一直想写代码审计之类的文章,但是迟迟没有写,一是因为不知道怎么写(很少写文章),二呢就是懒癌晚期....哈哈哈,开玩笑,开始今天的代码审计之旅。
本期审计的cms为lmxcms(梦想cms)
版本:lmxcms1.41
下载链接:http://www.lmxcms.com/down/xitong/20210530/14.html
很适合新手练习哦。

ok,废话结束,直接进入正题,
1,首先搭建网站,载入咋的lmxcms,我使用的是phpstudy。这一步相信各位师傅应该都知道,我就不啰嗦了。
2,网站搭建好之后,将代码载入PhpStorm,各位师傅也可以使用其他工具,看个人习惯!
这次代码审计我选择白加黑的形式进行审计,其优点就是能更快的发现漏洞,但是相应的缺点就是审计的不太全面,
漏洞1-前台sql注入:
首先进入网站,查看网站有什么功能点,这里发现前台有留言框....首先想到的应该是xss,

那么我们进入到源码来看看:
由于这是mvc架构,需要找到其路由,由于篇幅问题,影响阅读体验,所以不做分析,需要了解的可以联系我,或者自行百度。
进入到根目录下c/index/BookAction.class.php,查看index方法:

直接跟进checkData方法,checkData方法是接收我们提交的数据的,很重要!!直接跟进,在PhpStorm跟进的快捷键(ctrl加鼠标点击该方法)

好了,上图标注的很明显了,首先分析filter_strs,直接跟进该函数,

可以看到遍历的全部参数值(键值对的值),然后对传入的参数进行解码及去除html标签及替换%为空,就是下面三个函数的功能,不清楚的师傅可百度查看,也就是说filter_strs函数没有过滤sql注入相关的内容,
进入回到前面,分析P函数,直接跟进


直接跟进filter_sql函数:


可以发现filter_sql函数是过滤sql注入的,但是这些并不能阻止我们....
继续返回前面,可以看到下面存在addslashes函数,相信各位师傅不会陌生吧,简单点说就是转义单双引号,反斜杠及null....完完全全的防注入函数啊....直接痛苦面具了啊,但是要记住天无绝人之路,仔细看,这些过滤函数只过滤了值,没有过滤间。就是$k,所以应该还有希望,继续分析。
直接回到最开始的代码,直接进入add函数:

看看其内容:


继续跟进addModel:


继续:

直接提交留言,抓包,

当我们在mail后面添加)让sql语句错误时:

嗯?那么怎么构造语句呢?
首先连接数据库查看该表的其他信息,


看看这一列是什么?回到留言页面看看。


那么很明显了,这列大概率是让留言是否显示的信息了,那么我们就可以构造数据包,闭合INSERT语句了,实现我们的sql注入自由了..
构造如下:

解析下为什么使用time,ischeck),应为最后写入sql语句时,是遍历data数组,我们是在post传参时就将time写入data数组了,而代码本身是在post之后将time加入data数组的,所以我们传入的time比代码本身靠前,顾可以忽略代码本身time,实现我们的注入自由,这里就示范爆出用户名


查看页面:


如果想用sqlmap的话,只用在VALUES括号内其他其他参数加心号即可,但是个人建议手注,sqlmap会产生大量垃圾数据。

2.sql前台注入:
看到首页有搜索框,会不会有sql注入?

当我搜索c时,
http://192.168.80.1:98/index.php?m=Search&a=index&classid=5&tem=index&field=title&keywords=c
直接找到相应代码文件,


跟进接收参数的函数:


这里必须存在keywords值,否则程序退出,下面还有几个参数可以增加,我们跟踪程序,将param数组给了$arr数组,然后带入了searchCoutn函数,跟进再跟进,

我们回到最开始传参的地方,可以看到P函数接收的时候是P(2,1,1),get传参并且转义单引号,过滤了部分函数,将参数一一带入数据包查看,
参数这些:


我测试的是remen,当然其他的也可以,只是构造的问题,具体我没有试过,各位师傅可以试试。
使用remen参数时:

可以看到sql语是:

SELECT count(1) FROM lmx_product_data  WHERE time > 1618420231 AND remen=2 AND classid in(11,12,13,14,5)  AND (title like '%c%')  ORDER BY id desc

这样我们就可以操作remen了
poc:
/index.php?m=Search&a=index&classid=5&tem=index&field=title&keywords=c&remen=2%20or%20(if(ascii(substr(database(),1,1))=0x6c,1,0))--+

返回长度是7973,如果if是否,
poc:
/index.php?m=Search&a=index&classid=5&tem=index&field=title&keywords=c&remen=2%20or%20(if(ascii(substr(database(),1,1))=0x6a,1,0))--+

写py脚本:

import requests

url = "http://192.168.80.1:98?m=search&keywords=b&mid=1&remen=1 or (if(ascii(substr(database(),{},1))={},1,0))--+"
sjk = ""

for i in range(1, 7):
    for j in range(80, 180):
        cl = url.format(i, hex(j))
        res = requests.get(cl)
        if len(res.text) > 6000:
            sjk += chr(j)
            print(sjk)

3.后台任意文件删除:
进入后台,看到文件管理目录,可以删除文件,那么会不会有任意文件删除呢?

那我们选择一个图片删除,抓包看看数据包的情况:

看看那串加密的内容是什么:


这种路径?大概率存在任意文件删除,我们找到相应的文件位置,
c/admin/FileAction.class.php

这里使用post传参接收fid的参数,判断是否为空,不为空进入下一步,我们跟进delete函数,


这里没有什么过滤,只是要求fid接收前面存在#####即可,那么好,我们为了不破坏源码,我们在install目录下创建1.txt,如果删除install_ok.txt就会重装环境,我们更改fid的参数

可以看到提示删除成功,


实际也删除成功。

4.后台任意文件写入
找到后台的模板管理的地方,像这种地方一般都存在漏洞,比如目录遍历,文件写入,文件删除,这里,只分析文件写入:

这里我感觉应该有目录遍历漏洞,但时当我看到源码时....


是可以遍历,但是呢设置了白名单,只允许某些后缀文件显示,作用不大。
当我们继续进入,点击编辑模板时,希望又像雨水般向我打来:


直接抓个包看看,是什么东西:


看看源码可以可以改一下路径呢?


那么我们直接把路径改到根目录的index.php下,


可以发现显示了index.php的内容,那么我们尝试改一下内容


写入一个phpinfo试试水,提交抓包一气呵成:


可以看到咋的phpinfo在里面,看看源码接下来怎么操作的:


进入了if判断,直接看 file::put函数:


file_put_contents函数解释:


很好啊,那么我为什么要写在他的文件里呢???那就随便写吧
1.写入原来的php文件内:

访问首页:

2.自己创建文件写入:


直接访问首页下的shell.php

5.任意文件上传:
看到上传图片的地方:

当我们看到后台上传图片的时候,是不是很有想法呢?我也一样,所以我很厚到的上传了一张图片,抓包,改成了php文件,提示:


上传失败.....可恶,怎么办呢?看看源码吧

根据我的经验,绝对对是这里进行了判断拦截,跟进去看一下,
从upload函数放下跟,跟到了:

这个判断了文件后缀
我们看一下config['fix']数组的内容:


继续追踪config['upload_image_pre']:


存在于c/admin/UploadAction.class.php下的set方法,也就是在后台管理界面的

既然知道了后缀的控制,那么我们就增加php后缀(上图的php是我加的...),增加php后缀,我已近增加,
直接上传php:


然后直接访问返回的路径:


okok,结束。

5.后台sql注入,若干....很多很多....
进入如下页面:


认真填写http,其他随便写,提交抓包:


直接跟进相关代码:


跟进check函数,


所以想单引号注入,几乎不可能了,看看执行的sql语句:


提交看看语句:


这叫什么?这就是天无绝人之路,直接保存为txt文件,id=2后面加新号,放入sqlmap。


okok直接注入。
ennn....后台注入特别多,我只说其中一例.....
各位师傅想练习的话可以去试试,真的真的特别多,两只手都数不过来......

结尾:
感谢各位师傅的阅读,文章技术含量不高,而且过程我感觉写的很清楚....各位师傅可以下载源码来看看,特别建议刚学审计的师傅们审计学习这套源码,如果有什么问题请联系我,感谢大家。

点击收藏 | 1 关注 | 3
登录 后跟帖