今天放假闲着无事就找了个cms来挖挖漏洞，挖到的漏洞比较简单，适合新手入门，所以本篇文章就记录一下这几个漏洞的审计过程，以及如何从新手的角度去挖到cms一些常见的漏洞，如果是大佬就可以绕道了
本文涉及相关实验：任意文件下载漏洞的代码审计 （通过本节的学习，了解文件下载漏洞的原理，通过代码审计掌握文件下载漏洞产生的原因以及修复方法。）
xdebug，这里我个人用的是vscode编辑器，当然你用phpstorm也是可以的，配置过程如下vscode的应用商店下载php debug插件php.ini添加[XDebug]
xdebug.profiler_output_dir ="D:phpStudyPHPTutorialtmpxdebug"
xdebug.trace_output_dir ="D:phpStudyPHPTutorialtmpxdebug"
zend_extension="D:phpStudyPHPTutorialphpphp-7.1.13-ntsextphp_xdebug.dll"
xdebug.remote_enable = on
xdebug.remote_autostart = on
settings.json{
"php.validate.executablePath": "D:/phpStudy/PHPTutorial/php/php-7.1.13-nts/php.exe",
"editor.mouseWheelZoom": true,
"php.executablePath": "D:/phpStudy/PHPTutorial/php/php-7.1.13-nts/php.exe",
"workbench.editorAssociations": [
{
"viewType": "jupyter.notebook.ipynb",
"filenamePattern": "*.ipynb"
}
],
"explorer.confirmDelete": false
}
launch.json添加{
"version": "0.2.0",
"configurations": [
{
"name": "Listen for Xdebug",
"type": "php",
"request": "launch",
"port": 9000
},
]
}
1.php打个断点，然后访问http://127.0.0.1/1.php，如果出现如下，就说明xdebug环境就成功搭建了
rce的高危漏洞，而想要rce最常见的就是文件上传cms，进入后台之后在发布文章处找到有可以上传图片的地方
1.php，发现提示上传图片发生错误，应该是被过滤了
1.jpg，抓包改一下
getshell
wx_share_cover.php，这个文件的名字是固定的，于是我们访问试试看getshell
php文件上传的函数是move_uploaded_file()，或者一般来说上传的方法名是有upload关键字的，我们可以全局搜索他们定位到上传功能的代码里面
validate的check就是这里的过滤，我们用上面的方法绕过即可，如果想清楚的跟踪进这个函数就可以在这里打个断点，然后分析rce漏洞，我们还可以找找file_put_content等可以直接写文件的函数unlink函数
$directory是我们可控的，而且没用做任何的过滤，说不定就可以穿越目录从而任意删除文件了，我们先手动加一个var_dump(scandir("."));来观察一下这里所处的位置
public的目录下，那我们就在上一层目录随便新建一个目录，里面随便新建几个文件试试看
http://www.test123.com/system/dir/del?directory=../123
txt文件都被删除了，但是文件夹没有被删除
412315里面的文件就可以输入http://www.test123.com/system/dir/del?directory=../123/412315
123目录了http://www.test123.com/system/dir/delDir?directory=../123
cms又是thinkphp6.0的版本，我们可以再找一下有没有可以触发phar函数的漏洞is_dir函数吗，而且又是可以控制的，真是踏破铁鞋无觅处得来全不费功夫
test.jpg，然后利用上面的任意文件删除漏洞上传，上传到这个位置{"code":1,"msg":"上传成功","url":["http://www.test123.com/uploads/postImages/20210404\3c5ea1104433e1cb734be47ab8377a11.jpg"]}
phar协议去触发这个文件即可rcehttp://www.test123.com/system/dir/del?directory=phar://uploads/postImages/20210404/3c5ea1104433e1cb734be47ab8377a11.jpg
is_dir，我们可以再找找还有没有其他地方能够触发的，随手一找又发现两处
is_dir函数，没算上其他的就已经那么多了，这个 cms 真是"漏洞百出"本文作者：合天网安实验室
本文为安全脉搏专栏作者发布，转载请注明：https://www.secpulse.com/archives/159180.html
必填 您当前尚未登录。 登录？ 注册
必填（保密）