蝉(feng)知(wo)cms

蚁景网安实验室

于 2018-05-07 20:50:00 发布

阅读量934

点赞数 1

本文链接：https://blog.csdn.net/qq_38154820/article/details/106329727

版权

本文原创作者：EDI-VOID

原创投稿详情：重金悬赏 | 合天原创投稿等你来！

前言

前段时间朋友在渗透测试中遇到一个蝉知cms，于是一起审计出了不少漏洞，现在漏洞已经在新的版本中修复

正文

指纹识别

看了看源码，发现在好几个php中都存在一个判断 if(isset($_GET['mode']) and $_GET['mode'] == 'getconfig') die($app->exportConfig()); 可以通过访问/index.php?mode=getconfig来获取目标cms的版本号，所有版本都有这个漏洞，响应为json。如下图：

可以看到版本号信息

在fofa上搜了几个蝉知cms验证了一下，都可以获取到版本信息

任意文件读取

搭建好环境，在测试后台和前台的功能时，在后台发现一个上传素材的地方

上传完素材精奇的发现文件的路径，是如下格式/123/www/file.php?f=source/default/default/password.txt&t=txt&o=source&s=&v=1524910657

于是复制下载丢到地址栏里一看，发现可以读取php文件的源码，只是有的目录没有权限而已

进一步审计其源代码，发现没有任何验证身份的代码逻辑

poc上场 /file.php? f=../index.php&t=txt&o=source ，对，这里还可以跨目录，因为是cms，所以读取源代码是没有什么价值的，但是有不同的东西，就是数据库的配置文件等，于是翻阅cms的目录，发现system/config目录下的配置文件

逐个打开一看，有数据库的配置文件my.php，于是文件读取派上用场了，数了数目录层数，发现7.0版本的不可以读，有权限限制，pro1.6可以。

poc /file.php? f=../../system/config/my.php&t=txt&o=source

后台Getshell

想要getshell，就得找能生成自定义php的地方，继续测试功能，发现后台有一个编辑模版的地方，有可能有漏洞，点进去一看，这不就是直接在编辑php文件么

但是在源码里加上一句话却发现需要验证用户权限

如图所示，如果编辑模板需要管理员在cms的/system/tmp 目录下新建一个名字为jdga.txt的文件来验证权限你是否有写入权限。于是想起刚才的上传素材的地方可以跨目录上传文件，就想上传一个jdga.txt是否可以，于是操起burp抓包，数了数目录层数，把名称的参数改为../../../../../system/tmp/jdga，因为他这里本来文件名就没有后缀，说明他连接了一下字符串，我们也不必加后缀