前言

在审计某CMS代码时,发现后台存在一处比较有意思的远程代码执行漏洞,这里跟大家分享下

漏洞分析

漏洞触发点位于下图代码段中

见上图803行处,存在一处fwrite方法:

程序会将修改日志$log变量中的值保存到'/integrate_' . $_SESSION['code'] .'_log.php'文件中

接下来看一下$log变量是如何拼接的:

$log变量是由如下一个或多个变量控制:$del_list、$rename_list以及$ignore_list

当这个三个变量存在时,则将其值拼接到$log变量中

这里着重看一下$ignore_list变量,分析代码可以发现,$ignore_list变量由下述代码中赋值得来

由上图代码可见$ignore_list变量由数据库中users表user_name数据组成。其实$ignore_list就是users表中flag等于4的所有user_name字段组成的列表

见上图,当请求中act参数值为sync时,并且当users表中存在flag=4的行时,触发此处$ignore_list赋值操作,将users表中flag等于4的所有行的user_name字段值插入$ignore_list列表

当$ignore_list列表非空时,触发同样在此if分支(请求中act参数值为sync的这个分支)中的漏洞点

上图红框处,$ignorelist列表中的用户名被取出,用来拼接$log变量,随后$log变量被写入'/integrate'. $_SESSION['code'] . '_log.php'文件中

程序并未对会员用户名进行严格过滤,导致可以写入含有payload的用户名,例如

当我们将含有恶意payload用户名的用户flag设置为4时,通过访问

http://127.0.0.1/admin/integrate.php?act=sync

即可将含有payload用户名写入'/integrate_' . $_SESSION['code'] . '_log.php'文件中

接下来分析下被插入payload文件的位置与名字

可见上图,这个文件位置很好定位,位于ROOT_PATH . DATA_DIR路径,即为data文件夹中。

关于文件名,中间存在一个$_SESSION['code']变量,此处变量是可以设置的,但是如果我们不进行特殊设置的化,这个变量默认是空,因此我们并不需要额外的设置这个变量,默认让它为空就可以了,这样以来被插入后门的文件就变成

data/integrate__log.php

接下来分析下,如何使users中我们构造的恶意用户flag为4

默认情况下,会员用户flag为0,当会员整合功能被使用时,其他应用商城的会员被整合合并到这个cms时,当存在一些问题需要忽略这个用户时,flag才会被设置为4

如果使用这种方法,则需要攻击者自行搭建一个此cms允许合并数据的商城程序,在这个商城程序中构造一个会员,当使用会员合并功能时,使之出现问题,从而使得被合并的会员flag为4

利用会员整合功能修改flag值是一种途径,然而有一种更简便的方法。此cms程序后台存在可以管理数据库的功能,我们可以通过这个功能直接把用户名为”<?php phpinfo(); /*”的这条数据中flag字段设置为”4”,见下图

这样一来,当访问

http://127.0.0.1/admin/integrate.php?act=sync

时,该数据将会被取出,含有payload的用户名将会被写入日志文件中

文件被访问时,payload执行

点击收藏 | 1 关注 | 1
  • 动动手指,沙发就是你的了!
登录 后跟帖