ZZCMS8.1|代码审计

2023-08-30 09:17:04

这周的审计任务

ZZCMS8.1是站长招商网内容管理系统。审计这个CMS的原因很多，这里就不详说了（其实是漏洞类型多点）

环境搭建

1，虚拟机win7 32位，用wamserver或者phpstudy搭建环境。

2，ZZCMS8.1源码（已分享链接）放到WWW目录下面

3，安装，访问( http://127.0.0.1/zzcms8.1/install )，如果提示我们安装向导已经安装过，重安装需删除根目录下的 /install/install.lock 文件。删除之后再重新访问该安装页面( http://127.0.0.1/zzcms8.1/install ）。一路选择下一步，直到设置页面，创建数据库......安装完成。

代码审计

审计的时候当然不是漫无目的的直接一个一个看php文件，先拿出来我们的代码审计工具扫一下（上篇文章提到），下面将会通过几个漏洞类型提到

先附图一张工具自动审计的漏洞，不过误报率很高。

XSS漏洞

可以说是最简单的一个漏洞了，先看一下

链接（http://127.0.0.1/zzcms8.1/uploadimg_form.php），问题出在uploadimg_form.php里面输出语句有可控变量，并且没有过滤，从而造成XSS漏洞

value="<?php echo @$_GET['imgid']?>"上图68行可以清楚的看到imgid是没有过滤直接输出的。

因此可以直接构造XSS的payload：http://127.0.0.1/zzcms8.1/uploadimg_form.php?imgid="><script>alert(/orange/)</script><"

这个页面是需要登陆的

登陆验证代码

<?php
if(!isset($_SESSION)){session_start();}
if (!isset($_COOKIE["UserName"]) && !isset($_SESSION["admin"])){
session_write_close();
echo "No Login!";
exit;
}
?>

如果你不想登陆的话，可以注释掉登陆的代码就好。还有其他处存在XSS。这里只写这一处反射型XSS。

存储型XSS漏洞

一般来说存储型XSS漏洞都在留言板什么的地方，没有加以过滤，直接写入数据库中，管理员审核的时候从数据库中提取数据，这里可以构造payload，从而可以进行XSS攻击，有的获取管理员的cookie信息，进而进行下一步攻击。

我们首先黑盒测试一下，打开一个提问问题的页面（http://127.0.0.1/zzcms8.1/ask/askadd.php），提问问题，这个时候就开始写payload然后发布。

payload："><script>alert(/a/)</script>

然后我们管理员权限登进后台，信息模块-->问答信息管理。但是很无奈，我的显示没有权限，不过没关系，我们去数据库直接进行查看，找到zzcms_ask表，查看其中内容，可以看到标题是经过转义的，然而内容却没有经过转义，直接存在了数据库中，因此这里就有可能造成存储型XSS漏洞

现在查看源码分析一下

打开/ask/askadd.php页面

看到198行对数据库中的content内容进行POST接收

$content=str_replace("'","",stripfxg(trim($_POST["content"])));

首先标题title接收到，经过trim函数移除了两侧的字符，trim()函数的意思是移除字符串两侧的空白字符或其他预定义字符，然后就把title接收到了

其次是content，这个进行了一系列的过滤，首先经过trim函数移除了两侧的字符，然后通过stripfxg函数去除反斜杠，追踪自定义stripdxg函数，在/inc/function.php中528行发现

最后再去content参数通过str_replace()函数进行过滤，这个函数把 ' 替换成空，

后面还有一个$img=getimgincontent($content)，getimgincontent()自定义函数这个可以在/inc.function.php中210行找到

正如这个函数名字一样，getimgincontent，从content中得到img文件，getimgincontent()函数通过正则表达式，匹配出gif|.jpg|.png|.bmp文件

不过这里此刻对于content是没什么影响的，最后判断一下title是不是为空，接收到之后进而存入数据库中，

如果看了上面的还不明白为什么会把"><script>alert(/orange/)</script>直接存入数据库，那就好好理解我下面的这段话

首先trim()函数的意思是移除字符串两侧的空白字符或其他预定义字符，然后"><script>alert(/orange/)</script>不存在空白字符或者预定义字符，所以此时$content还是"><script>alert(/orange/)</script>，然后stripfxg()函数去除反斜杠，然而"><script>alert(/orange/)</script>没有反斜杠，所以$content还是"><script>alert(/orange/)</script>，最后str_replace()函数进行单引号替换成空，但是"><script>alert(/orange/)</script>没有单引号，所以经过一系列的"过滤"，content的内容还是"><script>alert(/orange/)</script>，然后就存入数据库中，从而造成存储型XSS漏洞。

/ask/show.php是展示上面提问的问题和答案的，追踪过去show.php搜索content，可以看到是没有进行任何过滤的，因此这里极大可能存在存储型XSS漏洞。

SQL注入漏洞

联合查询注入

漏洞所在文件是/admin/help_manage.php，其中在文件的第17行，

$b=isset($_REQUEST["b"])?$_REQUEST["b"]:'';

这里$_REQUEST了变量b过去，zzcms对全局的post，get,request请求变量都做到了转义，引号介入是不存在的，但是问题就出在$sql，变量$id是$_REQUEST的，并没有经过过滤，这就造成了代码注入了。

由于代码中有输出这个查询后数组显示，我们可以用联合查询来直接获取到管理员的账号密码，密码是md5加密的

构造payload：http://127.0.0.1/zzcms8.1/admin/help_manage.php?b=-1+UNION+ALL+SELECT+1,2,3,4,5,6,(SELECT+CONCAT(IFNULL(CAST(database()+AS+CHAR),0x20),0x203a3a20,IFNULL(CAST(user()+AS+CHAR),0x20))+FROM+zzcms.zzcms_admin+LIMIT+0,1)%E2%80%93

上面首先查询出当前数据库和当前用户名，如下面图所示，数据库是zzcms，用户是root。

这个payload则是直接查看用户账号密码的，账号admin，密码21232f297a57a5a743894a0e4a801fc3(admin)

payload：http://127.0.0.1/zzcms8.1/admin/help_manage.php
?b=-1+UNION+ALL+SELECT+1,2,3,4,5,6,(SELECT+CONCAT(0x757365723a20,IFNULL(CAST(admin+AS+CHAR),0x20),0x20706173733a2020,IFNULL(CAST(pass+AS+CHAR),0x20))+FROM+zzcms.zzcms_admin+LIMIT+0,1)%E2%80%93