首页
学习
活动
专区
工具
TVP
发布

2018,我要Axublog

0x00 背景

0x01 前台SQL注入

源码版本:Axublog axublog v1.0.6

漏洞位置:hit.php

漏洞链接:http://www.cnvd.org.cn/flaw/show/CNVD-2017-35761

下载源码并进行安装,根据CNVD上的描述,存在漏洞的文件是ad/theme.php,打开目标文件进行审计,经过审计发现改文件还存在其他多个漏洞,本篇先不做分析。

1. 根据CNVD上的描述,在hit.php文件中发现如下代码块,使用GET接收参数id的值并且直接传入到SQL语句进行拼接操作,且没有进行任何安全处理,所以存在SQL注入漏洞,在文件的第20行中将SQL语句的执行结果打印出来,因此是有回显的SQL注入。

2. 此处是前台的页面,因此可以在前台直接访问该页面,进行SQL注入获取数据库中的敏感信息,首先需要满足if条件语句的要求,使用GET请求g参数的值为arthit,id参数的值不为空,进行如下请求后使用mysql监控工具,监测执行的SQL语句,确保传入的参数已经执行。

3. 执行如下请求发现被拦截了,然后在文件的第4-5行发现sqlguolv方法。

4. 跟入该方法在axublog1.0.6\class\c_other.php文件的第545-548行中发现了该方法的代码块。

5. 该代码块使用$_SERVER['QUERY_STRING']获取查询语句,一般是问号后面的字符串,但是使用$_SERVER['QUERY_STRING']并不会对传入的字符进行一次URL解码操作,但是$_GET是会进行一次URL解码的,并且传入id值使用的是$_GET的方式接收,过滤的时候使用$_SERVER['QUERY_STRING']进行接收和处理,所以可以使用url编码绕过检测。

获取管理员用户名。

获取管理员用户密码:

6. 在分析的时候发现axublog1.0.6\ad\login.php的第88行中密码使用了authcode方法进行加密。

7. 跟入authcode方法,在axublog1.0.6\class\c_md5.php文件的第16-62行中发现了该方法的代码块,将该加解密的方法抓取出来,然后结合axublog1.0.6\ad\login.php的第88行,可以知道加解密的字符串写成固定的值key,使用如下的方式获取从数据库中得到的管理员密码明文,然后便可以登录后台。

0x02 任意文件上传漏洞

源码版本:Axublog axublog v1.0.6

漏洞位置:ad/theme.php

漏洞链接:http://www.cnvd.org.cn/flaw/show/CNVD-2017-36013

1. 在ad/theme.php文件中的第185-205行中发现edit2save方法中的如下代码块,是进行文件的报存操作,将REQUEST请求的的path参数和content参数分别作为作为报存的路径和内容传入file_put_contents中进行保存操作。

2. 追溯寻找edit2save方法被调用的位置,在文件ad/theme.php中的第10-25行中发现如下代码,当GET传入的g参数的值为edit2save时候便会调用edit2save方法。

3. 但是由于该文件需要登录到后台访问,所以有一定的限制,但是与前台SQL注入漏洞利用便可以使用管理员账号登录,进行如下请求可以对该漏洞进行验证;使用GET传入g=edit2save,使用POST传入path=./evil_shell.php&content=

然后再访问http://127.0.0.1/code/axublog1.0.6/ad/evil_shell.php,便可以访问到上传的恶意文件。

0x03 总结

本篇涉及Axublog的3个主要问题:1.前台SQL过滤可以被绕过,2. 加密的key默认是固定的,3. 后台存在任意文件上传,因此利用这3个问题便可以前台GetShell,最后感谢师傅们的指导,期待和师傅们的各种交流。

  • 发表于:
  • 原文链接http://kuaibao.qq.com/s/20180105G0NK2K00?refer=cp_1026
  • 腾讯「腾讯云开发者社区」是腾讯内容开放平台帐号(企鹅号)传播渠道之一,根据《腾讯内容开放平台服务协议》转载发布内容。
  • 如有侵权,请联系 cloudcommunity@tencent.com 删除。

扫码

添加站长 进交流群

领取专属 10元无门槛券

私享最新 技术干货

扫码加入开发者社群
领券