bluecms v1.6 代码审计

BlueCMS V1.6 代码审计

0x00 前言

之前因为种种原因一直没有开始php的审计（其实就是因为自己懒），现在趁着寒假的时间来搞一波，这个cms是之前先知上看到了，也看到很多人都用这个cms开头所以也来审计一下

0x01 思路

由于本人也是审计小白所以有的地方有误还请多多提出。

由于cms的文件、文件夹都会很多，所以我会事先简单的看一下各个文件夹下的php大致功能，然后我再依次文件看下来，不过一般都是从入口文件开始查看

项目结构如下：

这里主要的代码都在uploads下所以我们直接看uploads下即可

这里参考：https://xz.aliyun.com/t/7992?spm=5176.12901015.0.i12901015.5277525cY8DiJc

├── admin     后台管理目录
├── install   网站的安装目录
├── api       接口文件目录
├── data     系统处理数据相关目录
├── include  用来包含的全局文件
└── template  模板

0x02 漏洞挖掘

在安装过程中查看install文件夹发现配置文件 data/confg.php

在配置文件中发现项目采用的编码格式为 GBK2312 ，看到这个编码后面在看SQL语句过程中就可以多留心一下了，因为可以通过 %df 来进行宽字节注入来绕过php的转义

在对框架以及一些配置文件熟悉了之后就可以开始正式审计了，我这里直接从第一个文件开始看

0x03 ad_js.php

在第二行我们发现该文件引入了/include/common.inc.php文件，我们追踪过去看看。

在开头部分我们可以看到这里定义了三个参数，定义了文件的根目录，上传目录以及数据处理相关目录

下面发现引入了一些功能

这个结构其实就是对所有传入的参数都进行了转义处理，会对传入的 “ 和 ‘ 进行转义处理

所以引入这个文件其实就是引入了一些基本设置，过滤规则等功能

UNION SQL注入漏洞

文件位置 /uploads/ad_js.php

$_GET获取到的数值并没有进行处理，直接拼接到了后面的SQL语句并进行了执行

利用如下：

回显点为7

/php/bluecms/uploads/ad_js.php?ad_id=-1+union+all+select+1,2,3,4,5,6,database()

反射型XSS漏洞

文件位置 /uploads/ad_js.php

由于引入的common.inc.php 文件中，为显示ERROR报错信息，从而导致直接将我们输入的信息进行了输出

error_reporting(E_ERROR);

$ad_id = !empty($_GET['ad_id']) ? trim($_GET['ad_id']) : '';

0x04 comment.php

INSERT SQL注入漏洞

问题出在getip() 函数上

发现获取ip过程中没有对数值进行过滤

所以只要是带有getip() 函数的地方就会存在SQL注入

根据代码进行构造

构造如下payload

888' and if(ascii(substr(database(),1,1)=98),sleep(5),1),'1')#

0x05 guest_book.php

INSERT SQL注入漏洞

同样的这里问题出在onlineip上

$online_ip 其实就是getup() 所以实际上出问题的还是getip()

还是同样的配方hhhh

888' and if(ascii(substr(database(),1,1)=98),sleep(5),1),'1')#

0x06 publish.php

INSERT SQL注入漏洞

原理还是因为getip()没有做好过滤导致

payload如下：

888' and if(ascii(substr(database(),1,1)=98),sleep(5),1) or '1'='1

反射型XSS漏洞

原因和之前一样，因为将错误回显了出来，所以导致可解析payload从而导致xss （不过这里位置是X-Forward-For 所以漏洞危害非常小）

注意要加入引号或其他的使其报错

任意文件删除漏洞

由于id参数没有进行路径限定，同时又直接和项目路径进行了拼接，从而导致任意文件删除

只需构造如下格式即可删除文件

http://192.168.1.9:8888/php/bluecms/uploads/publish.php?act=del_pic&id=q.txt

执行之后q.txt文件便会被删除

0x07 user.php

任意URL跳转（比较鸡肋）

第16行，我们传入的参数可控

然后再进行一次base64解码

最后来到我们的漏洞点，直接传入了我们可以控制的$from

burp抓包将请求包中的from进行修改

释放之后则会跳转到百度

存储XSS漏洞

我们来看到第268行，发现将我们的数值传入到了filter_data中

跟踪 filter_data函数，我们可以发现这里过滤没有做好，我们有很多中方式可以绕过～

直接在文章概要中插入我们的xss payload即可

可以发现存储xss已经写进去了

任意文件删除漏洞

同样是因为传入参数可控导致，这里直接通过post接受lit_pic参数的数值并且进行了一个拼接，如果文件存在则删除

构造如下payload即可

post内容 post_id=1&link_man=aaa&link_phone=13888&link_email=123@123&link_qq=1234&link_address=cccc&lit_pic=./1.txt&title=aaa

任意文件包含漏洞

我们来看到这个代码，发现include中部分路径是我们可以控制的，那么在特定版本下我们可以实现任意文件包含

在php 5.4版本下我们可以截断后面的 /index.php 来实现任意文件包含

只需要如下即可进行截断

pay=..%2F..%2Frobots.txt....................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................................

可以通过上传图片马进行包含从而getshell

宽字节 SQL注入

该文件在头部引入了 common.inc.php 文件

require_once dirname(__FILE__) . '/include/common.inc.php';

前面分析过 common.inc.php 引入会对传入的参数都进行一个转义但是由于编码是gbk所以我们可以通过宽字节注入来实现 %df

在代码的第862行开始利用$_GET获取前端的user_name参数的数值

来看具体功能点，根据源码分析，在判断用户名是否存在的时候会进行两次SQL查询，会通过这个接口进行判断

当我们输入%df’ 的时候会发现报错

利用宽字节来闭合前面的 ‘

payload如下 发现了时延

1%df' and (select 1 from(select case when(ascii(substr(database(),1,1))=98) then sleep(5) else (1) end)x) -- -

因为这里在代码中是会执行两次sql查询语句的所以这里sleep的时间是双倍的

存储型XSS漏洞

136行处起的代码对传入的参数都没有进行严格的过滤

这里选取邮箱来举例，可插入类似 123@123.<svg/onload=alert(1)> 的payload

只需在注册的时候将邮箱改成上述payload即可

INSERT SQL注入

还是一样的问题由于没有对email那块的参数进行过滤导致，可以通过构造进行数据的插入

利用burp进行抓包，修改email ，通过测试发现如果有 123@123.x前端会导致注入失败，所以利用burp绕过前端的邮箱验证

payload如下 ，进行多行的插入

%df',1,1),(88,1223,md5(123456),(select database()),1,1) #

利用账户名 1223 密码 123456 进行登陆，发现database已经注入出来了

0x08 总结

这个毕竟是十年前的cms了 漏洞自然非常多，第一次审cms感觉收获还是比较多的，以前总看着代码很多就退缩了，但是其实耐心看还是能捋清楚的。

ps：其中还存在很多这样的漏洞，其实就是开发者以为转义就万事解决了，但是由于编码设置失败的问题导致可以利用宽字节进行注入，其他还有很多问题，比如注册可使用同一个邮箱导致覆盖万能密码这种等等