狂雨小说（KYXS）CMS 代码审计

CMS介绍

狂雨小说内容管理系统（以下简称KYXSCMS）提供一个轻量级小说网站解决方案，基于ThinkPHP5.1+MySQL的技术开发。
KYXSCMS,灵活，方便，人性化设计简单易用是最大的特色，是快速架设小说类网站首选，只需5分钟即可建立一个海量小说的行业网站，批量采集目标网站数据或使用数据联盟，即可自动采集获取大量数据。内置标签模版，即使不懂代码的前端开发者也可以快速建立一个漂亮的小说网站。

环境搭建

下载链接：http://bbs.kyxscms.com/?t/1.html

我这里使用的是phpenv进行搭建。

先手动创建数据库（create database）。

可能会出现的问题，访问主页时模板存在问题。

解决方法：

删除默认模板，再重新下载。

漏洞复现

文件包含漏洞

这个CMS的漏洞都在后台。

在网站logo处可以上传图片马。

上传成功后会显示上传的路径：

在模板管理中，编辑主页html：

在该位置添加：
注意uploads前面没有斜杠

保存，访问主页：

代码分析

代码结构：

addons          插件代码
application     主要后端代码
config          配置文件
extend          一些基础类文件
public          静态文件
route           路由
runtime         主要是缓存
template        模板文件
thinkphp        thinkphp
uploads         上传文件

漏洞成因：提供了修改模板的功能。再利用Thinkphp 模板/包含文件，造成文件包含漏洞。

这里代码的关键字都是Template

修改模板代码：

    public function edit(){
   
        $Template=model('template');
        $data=$this