記一次對wuzhicms的審計

前言

在網上漫游發現的一個cms cnvd也是有提交的

也是初次審計這種

官網：https://www.wuzhicms.com/

現在也已經好像沒更新了

也是先看了一會代碼才知道這是MVC的之前由于也沒有了解過MVC 就很懵

開始啥都沒看懂

后來經過百度和求助了一波團隊的時候總算是有一點點明白了能把代碼走動

MVC全名是Model View Controller，是模型(model)－視圖(view)－控制器(controller)的縮寫，一種軟件設計典范，用一種業務邏輯、數據、界面顯示分離的方法組織代碼，將業務邏輯聚集到一個部件里面，在改進和個性化定制界面及用戶交互的同時，不需要重新編寫業務邏輯。MVC被獨特的發展起來用于映射傳統的輸入、處理和輸出功能在一個邏輯的圖形化用戶界面的結構中。(百度的)

而在之后的路徑中會看見m f v這幾個參數

m就是文件夾 f就是文件 v就是方法

就先大概介紹這些

下面開始審計

sql注入肯定是容易找的就先找sql注入了

工具：seay phpstorm phpstudy

第一處 sql注入(可惜是后臺的)

先直接全局搜索select

這個函數展示沒有發現有過濾

然后找哪里調用了這個函數

通過全局搜索在這個地方發現調用了這個函數

然后查看傳遞的參數

主要傳遞的是55行這個$where參數傳到了函數

然后我們看$where參數的組成里面有兩個變量$siteid $keywords

我們是可能可控的

先看$keywords 因為這個沒調用函數但是調用了一個$GLOBALS來獲取值

這里就又要介紹下$GLOBALS 因為剛開始我也沒懂這個是怎么用來獲取值的知道我百度一陣之后

和代碼翻翻之后在一個文件中發現了

這個cms用$GLOBALS來獲取全部的變量直接把GET POST代替了

具體怎么代替的就不跟進解釋了一句話就是$GLOBALS可以取到get post的傳的值

那么這個keywords 前面又沒有定義變量啥的大概率是傳參的 (后面經過驗證也的確如此)

那另一個參數就不用看了就先控制這個參數才進行注入了

有了可控參數現在就需要找到整個payload了

可能熟悉MVC的師傅就知道該怎么構造payload了但我沒學過MVC 也不了解就只能用其他方式來找了

在這個文件看見了廣告管理的注釋

那我就去后臺找這個功能了

又因為調用的函數是search嘛那就是這個搜索框八九不離十了

直接輸入1 然后搜索但是這樣看不出來

就輸入1然后抓包看看包了

好了這樣路徑參數什么的也出來了

就全部復制到url

然后構造

payload ：SELECT COUNT(*) AS num FROM wz_promote_place WHERE siteid=’1’ AND name LIKE ‘%1%’ or extractvalue(1,concat(0x7e,(select database())))%23

閉合%‘%23

這里我嘗試了下盲注和報錯都是可以的

如果現在到過頭來看就一個簡單的搜索框的注入沒什么花里胡哨的過濾也沒但審計來看還是繞了一大圈子

第二處前臺sql注入

還是在搜索select的時候發現在mysql.class文件下有一個函數里面有select 并且后面的拼接也沒有任何的過濾

然后我們搜索哪里調用了這個函數

首先是在api目錄下的sms_check文件中發現調用了get_one函數并且參數是通過前面的$code拼接

我們可以看到code 先是通過$GLOBALS來獲取參數param的值從前面的介紹可以知道 $GLOBALS是可以獲取post get的值這個文件前面沒有定義param變量那么這個param應該就是post 或者get 就是我們可控的這也是導致注入的點

code還通過strip_tags() 函數而這個函數的作用是剝去html標簽應該是過濾xss吧大概

之后就直接傳入了函數繼續更進函數因為這個文件前面還引入了db類

這個函數應該是調用的這個文件里面的

來到這個文件

可以看到這個get-one函數里面還調用了一個array2sql函數來處理$where

那先來看看這個函數的作用

可以看到這個函數是用來過濾的

如果是數組這進入if 把括號單引號這些過濾掉

不是則走else 過濾 %20 %27

然后返回參數

但也就是這個過濾的地方沒有防護到位

我們傳的參數不是數組所以就沒有走if

而else里面過濾的卻是 %20 %27

我們傳參的時候盡管是經過url編碼的但是web服務器會自動解碼一次所以我們傳到后端代碼處的時候是沒有進行url編碼相當于

但是二次編碼的就不一樣了因為web服務器只解碼一次

如果是二次編碼這里的else過濾就起效果

return 調用的get_one 則是最開始看見的mysql.class文件里面了

下面就可以開始直接構造payload了這里通過代碼分析可以看到是單引號閉合

單引號報錯

閉合顯示正常頁面

就進行盲注

我用的報錯

payload：[http://192.168.1.7/wuzhicms/api/sms_check.php?param=1%27+or%20extractvalue(1,concat(0x7e,(select%20database())))%23](http://192.168.1.7/wuzhicms/api/sms_check.php?param=1'+or extractvalue(1,concat(0x7e,(select database())))%23)

第三處后臺sql注入

從前面兩個分析我發現的注入的地方就存在兩個函數中get_list get_one

然后直接全局搜索這兩個函數看看什么地方調用

可以看到在copyfrom.php中listing函數下調用了這個函數

然后我們網上分析看看什么是可控的

主要傳進去的就一個$where 和 $page

可以看到page會被intval()函數轉化為整數所以我們不考慮它

我們看看where 在if內部想要進入if 就需要通過GLOBALS獲取到keywords

相當于就要傳參嘛

然后在看里面就沒有過濾這些直接拼接

這里也可以看出閉合方式是百分號單引號 %’

我們在來到mysql文件中定義的這個函數也可以看到是對where沒有過濾處理的

那么有了前面的基礎直接來構造

payload：http://192.168.1.7/wuzhicms/index.php?m=core&f=copyfrom&v=listing&_su=wuzhicms&keywords=%27

報錯了直接插入報錯注入的

payload:http://192.168.1.7/wuzhicms/index.php?m=core&f=copyfrom&v=listing&_su=wuzhicms&keywords=1%%27%20or%20extractvalue(1,concat(0x7e,(select%20database())))%23