms v1.6 sp1是一个比较古老的cms,目录结构也比较简单。网站主要防护在/include/common.inc.php文件中，对$_GET、$_POST、$_COOKIES、$_REQUEST使用deep_addslashes()函数过滤一遍，漏了$_SERVER，deep_addslashes函数是使用addslashes函数对输入值中的预定义字符做转义

代码审计

将代码放入seay源代码审计系统中自动审计，先对扫描出来疑似存在漏洞的地方审计一遍，然后在对重点功能或文件进行审计。

1、重装漏洞

在搭建实验环境的时候，但安装进行到最后一步时却网页空白显示，但实际上又确实是安装好了网站也可以正常 访问（搭建环境时记得修改php.ini文件调低其报错敏感程度，不然会报一些无关重要的错误）。

这时重新访问安转文件，依旧可以进入安转步骤

搭建完成 ，能够正常使用

在这里插入图片描述

访问安转文件，可以进入安转界面进行重装
在这里插入图片描述

一般cms安装完成后，都会生成一个类似install.lock的文件，用以检测cms已经安转好了。

这里安转完成是会在data目录生成一个 install.lock文件，但进入安装程序后检测是否有这个文件判断是否安装过了
在这里插入图片描述
在这里插入图片描述

这里安转好后却没有生成install.lock文件

测试发现原因是由于index.php文件开头和结尾都包含了/include/common.inc.php文件，而inc文件调用了smarty类文件，这里造成了重复调用，require错误，不会继续执行代码。也就不会生成install.lock文件,解决办法是将require 改成require_once，如果已经被包含，则不会再次包含。

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

2、SQL注入 漏洞

  • ad_js.phpSQL注入

    使用seay源代码审计系统自动审计，手动检查发现ad_js.php中$ad_id参数没有过滤就直接拼接到SQL语句中

在这里插入图片描述

跟进getone函数

在这里插入图片描述

除了common.inc.php中deep_addslashes函数会转义预定义字符外再无任何过滤，直接执行并返回结果。而且这里由于没有因引号包裹，deep_addslashes函数不起作用，可以直接利用。

注意这里注入结果不会显示在页面上，通过查看网页源代码可以看到

在这里插入图片描述

查所有表名
在这里插入图片描述

  • user.php宽字节注入

数据库在连接时采用gbk编码格式，而且deep_addslashes会转义输入的参数值，因此可以使用宽字节注入

在这里插入图片描述

这里一共有两处可以注入，一处是网站用户登录，另一处是网站用户注册处。

在这里插入图片描述
在这里插入图片描述

网站用户登录页面用户名引号前输入%df与转义后的\合称gbk字符運。直接在登录框输入%df’是不行的，因为%df本来就是特殊字符，直接这样写其中的%号会经过一次url编码

输出注入语句看一下
在这里插入图片描述

在这里插入图片描述

  • admin/login.php宽字节注入

同样网站管理员登录处也存在同样的问题

在这里插入图片描述

跟进check_admin函数

在这里插入图片描述

使用宽字节注入达到万能密码登录的目的
在这里插入图片描述
在这里插入图片描述

  • xf注入

因为deep_addslashes函数没有对$_SERVER进行过滤，可以可以找到有X-Forwarded-For或CLIENT-IP的地方，伪造ip进行SQL注入

找到与ip有关的SQL语句

guest_book.php留言处发现ip会写入数据库

在这里插入图片描述

跟进$online_ip

在这里插入图片描述

跟进getip()函数

在这里插入图片描述

可以伪造X-Forwarded-For或CLIENT-IP实现注入

在这里插入图片描述

结果显示在留言处

在这里插入图片描述

还有一处注入是在网站新闻留言处，与上面类似

但要注意，这里的xf构造

X-Forwarded-For: 127.0.0.1','1'),('', '1', '1', '1', '6', (select concat(admin_name,0x3e,pwd) from blue_admin), '1656396250', '127.0.0.1', '1')#

在这里插入图片描述
在这里插入图片描述

这样构造就相当于一次性插入了两条留言，绕过了对留言内容的检测

在这里插入图片描述

**注意：**插入的数据要与前面一条一致（用户id之类的）不然会报错，或者显示不了

在这里插入图片描述

  • 后台多处sql注入

后台对数据库的操作要比前台多，大多数是由于数据库设置gbk编码造成的宽字节注入以及一些未过滤无引号保护直接拼接造成的。这里不一一列举了

3、XSS漏洞

  • guest_book.php存储型XSS

上面这里可以构造sql注入，原理是在写入数据库中的语句中插入注入语句，其实是替代了留言内容写入数据库，并把结果显示在页面留言处。如果把注入语句换成XSS语句，就可以造成存储型XSS，也就绕过了程序对留言的html实体编码防御XSS的措施。

在这里插入图片描述

伪造XF信息，插入XSS语句

在这里插入图片描述

成功弹窗

在这里插入图片描述

  • 网站新闻留言处存储型XSS

和上面一样这儿还是利用的XF中ip伪造

在这里插入图片描述

成功弹窗

在这里插入图片描述

  • user.php存储型XSS

1、用户注册邮箱过滤不全导致存储型XSS

在这里插入图片描述

同样这里user_name参数也是可以利用的，但是有长度限制，email则没有长度限制。这里个参数仅仅是经过转义预定义字符和trim函数去除首尾的空白和预定义字符。

这两个参数可以注入也可以写入XSS，但要注意浏览器提交会自动编码，所以最好抓包后修改

在这里插入图片描述

登录aaaa用户即可弹框

在这里插入图片描述

2、发布新闻处存储型XSS

新闻内容，采用filter_data过滤

在这里插入图片描述

跟进filter_data函数

在这里插入图片描述

这里漏掉了img标签，可以使用img标签。也可以大小写混写直接绕过

在这里插入图片描述
在这里插入图片描述

还有一处是编辑新闻中的文章概要处，这里只是限制了长度，没有过滤

在这里插入图片描述
在这里插入图片描述

直接在网站首页弹框

在这里插入图片描述

4、文件包含

user.php中用户选择支付方式是选择对应的文件夹进行包含

在这里插入图片描述

这里需要截断路径

$_POST['pay']前后加了文件，可以使用../进行目录遍历，后面的/index.php如果php版本低于5.3.4且magic_quotes_gpc=off则可以使用%00截断，导致任意文件包含。还可以使用.号路径长度截断，Windows下目录最大长度为256字节，Linux下目录最大长度为4096字节

实测点号.截断phpstudy中 php5.2可以成功

在这里插入图片描述

成功包含

在这里插入图片描述

5、ssrf漏洞

看到有人分析bluecms时提到了uesr.php有一处SSRF漏洞，这儿来分析一下

在网站用户修改资料这里，可以自定义上传图片的路径

在这里插入图片描述

这里的代码逻辑是不允许包含http://或者https://应该用!==，但是他用了!=，根据php弱类型strpos()返回值为0是和false相等的，故能够绕过造成SSRF漏洞

== 比较两边的值是否相等，会自动转换类型； === 则会严格比较类型是否相同，如果类型不相同，直接返回false。 例如：'123' === 123 // => false

!= 与 ==相对，!== 与 ===相对。同理：

0 != false // => false
0 !== false // => true

但是这里只支持本站相对路径其实cms源代码就是只支持本站相对路径，没有类似file_get_contents的函数处理

6、任意文件删除漏洞

  • user.php 网站用户更新个人资料处

在这里插入图片描述

参数face_pic3外部可控，可删除任意文件，需使得face_pic1为空。

cms文件夹中新建aaa.php文件

在这里插入图片描述

成功删除
在这里插入图片描述
在这里插入图片描述

  • 提交编辑后的分类信息处任意文件删除

在这里插入图片描述

参数lit_pic可控，可以删除任意文件

7、总结

这是一个比较古老的cms,可以说是满目疮痍，更靶场一样。上述漏洞主要是前台的。后台同样存在类似或者没有写到的漏洞。由于自己技术有限，就到这。

不要温顺地走进那个良夜
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
0基础入门 | bluecms前后台代码审计
2301_80127209的博客
03-21 862
申明：本账号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法。环境搭建、HTML，PHP，MySQL基础学习，信息收集，SQL注入,XSS，CSRF，暴力破解等等。post接受user_id值判断参数是否为空，没有过滤。免费领取安全学习资料包！帮助你在面试中脱颖而出。
生命在于折腾——BlueCMS代码审计
易水哲的博客
09-23 915
BlueCMS代码审计
bluecmsv1.6代码审计
qq_42307546的博客
06-28 708
php
bluecms 手把手教你0day挖掘-基础入门篇
G208_522的博客
03-15 5437
Bluecms后台sql注入漏洞 一、环境搭建 1、PhP地方门户系统 BlueCMS v1.6 sp1 下载地址：https://down.chinaz.com/soft/26181.htm 2、PHPstudy apache，mysql集成环境 二、代码审计 在该cms系统中，其后台存在sql注入漏洞 [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-wmb7A4Ms-1647335609467)(https://gitee.com/gaohongyu1/csdn/raw/m
2、Bluecms代码审计
最新发布
Yzz_的博客
03-04 582
【代码】2、Bluecms代码审计。
代码审计学习-BlueCMS框架代码审计
Alexhirchi的博客
11-05 1333
第一次的代码审计--BlueCMS代码审计 之前总说要学习代码审计，但每次面对大量代码时，又没什么开发经验，都是浅尝即止，面对几千行的代码毫无开始的头绪。（看来又印证了那句话：基础决定上层建筑）作为萌新 最开始我还是先去看了许多大佬的文章，了解一下他们的学习路线，并且学习了一些新的思路。这次挑了个小众的CMS入手–BlueCMS作为我的代码审计开始，顺便分享一些自己的总结。 环境配置： BlueCMS v1.6 sp1 windows7 PHP 5.4.45 + Apache +mysql 5.7..
bluecms_v1.6_sp1.zip
01-25
"bluecms_v1.6_sp1.zip" 是一个软件压缩包，主要包含了一个名为 "bluecms_v1.6_sp1" 的更新版本。这个版本可能是针对 "BlueCMS" 系统的一个更新，版本号为 1.6 Service Pack 1（SP1），通常SP代表着一个重要的补丁或...
Bluecms内容管理系统 v1.6sp1
08-29
v1.6演示地址:http://www.bluecms.net/demo 官方网站：http://www.bluecms.net/ 官方论坛：htpp://www.bluecms.net/bbs
PHP地方门户系统-BlueCMS v1.6 sp1.rar
07-07
bluecms v1.6 升级到 bluecms v1.6 sp1版说明： 解决问题： 1.修正所有已知错误 2.前后台整合通用编辑器fckeditor，替换之前的editor 3.增加前台发布新闻过滤 4.增加禁止词语过滤 5.增加同一用户注册时间间隔...
bluecms-zzcms.rar
06-09
"bluecms-zzcms.rar"这个压缩包包含两个流行的开源内容管理系统（CMS）——BlueCMS v1.6 sp1和ZZCMS 8.2的源代码，这两个系统被广泛用于搭建网站，同时也被用作初学者进行代码审计的实例。 **BlueCMS v1.6 sp1** ...
网奇E游通旅游网站建设系统 v1.5 SP1.rar
07-09
“网奇Etrip”旅游网站管理系统，采用ASP.NET2.0语言开发，它集成新闻模块、专题模块、酒店模块、线路模块、景点模块、订票模板、SEO优化模块、短信营销模块等多项强大功能。 网奇E游通旅游网站建设系统采用三层架构开发，全站生成存静态HTML，页面代码全部采用DIV CSS，完全符合SEO标准，有利于搜索引擎关键排名优化，前台基于下一代互联网渲染技术，让您的网站在未来发展中处于领先地位！ 网奇E游通旅游网站建设系统 v1.5 SP1 更新内容 1、修改酒店搜索BUG 2、修改后台LOGO上传 3、修改在线答疑样式及链接错误 4、增加签证资料上传格式
Bluecms后台任意修改文件getshell
kiwi的博客
10-26 1574
前几天在入门代码审计的时候，拿bluecms学习，偶然在百度上面找到一篇文章是写bluecms拿shell的，就学习了一下，我认为应该有部分cms也存在此漏洞，可能文章有不足的地方欢迎师傅们批评指正。
Dedecms 最新版漏洞收集并复现学习
墨痕诉清风的博客
09-30 5442
在用户密码重置功能处，php存在弱类型比较，导致如果用户没有设置密保问题的情况下可以绕过验证密保问题，直接修改密码(管理员账户默认不设置密保问题)。这么一次过滤，直接粗暴的将一些特殊字符替换为空，那么我们就可以通过特殊字符绕过上面的全局文件名不能包含php字符的限制，比如文件名为。这样，由于index.php中我们可以控制返回一个输入值和这个输入值经过服务器处理后的md5值。我们可以看到当uid存在值时就会进入我们现在的代码中，当cookie中的last_vid中不存在值为空时，就会将uid值赋予过去，
万变不离其宗-掌控者靶场之bluecms1.6漏洞
cainsoftware的博客
07-26 2557
拿到题 睁大眼就能看见底下的 bluecms 1.6 百度了一下漏洞位置 学习了PW的姿势 SQL注入位置 http://59.63.200.79:8003/bluecms/uploads/ad_js.php?ad_id=1 Order by 7 字段长度为7 注入表名payload: ad_js.php?ad_id=1%20union%20select%201,2,3,4,5,6,group_concat(table_name)%20from%20information_sc..
bluecms1.6sp1(还是白盒入门)
Npceer-一位网安初学者的博客
10-02 1771
Bluecmssql注入ad_js.php存在sql注入XFF伪造/guest_book.php 再来一个入门级别的cms 然后就进入tp的复现了 直接开始吧 环境就不解释了 网上找个源码下载 找不到私聊我要也行 sql注入 先自己看看 seay放一边 等会在回来 ad_js.php存在sql注入 发现没啥过滤 trim去个空格没啥用 order by 7 时候不报错 直接联合注入 往下注注不动了 我好久不写sql注入了 这单引号进去被转义了咋办啊 改反引号没用 不知道为啥 有没有大佬解释一下的 解
bluecms 1.6 审计与渗透测试
feng的博客
05-07 1762
前言 听My0n9s师傅说bluecms比较适合审计入门，正好也到了2周审计一个CMS的时候了，就从网上下载了这个CMS的源码，开始审计与渗透测试。 源码下载： bluecmd 安装 安装的时候主要先看看哪些目录是可写的，到时候如果可以传马或者SQL注入可以写马啥的，至少对于可用的目录知道一些。而且也大致看一下，cache是缓存，upload估计就是上传的路径了，backup是备份，说不定可能存在源码泄露啥的，complie就不清楚了，好像就是smarty？。 之后就是正常的安装，而且安装那里的用户名和密
代码审计—Bluecms1.6详细汇总
王嘟嘟的博客
10-27 1288
0x00 前言 如饥似渴的学习ing。 你可能需要看看： https://blog.csdn.net/qq_36869808/article/details/83029980 0x01 start SQL 文件路劲 完成 存在 uploads/ad_js.php √ √ uploads/ann.php √ ╳ uploads/index.php √ ╳ uploads/...
代码审计之bluecms1.6后台SQL注入
Kr的博客
11-07 1018
bluecm1.6版本后台存在SQL注入 漏洞点链接： http://127.0.0.1/bluecms_v1.6_sp1/uploads/admin/nav.php?act=edit&navid=1 代码： elseif($act=='edit') { $sql = "select * from ".table('navigate')." where navid = "...
代码审计—Bluecms—sql—ad_js.php
王嘟嘟的博客
10-26 696
0x00 前言 如饥似渴的学习ing。 你可能需要看看这个： https://blog.csdn.net/qq_36869808/article/details/83029980 内容说明 这个漏洞大家之前都复现过，但是我也想试一试。我也不知道大佬们是怎么挖掘出来的。难道真的是一个参数一个参数进行尝试吗。这些疑问都是需要解决的。 0x01 start 1.黑盒测试 首先来看一下sql注入点 htt...
bluecms1.6源码
09-22
bluecms1.6源码是一个开源的内容管理系统的版本。这个版本具有强大的功能和灵活的扩展性。它适用于构建各种类型的网站，从个人博客到企业门户网站都可以使用。该源码提供了一个易于使用的后台管理系统，可以让网站管理员轻松地管理网站的内容和设置。 这个版本的bluecms还包含了一些常见的功能，如文档管理、用户管理、权限控制、评论管理等。它还提供了一个强大的模板系统，可以让用户根据自己的需求自定义网站的外观和布局。另外，该版本还支持多语言功能，可以根据用户的语言偏好自动切换网站的语言。 从技术角度来看，bluecms1.6源码采用了PHP语言开发，并使用MySQL数据库来存储数据。它使用了一些流行的开发框架和库，如CodeIgniter和jQuery，以提高开发效率和用户体验。 由于bluecms1.6是开源的，所以用户可以自由地修改和分发源码。这意味着用户可以根据自己的需要进行定制，并与其他人分享他们的改进。这也使得bluecms1.6成为了一个活跃的社区，用户可以在社区中交流经验和解决问题。 总结来说，bluecms1.6源码是一个功能强大、易于使用且高度可定制的内容管理系统。它适用于各种网站，并具有一个活跃的社区。无论您是个人用户还是企业用户，bluecms1.6都可以满足您的需求。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值