熊海cms代码审计

alexsel

2021 年 03 月 22 日

571 次浏览

暂无评论

2680字数

网络安全编程

熊海CMS代码审计

熊海CMS安装

首先我们解压熊海CMS到www目录下，接着在phpstudy里进行创建网站指定根目录为我们解压的位置，接着我们创建相应的数据库，命令为xhcms，接着访问xhcms.com/install开始安装

1658230651585

填写基本信息之后即可安装成功

1658230711137

代码审计

cms安装完毕之后我们就开始进行代码审计，首先我们还是使用seay进行基本的代码审计

文件包含

我们首先对第一个漏洞进行测试，该漏洞代码如下，可以明显的看到，从前端接收到文件名之后没有进行过滤就进行了文件包含，而且文件后缀直接就是PHP，帮我们省了不少事

1658231219622

我们直接就构造payload进行测试，为了测试需要，我们在网站根目录下创建一个代码为<?php phpinfo();?>的php文件，接着在前端进行漏洞利用。

1658231351640

COOKIE欺骗

首先我们先熟悉一下基本的后台登录验证流程，这里我们在phpstorm里下断点进行调试

1658232123164

接着我们在后台登录界面随便输入一个账号密码进行登录测试，在index.php过了之后，就进入到了login.php文件内，这个文件就是我们登录验证的部分，在最开始还引用了一个conn.php的文件，这个文件时走了数据库连接的流程

1658232658038

接着判断了登录字段的值是否为空，如果不为空就进行数据库查询，接着根据数据查询的结果返回相应内容。

这里我们可以判断出登录的地方存在注入漏洞，这里我们简单测试一下登录框的报错注入，使用如下payload为用户名登录可以爆出当前数据库，其中and '1'='1是为了闭合后一个单引号，点击登录后即可得到如下结果

admin' and updatexml(1,concat(0x7e,(select database()),0x7e),1) and '1'='1

1658233781230

注入部分先告一段落，我们继续看登录流程，这次我们直接访问后台的index页面http://xhcms.com/admin/?r=index，看其是如何验证的，首先这里我们在admin\index.php位置断下，接着我们f7，最终进入到了files/index.php界面，这里我们可以看到引入了checklogin.php这个文件，我们跟进入看一下

1658234256685

进入checklogin.php文件，代码如下，经过我们分析可以知道，这里判断了cookie中是否存在user字段，如果user字段等于空，就跳转到登录界面

1658234334491

这里我们访问后台的index界面的时候，给自己随便添加一个cookie，然后访问?r=index直接就进入后台

1658237045781

这次我们再次进行下断调试，在cookie判断位置没有再跳转到登录界面

1658237353816

接着就直接进入了后台界面，没有再进行任何判断

1658237404740

XSS漏洞

一般情况下，存储型xss漏洞常发生在评论的地方，我们在审计xss的时候，就首先在评论处进行测试，首先我们输入数据并抓包

1658238004038

根据请求包的数据和我们之前审计的经验可以知道，r=submit这个参数代会调用submit.php这个文件行处理，所以我们在phpstorm中找到对应文件，还有一个type=comment，根据这个字段我们确定具体代码位置

1658238247231

经过我们的简单分析，这里插入的大部分数据都没有过滤，仅仅做了是否为空或是否包含中文的判断，不过评论的数据进行了如下过滤

addslashes() 函数返回在预定义的字符前添加反斜杠的字符串。
预定义字符是：
单引号（'）
双引号（"）
反斜杠（\）
NULL

strip_tags(string,allow) 函数剥去字符串中的 HTML、XML 以及 PHP 的标签。
注释：该函数始终会剥离 HTML 注释。这点无法通过 allow 参数改变。

1658238744686