Quantcast
Channel: CodeSection,代码区,网络安全 - CodeSec
Viewing all articles
Browse latest Browse all 12749

代码审计之YOUKE365

0
0

本文由红日安全成员: licong 编写,如有不当,还望斧正。

前言

优客365网站分类导航系统是个跨平台的开源软件,基于php+mysql开发构建的开源网站分类目录管理系统,具有操作简单、功能强大、稳定性好、扩展性及安全性强、二次开发及后期维护方便,可以帮您迅速、轻松地构建起一个强大、专业的分类目录或网址导航网站。

目录结构

│ .htaccess

│ AdminYouke365.php 后台管理页面

│ config.php 全局配置文件

│ index.php 网站主页

├─app 应用目录

├─data 应用运行时目录

├─install 应用安装目录

├─mobile 手机模块

├─public WEB资源目录

├─theme 应用皮肤资源目录

├─themes 应用皮肤资源目录

├─uploads 文件上传存放目录

├─vendor 第三方类库目录

代码执行流程分析

对程序目录结构确定以后,便于我们更好的定位代码,接下来看一下代码的执行流程,在index.php代码26行下断点,点击搜索,程序成功断下,F7跟进:


代码审计之YOUKE365
代码审计之YOUKE365

进入到\core\start.php文件中,在代码85行出现 $_module 和 $_controller 变量,跟进一下Router类的init方法,用传入的 $config 变量中的值对类中变量进行了初始化,该值不可控。无法利用。


代码审计之YOUKE365

接下来调用了Router类的url方法,未跟进函数执行, $param 返回值如下:


代码审计之YOUKE365
代码审计之YOUKE365
代码审计之YOUKE365

通过$param变量中的值发现,该方法将url中的参数进行了处理,数组$param中module,controller不为空,则赋值到 $_module , $_controller 变量中,然后定义成了常量 __MODULE__ , __CONTROLLER__ ,在程序217行,进行字符串拼接并包含该文件。继续跟踪被包含文件:


代码审计之YOUKE365

得到文件路径: app\home\controller\search.php

url: http://127.0.0.1/home/search.html?mod=search&type=name&query=sdfd

对比一下两个地址,猜测,第一个/后的位置代表了app文件夹中的子目录,第二个/后地址代表所要请求的php文件,将html更换成php。mod参数在该文件没有体现。由此我们确定了程序如何传参,在我们找到漏洞存在页面以后,便知道如果构造相应的参数才能到达该页面。

代码审计 SQL注入 漏洞分析

app\home\controller\feedback.php


代码审计之YOUKE365

猜测I函数对用户输入进行处理,跟进一下:


代码审计之YOUKE365

函数参数$filters未设置的情况,默认使用htmlspecialchars函数对传入参数进行了处理。接下来我们看一下W3Cschool对该函数的说明:


代码审计之YOUKE365

以下是PHP手册中对预定义字符的说明:


代码审计之YOUKE365

对该函数的详细说明可参考PHP手册:

http://php.net/manual/zh/function.htmlspecialchars.php

I函数在调用htmlspecialchars函数对传入参数进行处理时,并未设置flags参数,单引号未进行编码,猜想可能存在SQL注入。


代码审计之YOUKE365

在代码32行,判断 $fb_nick 是否为空, $fb_email 进行了邮箱验证,可跟进一下验证部分,看看是否存在绕过,代码44行,判断 $fb_content 是否为空然后进行长度判断,不能小于20字符,然后将数据进行了insert操作,猜测存在sql注入漏洞。

漏洞验证
代码审计之YOUKE365

在传入参数位置下断点,跟进$Db->insert方法:


代码审计之YOUKE365

从执行的sql语句观察到单引号未过滤,证明SQL注入存在。

漏洞利用:

该cms屏蔽了报错信息,且插入的内容需要管理员才能查看,利用有限,大佬们有啥思路可交流一下。

数据库执行语句如下:

INSERT INTO yk365_feedback ( fb_nick , fb_email , fb_content , fb_date ) VALUES ('123','123@qq.com','1231231231223123123123123123122222222222222222222222222222222222222222222222222222','1534056939')

如未屏蔽数据库报错信息,可采用以下payload进行报错注入:

fb_nick = 123','123','123' or extractvalue(1,concat(0x7e,database()))) #

在数据库执行语句后,可报错得到数据内容。

INSERT INTO yk365_feedback (fb_nick,fb_email,fb_content,fb_date) VALUES ('123','123','123' or extractvalue(1,concat(0x7e,database())))#,'123@qq.com','1231231231223123123123123123122222222222222222222222222222222222222222222222222222','1534056939')


代码审计之YOUKE365
SQL注入2 漏洞分析

\member\controller\article.php


代码审计之YOUKE365

感觉他少打了一个post,$art_content使用addslashes函数过滤,cate_id参数转换为int,无法利用,可利用参数 $art_title , $copy_from , $copy_url ,继续往下跟踪代码:


代码审计之YOUKE365

代码105行,对 $art_title 进行了过滤,跟进censor_words函数:


代码审计之YOUKE365

先判断 $keywords 和 $content 是否为空,如果为空,直接返回true,不为空,则将 $keywords 中的内容以','作为分割符,存储到变量$wordarr中,然后在$content中进行正则匹配,如果存在关键字中的内容,则返回false。发现keywords部分内容与安全过滤无关,所以 $art_title 变量也可以利用。继续往下跟代码:


代码审计之YOUKE365

这 $copy_from , $copy_url 没任何处理,然后直接进行了insert操作,猜测存在SQL注入漏洞,该测试需要注册账号。

漏洞验证

在会员中心进行文章添加时,一直报错,动态调试发现在代码96行,对$cate_id进行了判断,采用burp抓包发现,该参数为出现在请求参数中,于是在burp中添加了该参数。然后发送请求。


代码审计之YOUKE365
代码审计之YOUKE365

在标题字段输入 art_title=121' or sleep(5)# 后页面 延迟返回,证明SQL注入存在。下面insert也存在注入,不测试了。

漏洞利用
代码审计之YOUKE365

将burp抓包内容放入txt文档,执行 sqlmap.py -r 6.txt --dbms=mysql

SQL注入3 漏洞分析

/member/controller/login.php


代码审计之YOUKE365
代码审计之YOUKE365

$nick_name 转义无法利用, $pass , $open_id 可利用,接下来,通过用户名查询到密码,并与输入密码的MD5值进行比较。由此 $pass 变量我们也无法利用。继续往下:


代码审计之YOUKE365

程序一直未对 $open_id 变量进行处理,直接传入到了update函数,猜测存在SQL注入漏洞。

漏洞验证

使用burp抓包并手动加上open_id参数,进入update函数,发现执行的SQL语句中,单引号未过滤,证明SQL注入存在。


代码审计之YOUKE365
代码审计之YOUKE365
漏洞利用 $strSql = "UPDATE `$table` SET $strSql WHERE $where";

$strSql = login_time ='1534054455', login_ip ='2130706433', login_count ='11', open_id ='123''


代码审计之YOUKE365

在yk365_users表 user_type 字段中,标识了该用户的身份,如果能够更改该值,则可获取到管理员权限。

于是尝试构造 open_id = 123',user_type='admin'# , user_type字段更改成功,并能通过该账户进入管理员后台。


代码审计之YOUKE365
代码审计之YOUKE365
结语

在seebug上看到该cms 1.0.7版本存在SQL注入,抱着玩的心态下载了最新版。如果该CMS全局默认使用addslashes函数进行转义,就没SQL注入了。开发人员对htmlspecialchars函数的使用不正确,导致了众多SQL注入点出现,还有可以利用的地方。感兴趣的可以下载玩玩。审计新手,有问题大家多交流。后面还有一篇getshell,中间踩了很多坑,想单独写一篇。


Viewing all articles
Browse latest Browse all 12749

Latest Images

Trending Articles





Latest Images