DocCms_2016 代码审计

0x00 结构浏览

　　按照代码审计的惯例，拿到这款cms之后首先浏览了一下目录结构，在基本了解之后，首先进入/index.php，这里包含了两个文件：/admini/config/qd-config.php和/loader/load.php，简单看了一下代码，没什么用，程序入口文件没有太大价值。转到后台/admini目录下，发现还有个/admin/index.php，打开阅读一下源码，没什么用，但是明确了这是一款比较硬核的cms，注释极少，程序可读性不是很高。/admin目录下还有一个/admin/controllers，从命名上就能看出这是一个比较重要的业务逻辑包，打开之后里面还有一个/admin/controllers/index.php，里面只有两个函数，还是没什么用。在这个目录下，还有一个文件夹为system，打开之后居然还有一个/admin/controllers/system/index.php....里面就俩函数，也没有有价值的信息。

0x01 任意文件下载

　　虽然这一大堆index都没有用到，但是也帮助我们了解了这款cms的结构，所以我们直接从后台业务逻辑核心部分，也就是/admini/controllers/system入手，首先读一下bakup.php的源码，这个文件主要作用是管理数据库，里面有一个download函数疑似存在任意文件下载：

 function download()
 {
     global $request;
     if(!empty($request['filename']))
     {
         file_down(ABSPATH.'/temp/data/'.$request['filename']);
     }
     else
     {
          echo '<script>alert("文件名不能为空!");window.history.go(-1);</script>';
     }
 }

　　为了进一步确认可以下载的范围，跟读file_down函数：

 function file_down($file,$filename='')
 {
     if(is_file($file))
     {
         $filename = $filename ? $filename : basename($file);
         $filetype = fileext($filename);
         $filesize = filesize($file);
         header('Cache-control: max-age=31536000');
         header('Expires: '.gmdate('D, d M Y H:i:s', time() + 31536000).' GMT');
         header('Content-Encoding: none');
         //header('Content-Length: '.$filesize);
         header('Content-Disposition: attachment; filename='.$filename);
         header('Content-Type: '.$filetype);
         readfile($file);
     }
     else
     {
         echo '<script>alert("文件不存在!");window.history.go(-1);</script>';
     }
     exit;
 }

　　可以看出这里没有做任何的过滤，构造payload：

http://127.0.0.1/doccms-2016/admini/index.php?m=system&s=bakup&a=download&filename=index.php

0x02 CSRF

　　在这个文件里还有一个export函数：

 function export()
 {
     global $db,$request,$sizelimit,$startrow;
     $tables=$request['tables'];
     $sizelimit=$request['sizelimit'];
     if($request['dosubmit'])
     {
         $fileid = isset($request['fileid']) ? $request['fileid'] : 1;
         if($fileid==1 && $tables)
         {
             if(!isset($tables) || !is_array($tables))
                 echo "<script>alert('请选择要备份的数据表!');window.history.go(0);</script>";
             $random = mt_rand(100000, 999999);
             cache_write('bakup_tables.php', $tables);
         }
         else
         {
             if(!$tables = cache_read('bakup_tables.php'))
                 echo "<script>alert('请选择要备份的数据表!');window.history.go(-1);</script>";
         }
         $sqldump = '';
         $tableid = isset($request['tableid']) ? $request['tableid'] - 1 : 0;
         $startfrom = isset($request['startfrom']) ? intval($request['startfrom']) : 0;
         $tablenumber = count($tables);
         for($i = $tableid; $i < $tablenumber && strlen($sqldump) < $sizelimit * 1024; $i++)
         {
             $sqldump .= sql_dumptable($tables[$i], $startfrom, strlen($sqldump));
             $startfrom = 0;
         }

         if(trim($sqldump))
         {
             $sqldump = "#Realure.cn Created\n# --------------------------------------------------------\n\n\n".$sqldump;
             $tableid = $i;
             $random = isset($request['random']) ? $request['random'] : $random;
             $filename = DB_DBNAME.'_'.date('Ymd').'_'.$random.'_'.$fileid.'.sql';
             $fileid++;

             $bakfile = '../temp/data/'.$filename;
             if(!is_writable('../temp/data/'))
                 message('数据无法备份到服务器!请检查 ./data 目录是否可写。', $forward);
             file_put_contents($bakfile, $sqldump);
             //echo 'wer';
             //exit;
             echo '<script>alert("备份文件'.$filename.'写入成功!");window.location.href="?m=system&s=bakup&a=export&sizelimit='.$sizelimit.'&tableid='.$tableid.'&fileid='.$fileid.'&startfrom='.$startrow.'&random='.$random.'&dosubmit=1";</script>';
         }
         else
         {
            cache_delete('bakup_tables.php');
            echo '<script>alert("数据库备份完毕!");window.location.href="?m=system&s=bakup&a=export";</script>';
             //message('数据库备份完毕!');
         }
         exit;
     }
 }

　　不用看代码，光看输出就能看出来这是备份数据库的函数，但是代码审计总还是要看代码的，这个函数接收了用户提交的两个参数：tables、sizelimit，依据这两个参数导出数据库备份文件，没有验证referer和token，因此会存在CSRF漏洞，诱导管理员备份数据，结合之前的任意文件下载漏洞就可以轻松拿到数据库信息。payload：

http://127.0.0.1/doccms-2016/admini/index.php?m=system&s=bakup&a=export&tables[]=doc_user&sizelimit=2048&dosubmit=开始备份数据

0x03 可执行sql文件的上传

　　这个文件的问题很多，几乎每个函数都可以利用，后面还有一个上传sql文件的函数：

 function uploadsql()
 {
     global $request;
     $uploadfile=basename($_FILES['uploadfile']['name']);
     if($_FILES['userfile']['size']>$request['max_file_size'])
         echo '<script>alert("您上传的文件超出了2M的限制!");window.history.go(-1);</script>';
     if(fileext($uploadfile)!='sql')
         echo '<script>alert("只允许上传sql格式文件!");window.history.go(-1);</script>';
     $savepath = ABSPATH.'/temp/data/'.$uploadfile;
     if(move_uploaded_file($_FILES['uploadfile']['tmp_name'], $savepath))
     {
          echo '<script>alert("数据库SQL脚本文件上传成功!");window.history.go(-1);</script>';
     }
     else
     {
         echo '<script>alert("数据库SQL脚本文件上传失败!");window.history.go(-1);</script>';
     }
 }

　　这里有一个代码逻辑漏洞，在代码的第7行和fileext()函数中希望验证后缀名，只有.sql文件才能上传，但是后面并没有exit，而是弹窗提示只允许上传sql格式文件，程序继续运行，这样我们就可以上传任意文件了，新建一个phpinfo，在数据恢复页面上传。

　　除此之外，这里还有第二种利用方式，有一个数据库导入函数import：

 function import()
 {
     global $db,$request;
     $pre=$request['pre'];
     if($request['dosubmit'])
      {
         if($request['filename'] && fileext($request['filename'])=='sql')
         {
             $filepath = ABSPATH.'/temp/data/'.$filename;
             if(!is_file($filepath))
                   echo '<script>alert("文件不存在!");window.history.go(-1);</script>';
             $sql = file_get_contents($filepath);
             sql_execute($sql);
               echo '<script>alert("'.$filename.'中的数据已经成功导入到数据库!");window.history.go(-1);</script>';
         }
         else
         {
             $fileid = isset($request['fileid']) ? $request['fileid'] : 1;
             $filename = $request['pre'].$fileid.'.sql';
             $filepath = ABSPATH.'/temp/data/'.$filename;
             if(is_file($filepath))
             {
                 $sql = file_get_contents($filepath);//将整个文件读入一个字符串
                 sql_execute($sql);
                 $fileid++;
                 echo '<script>alert("数据文件'.$filename.'导入成功!");window.location.href="?m=system&s=bakup&a=import&pre='.$pre.'&fileid='.$fileid.'&dosubmit=1";</script>';        

             }
             else
             {
                 echo '<script>alert("数据库恢复成功!");window.location.href="?m=system&s=bakup&a=import";</script>';
             }
         }
      }
 }

　　代码的18-28行读取.sql文件并且执行，如果我们自己上传的sql脚本带有一句话木马，在权限足够的情况下可以直接拿shell。

0x04 同目录任意文件删除

　　这个文件搞完了，下一个文件是changeskin.php，里面有一个deleteFile函数:

 function deleteFile(){
     global $request;
     $dirPath = get_abs_skin_root().filter_submitpath( $request['dirPath'] );
     if(is_file($dirPath)){
         @unlink($dirPath);
         exit('1::delete ok');
     }else{
         exit('0::Forbidden');
     }
 }

　　里面调用了两个函数，继续跟读：

 function filter_submitpath($path)
 {
      $path= preg_replace('/[\.]{2,}/', '', $path);//去除 .. 禁止提交访问上级目录的路径
      return preg_replace('/[\/]{2,}/', '/', $path);//校正路径
 }

 function get_abs_skin_root()
 {
     return ABSPATH.'/'.SKINROOT.'/'.STYLENAME.'/';
 }

　　可以看出这里没有进行任何的过滤，可以删除同目录下的所有文件。