对 Dbshop 的一次代码审计过程

本文作者：W（信安之路新成员：投稿文章首次入选发布即为信安之路新成员）

官网地址：

http://dbshop.net/

审计版本：v1.3 20190215(目前 dbshop 的最新版本)

从官网介绍得知，dbshop 是一个基于 ZendFramework 2 开发的。很是蛋疼，这个框架，没用过，草草的找了 本文档边看边审计:

https://www.kancloud.cn/thinkphp/zendframework2-quickstart/35940

系统分析

目录分析

路由分析

可以看到，这个 cms 应该是用了自定义路由，其路由文件在模板目录下的 config 文件

其路由规则为：

http://localhost/list

访问 Shopfront/ 下的 Goodslist 里面的 index

http://localhost/list/ajaxGoodsGroupPrice/

访问 Shopfront/ 下的 Goodslist 里面的 ajaxGoodsGroupPrice

系统初步情况

前台能访问的目录有 Shopfront 、Mobile

其他都是导入了 admin 相关类库，要登入后台才能访问，而我觉得后台注入就有点鸡肋了。暂时先放一放。

先看看 shopfront，作为审计菜鸡，我的审计方法就是一个一个方法去看。比如，寻找 sql 注入，找哪个地方可控参数，拼接 sql，再追踪函数，看看能不能构造 exp。

ZendFramework2 中的常见获取方法有 getQuery 和 getPost

所以全局搜索 $this->request->getPost 和 $this->request->getQuery 看看哪处可控，

我只关注前台，所以我只是关注 Shopfront 和 Mobile 这两个下的

很多都是用 int 处理，没有 int，则是一些步骤，不进入数据库处理，继续往下看吧

呼，终于找到一处。

漏洞分析

在下面文件中的 ajaxGoodsGroupPrice 函数如图：

Shopfront\src\Shopfront\Controller\GoodslistController.php

这里，可以知道 goodsIdStr 是通过 post 传入，userGroupId 则是获取用户登入信息，不过没什么关系，只是普通会员，而不是管理员登入。随便注册一个就好了。判断完之后，则将 where 拼接，传入到 listGoodsUsergroupPrice，跟进到 listGoodsUsergroupPrice：

这里我用了 xedbug+phpstorm 来一步一步跟进，而且为了分析方便，我把 getPost 改成了 getQuery，同时也删掉了用户信息判断

在这里下个断点，单步进行 where:

调用了 addPredicates，继续下一步，看看 addPredicates

这里可以看到，判断传入的 predicates，如果是数组，则遍历出来。如果数组的值为字符串，就用预处理来处理 sql，否则直接传入:

这里我们思路缕一缕。这处注入，问题大概就是产生这里了，传入了数组，但是数组键值没赋值，PHP 则会默认赋值为 0 ，我们来看一看代码

array($where)

键值为 0，is_string(0) 则为 false:

所以思路回到 addPredicates，这里就绕过了预处理。

让我们来再次验证一下思路是否正确。因为原代码写的是 array($where) , 键值是 0，is_string 判断为 false，所以跳过预处理。所以我修改代码，变成这样子

尝试一下 输入 1', 访问:

http://127.0.0.1/safe/DBShop_1.3_Release_20190215/DBShop/list/ajaxGoodsGroupPrice?goodsIdStr=1'

已经执行到了预处理模式

看看数据库最后得到的语句是

大致思路是正确的，那么现在来构造 poc。

这里需要注意，这处是需要会员登入的，注册一个普通的用户登入就可以了。

Post:

{"goodsIdStr":"1)and updatexml(1,concat(0x5e,version()),1)-- -"}

可以看到数据库已经执行了我们的代码，但是网站没有返回我们需要的东西，我觉得应该是用了指定的错误页面，只能采用盲注了

再来 post：让它不执行报错

{"goodsIdStr":"1)and (select case when (substring((select version()) from 1 for 1)=6) then (exp(800)) else 0 end)-- -"}

显示正常，没有报错。再让它执行报错

post：

{"goodsIdStr":"1)and (select case when (substring((select version()) from 1 for 1)=5) then (exp(800)) else 0 end)-- -"}

所以可以根据这个写个 poc，来进行注入

Poc：

漏洞验证

官网地址:

http://demo.dbshop.net/home

密码：1984113052

账户：1984113052

感想

这是我的第三次代码审计，本想着全局代码都看一次，从底层看起，但是实在有些代码生涩难懂，加上没有开发经验，只能抱着本入门文档猜测想法。从这个漏洞，起因是开发者为了用自己的拼接 sql，放弃了使用预处理模式来处理 sql，而恰好没有做过滤处理而导致的。