ofCMS代码审计

alyssa

来先看看主要的目录结构吧(粗略)。

[color=rgba(0, 0, 0, 0.9)]

核心代码去瞧瞧，我的思路一般都是看看能够登入的地方（下面是我直接找到的后台管理登入系统）。
全局搜索一下。

这算漏洞吗？

[color=rgba(0, 0, 0, 0.9)]

进入看了一下，但是没什么用，不能强行爆破。有限制账号登入次数。但是这里有个可以探测的，就是管理员的账号，账号的对错分别的得到提示不一样。算个小小的漏洞？

[color=rgba(0, 0, 0, 0.9)]

路径遍历

既然这里是登入后台，那就进入这一片的代码瞧瞧。看先一些有趣的东西。

[color=rgba(0, 0, 0, 0.9)]

这些参数去具体位置看看。
去看看对应代码。然后在这里（com/ofsoft/cms/admin/controller/cms/TemplateController.java）找到了相关漏洞。
先获取一些参数。

[color=rgba(0, 0, 0, 0.9)]

这里是关键点！

[color=rgba(0, 0, 0, 0.9)]

这里跟进File 和getSiteTemplateResourcePath()

[color=rgba(0, 0, 0, 0.9)]

[color=rgba(0, 0, 0, 0.9)]

直接拼接网站路径和获取的dir值，没有任何过滤。主要没有过滤掉 ..就可以在网页里使用../../
往下看，这里这就直接读取出文件了。

[color=rgba(0, 0, 0, 0.9)]

可以构造参数访问。http://localhost:8080/ofcms-admin/admin/cms/template/getTemplates.html?file_name=web.xml&dir=../../&dir_name=（这里dir_name取不值都不影响）

[color=rgba(0, 0, 0, 0.9)]

任意文件上传

还是上面的位置！同样的方法，点了下save，抓包看看参数。

[color=rgba(0, 0, 0, 0.9)]

同样去看看参数。还是在这里(com/ofsoft/cms/admin/controller/cms/TemplateController.java)。

[color=rgba(0, 0, 0, 0.9)]

http://localhost:8080/ofcms-admin/admin/cms/template/save.json?dirs=./&res_path=&file_name=1.txt&file_content=1231afdsfsdfs

[color=rgba(0, 0, 0, 0.9)]

可以任意上传文件。这里会有请求后缀名处理。请看下面
（com/ofsoft/cms/core/handler/ActionHandler）

[color=rgba(0, 0, 0, 0.9)]

上面清晰表明了，如果是static下的文件就不会做处理。而如果不是，则会。

[color=rgba(0, 0, 0, 0.9)]

则会将suffix中的值全部制空。而suffix的值为：

private String[] suffix = { ".html", ".jsp", ".json" };
SQL注入

漏洞出现点在这里(com/ofsoft/cms/admin/controller/system/SystemGenerateController.java)

[color=rgba(0, 0, 0, 0.9)]

一直更进update

[color=rgba(0, 0, 0, 0.9)]

这里就getConnection连接数据库了。继续跟进update();

[color=rgba(0, 0, 0, 0.9)]

没有任何过滤就返回了输入的sql。

[color=rgba(0, 0, 0, 0.9)]

[color=rgba(0, 0, 0, 0.9)]来源：https://xz.aliyun.com/ 感谢【4Varial14 】