[代码审计]云ec电商系统代码审计

0x00 前言

看了一下博客内最新的文章，竟然是3月28号的，一个多月没写文章了，博客都长草了。

主要是临近毕业，事情繁多，也没有啥时间和心情静下来写。。

不过现在的话，毕业的东西告一段落了，几乎没啥事了，总算能静下来好好学习。

发了篇文章在t00ls，不过是精简版的，有些地方没有细讲。之前也有伙伴留言说，文章放到t00ls，有些没账号的朋友看不到。这里我搬运一下。

0x01 基础环境
审计版本为V1.2
最后更新时间:2018-04-20
用到的工具:vscode，phpstudy

0x02 前台注入漏洞分析
漏洞其实很简单，就是我们常见的获取ip没过滤的问题的，但这里需要点条件。
看到inc\funciton\functions_admin.php getip()函数

function getip(){
       static $ip = null;
       if($ip)
         return $ip; // 不需要计算第二次.
       $ip=false;
       if($_SERVER['HTTP_VIA']){ //使用了代理
           if(!empty($_SERVER["HTTP_CLIENT_IP"])){ //设置client_ip头
                $ip = $_SERVER["HTTP_CLIENT_IP"];
           }else if (!empty($_SERVER['HTTP_X_FORWARDED_FOR'])){
                $ips = explode (", ", $_SERVER['HTTP_X_FORWARDED_FOR']);
                if ($ip){
                    array_unshift($ips, $ip); $ip = '';
                }
                $ipss = count($ips);
                for ($i = 0; $i < $ipss; $i++){
                     if (!preg_match('/^(10|172\.16|192\.168)\./', $ips[$i])){
                               $ip = $ips[$i];
                               break;
                     }
                }
           }
       }else{
            $ip = $_SERVER['REMOTE_ADDR'];
       }

       # 更兼容的获取.
        if(!$ip)//if $ip为false
        if(!$ip = getenv("REMOTE_ADDR"))
        if (!$ip = getenv("HTTP_CLIENT_IP"))
        if(!$ip = getenv("HTTP_X_FORWARDED_FOR"))
            $ip = '';
       return $ip;
}

看到几个判断语句，先是判断是否使用了代理访问，如果没有使用直接用$_SERVER['REMOTE_ADDR']来获取ip，这个我们是没办法控制的。
如果使用了代理访问的话，进到判断$_SERVER['HTTP_CLIENT_IP']是否为空，不为空，直接设置$ip=$_SERVER['HTTP_CLIENT_IP']，而这个头我们是可以通过Client-Ip进行控制。
因为这里是SERVER变量，绕过了对GPC的过滤，看到过滤文件inc\function\global.php

$getfilter="\\b(and|or)\\b.+?(>|<|=|in|like)|\\/\\*.+?\\*\\/|<\\s*script\\b|\\bEXEC\\b|UNION.+?SELECT|UPDATE.+?SET|INSERT\\s+INTO.+?VALUES|(SELECT|DELETE).+?FROM|(CREATE|ALTER|DROP|TRUNCATE)\\s+(TABLE|DATABASE)";
$postfilter="\\b(and|or)\\b.{1,6}?(=|>|<|\\bin\\b|\\blike\\b)|\\/\\*.+?\\*\\/|<\\s*script\\b|\\bEXEC\\b|UNION.+?SELECT|UPDATE.+?SET|INSERT\\s+INTO.+?VALUES|(SELECT|DELETE).+?FROM|(CREATE|ALTER|DROP|TRUNCATE)\\s+(TABLE|DATABASE)";
$cookiefilter="\\b(and|or)\\b.{1,6}?(=|>|<|\\bin\\b|\\blike\\b)|\\/\\*.+?\\*\\/|<\\s*script\\b|\\bEXEC\\b|UNION.+?SELECT|UPDATE.+?SET|INSERT\\s+INTO.+?VALUES|(SELECT|DELETE).+?FROM|(CREATE|ALTER|DROP|TRUNCATE)\\s+(TABLE|DATABASE)";

function StopAttack($StrFiltKey,$StrFiltValue,$ArrFiltReq){
        if(is_array($StrFiltValue))
        {
                $StrFiltValue=implode($StrFiltValue);
        }
        if (preg_match("/".$ArrFiltReq."/is",urldecode($StrFiltValue))){
                        print "网址有误~";
                        exit();
        }
}  

foreach($_GET as $key=>$value){
        StopAttack($key,$value,$getfilter);
}
if ($_GET["p"]!=='admin'){
        foreach($_POST as $key=>$value){
                StopAttack($key,$value,$postfilter);
        }
}

foreach($_COOKIE as $key=>$value){
        StopAttack($key,$value,$cookiefilter);
}
unset($_GET['_SESSION']);
unset($_POST['_SESSION']);
unset($_COOKIE['_SESSION']);

全局寻找getip()使用的位置。

找到了一处比较好利用的一个点，看到文件inc\module\user.php

elseif ($act == 'add_comment_reply')
        {
                $content = isset($content) ? trim($content) : '';
                $cid = isset($cid) ? intval($cid) : '';
                /*if(intval($gid)==0)
                {
                        $res['err'] = '获取商品号失败';
                        die(json_encode_yec($res));
                }*/
                if(intval($pid)==0)
                {
                        $res['err'] = '回复的对象错误';
                        die(json_encode_yec($res));
                }
                if(!isset($content) || $content == '')
                {
                        $res['err'] = '请输入回复内容';
                        die(json_encode_yec($res));
                }
                elseif(mb_strlen($content,'utf-8')>120) {
                        $res['err'] = '字数请控制在120个以内';
                        die(json_encode_yec($res));
                }
                if($ym_uid==0) //需要登录
                {
                        $ym_uid =check_login(1);
                        if($ym_uid==0)
                        {
                                $res['url'] = 'login.html';
                                die(json_encode_yec($res));
                        }
                }
                dbc();
                if(check_comment_reply($ym_uid, getip())==false)
                {
                        $res['err'] = '您评论的有点频繁了，请休息一小时再来吧~';
                        die(json_encode_yec($res));
                }
                $reply_id = get_comment_uid(intval($pid), intval($ptype));
                $id = add_comment_reply($cid,$ym_uid, $reply_id, intval($pid), intval($ptype), role_user, $content);
                $res['res'] = $id;
        }

这里是用户评论的逻辑代码，看到最后一个if判断中，使用到了getip()函数，跟进check_comment_reply函数，inc\lib\user.php

function check_comment_reply($uid, $ip='')
{
        global $db;
        $where ='';
        $row_uid = $db->query("select count(*) count from ".$db->table('comment_reply')." where addtime>=".strtotime(date('Y-m-d H:i:s',strtotime("-1 hour")))." and uid=".$uid);
        $row_ip = $db->query("select count(*) count from ".$db->table('comment_reply')." where addtime>=".strtotime(date('Y-m-d H:i:s',strtotime("-1 hour")))." and ip='".$ip."'");

        if( (!$row_uid || count($row_uid)==0 || intval($row_uid['count']) < 10) && (!$row_ip || count($row_ip)==0 || intval($row_ip['count']) < 10))
        {
                return true;
        }

        return false;
}

没有过滤带进去了，那么就可以注入了。getip()有很多地方用到，但是仅限于使用query，查询的。insert,update方法都在底层做了过滤，不展开讲。而且这个站默认是开启报错的，可以直接利用报错获取数据。
那么整理一下漏洞利用条件：
1，需要开启会员注册，因为注册要发送验证码，很多商城可能已经废了。
2，需要代理访问。
妈的，不知道谁改了demo站演示账号的密码，找了个站演示：

文字表达一下利用：
请求URL:/user.html?act=add_comment_reply&content=1&cid=1&pid=1
header:Client-Ip:注入payload
获取管理账号

获取密码，分两段获取，最后一个字符获取不出来。

最后的密码为：f9c8c87e0a1f9d085b1008010fbd7781
这个系统密码的加密方式是这样的：

//加密字符串
function encryptStr($val, $salt='')
{
        return md5(md5(trim($val)).$salt);
}

加了盐，我们需要把盐也注出来：

之后就是拉去解一下md5，md5解不出也没有关系。
因为这个系统底层用的是pdo，支持多语句执行。
那么可以直接插入一个管理员，或者修改已有管理员的密码，搞完之后修改回来就好了。这里以修改管理员密码为例：

进入后台

0x03 后台任意文件包含

后台有一个任意文件包含，上传图片马，访问URL

http://example.com/admin.html?do=express_track&oauth_code=1&sp_file=图片马路径

这里主要是因为sp_file没有定义，系统存在全局变量注册，可直接定义变量，看到inc\admin_inc\page\express_track.php

<?php
if (!defined('in_mx')) {exit('Access Denied');}

checkAuth($login_id, 'system');//权限检测 

//$sp_file = plugin."oauth/".$code.'/'.$code.'.php';
$path = plugin."express/";
$dirs =get_dir($path); 

if($oauth_code)
{
    if(file_exists($sp_file)==false){message("获取不到文件 ".$code.'.php');}
    require($sp_file);//任意文件包含
    $row = $db->fetch('express_track', '*',  array('code' => $code));
}

$row = $db->fetchall('express_track', '*'); 

 //die("a".$p);

?>

$sp_file未定义，无过滤，直接require，造成了文件包含。这个利用前台的头像+后台的csrf可以直接getshell。

这个系统还有一个session固定的漏洞，结合组合拳直接进后台。

还有之前和Adog师傅聊，他说有xss，我也没找，这里就不细说了。

上面的两个利用无须xss，只有一个img标签的请求即可。利用原理参考我的这篇文章（[代码审计]yxcms从伪xss到getshell，https://www.cnblogs.com/r00tuser/p/8419300.html)

img请求+csrf+get请求任意文件包含=getshell

img请求+csrf+get请求session固定=进后台

0x04 总结

这个系统还有很多问题，不一一细讲，抛砖引玉。