更多黑客技能 公众号:小道黑客
本文旨在分享思路,不是分享exp然后批量getshell。
首先渗透的起因是这样的。那时候我闲着无聊看看补天的主页,发现有人提交了XX公司XX漏洞,奖金RMBXX元(具体记不太清了)。
然后我就想去捡捡漏。。。貌似大家都喜欢这样?
百度搜索了一下那公司的名字,找到了他们公司的官网。
一下还看不出是什么CMS,一般这种公司展示的网站都是用CMS做的,不会自己找程序员写新的。
大多都是dede。
拿到这个站后,先看看他的URL。
/news/index.php?c=show&id=xx
他这里是比较普通的一个URL,也看不出什么,顺手测试下sql注入,发现不存在。。要是存在就没有下文了。
然后又简单看了看几个别的页面,没什么特殊的地方,功能也很少,就是展示下公司新闻。
这种情况就得掏出扫描器扫一下目录文件了。
扫了下,发现存在member目录。
然后思路就多了一条了。先注册试试。
网站也没有关闭注册,顺利注册登录。
登录后直接跳转到了主页,于是再访问member目录,成功进入会员中心。
但是蛋疼得发现所有的功能都还不可用,是待审核会员,需要等待审核。。。
然后扫描器还扫到一个adminkey.php,访问发现是一个后台登陆页面,测了下注入也不行。
到目前为止,虽然我没有挖到漏洞,但是废话了很多,顺带发现了一些信息。
这个网站是使用的XXCMS,然后根据后台页面的提示,这个CMS是XXX公司开发的。
貌似首页下面也有写技术支持:XXXX。
那么就有思路了,去下载这个CMS来审计一下看看有没有什么漏洞好利用的。
百度他们公司名字,发现没有提供这个CMS的下载,百度这个CMS,发现没有一点关于这个CMS的信息,全是其他杂七杂八的东西。
然后就想到这个可能不是一个开源的CMS。
那么思路就得变通一下,去寻找使用这个CMS的网站,找脆弱的拿到这个CMS的源码。
那么具体怎么找呢?
找这个网站上比较特别的地方,去搜,最好不要使用百度了,谷歌搜的更全。通过搜索:
“技术支持:XXXX”
inurl:/news/index.php?c=show&id=
采集到了一些应该是使用这个CMS的网站。
然后又怎么快速获取源码呢?
批量扫备份。我这里是只扫备份文件,很快就真找到了一个。
运气不错,如果没有找到的话,得费点功夫弄旁站什么的了,你们懂我的意思吧?
下载备份文件:http://www.xxxxxx.com/wwwroot.rar,解压,打开工具开始审计。
先看index.php里写的什么鬼东西。(实际上我当时直接就上法师工具自动审计,快速搜漏洞点的。
这里为了写的更明白点,就先假装是看index.php吧。
一般比较熟悉后,想快速定位漏洞,直接找敏感函数回溯就可以了。)
看了index.php,马上知道这个CMS是使用了CI框架。
怎么知道的?看代码结构啊。
看不太懂?看第39行注释你总得懂了吧。
然后就去看他的一些控制器的代码
为什么这么做?
这就是,不解释审计。
然后开始不解释审计:
读api.php
直接看公开的方法。
一路往下看。构造函数什么也没做,第二个方法调用了一个api_template方法。
sublime快捷键ctrl+shift+f 搜索定位到定义处。
好了,不用看了,不存在什么高危漏洞。
回到api.php,继续读下一个方法。
hits方法这里把获取到的内容强制转换成了整数型,不能注入。
desktop方法看注释就不用看了,跳过。
test方法没用,不过当作这个CMS的指纹挺不错。
data方法先是判断get[‘auth’]是否等于SYS_KEY常量。
这个常量我们可以先搜下看看是多少。
这个常量就是 这个CMS的名字,应该不会 是随机生成的,也就是存在默认值。
接着data方法第121行,获取的get[‘param’]传入了list_tag方法,搜索跟入。
定义了几个数组,然后用空格分隔传入的参数,也就是get[‘param’],放入到$params中。
那么现在这个$params就是可以控制的。
接着426行,foreach遍历它。接续看。
用 ‘=’ 分割数组中的元素,放入到 v a r , var, var,val变量。
然后经过一系列的判断, v a r 当 作 k e y , var当作key, var当作key,val当作value赋值到 s y s t e m 或 者 system或者 system或者param或者$where。
那么现在这三个变量都是可以控制的了。
然后是替换掉$system[‘order’]中的非法字符。
再就进入switch语句。
当$system[‘action’]是等于cache的时候:
把 p a r a m [ ′ n a m e ′ ] 用 ′ . ′ 分 割 放 到 param['name']用 '.' 分割放到 param[′name′]用′.′分割放到_name 和 $_param变量里面。
然后把$_name 和 $system[‘site’]传入_cache_var方法,跟进去看下吧。
如果$_name等于某些值,就返回一些固定的值。
否则返回 n a m e 和 _name和 name和system[‘site’]传入ci->get_cache方法的返回值。
然后回到list_tag方法。
判断$cache是否为空,是的话就会返回。如果想执行到后面的代码的话,就得让_cache_var方法返回值不是空。
前面分析了,如果$_name等于某些值,_cache_var就会返回一些固定值。
接着,492行,$_param传入_get_var方法,返回值就带入了eval函数。
如果_get_var的返回值可控的话,我们就可以通过控制$_param变量来注入任意的php代码去执行。
跟入_get_var。
用 ‘.’ 分隔了 p a r a m 放 到 param放到 param放到array中,然后遍历 a r r a y , 对 array,对 array,对var进行简单判断,直接拼接到 s t r i n g 变 量 , 然 后 返 回 string变量,然后返回 string变量,然后返回string。
这里可以发现,返回值$string我们还是可以控制部分,插入恶意php代码。
然后再一层层回溯上去,构建出POC去验证:
成功执行phpinfo().然后我就拿到了目标站的权限。
这个漏洞至今还没有修复,所以我也不方便把这个CMS的名字说出来,全程打马了。
作者:Luan @ 蛇皮安全