ESPCMS-Seay自动加手工代码审计

ESPcms代码审计

源码下载地址:http://yesky.91speed.org.cn/sw/180001_190000/rar/espcms_utf8_5.4.12.05.14.rar

1.自动审计

打开审计目录，点击自动审计，找到一条SQL注入的漏洞提示，进行验证分析

​

2.手工验证

双击进来，在选中该变量后，在下方可以看到该变量的传递过程，并且点击下方的变量传递过程也可以直接跳转到该项代码处，可以非常直观地帮助我们看清整个变量在该文件的传递过程。另外我们可以看到Sparentid变量是在如下代码段获得的：

$parentid = $this->fun->accept('parentid', 'R');

​

2.1定位函数

右键选中，定位到accept函数

跳转到class_function()函数

​

可以看到这是一个获取GET、POST、COOKIE参数值的函数

我们传入的k=parentid，var=R，表示以POST和GET方式都可以获取parentid参数

最后经过daddslashes函数对单引号进行过滤

原始语句为$sql = "select * from $db_table where parentid=$parentid";

并不需要单引号来闭合，于是可以直接注入。

2.2搜索分析

再回来看。

我们发现这里有注入之后，可以看到该函数在important这个类里面

​

发现在首页index.pnp里面存在实例化

​

看到一个include文件的操作，但是经过addslashes()函数单引号过滤，故无法截断使其包含任意文件。

只能包含本地的PHP文件。

​

2.3分析思路

但实际我们想

通过创建一个对象，随着oncitylist函数调用，传递一个parentid变量

​

在传递的$action与'on'拼接，组合成新的$action,所以我们传入的$action=citylist,这里我们令$archive也为citylist即可。

​

之后可以看到城市列表，存在注入。

2.4验证注入

进一步构造payload

这里需要先登陆到后台，再修改URL构造

​

不过我们的目的是传递parentid参数

因为我们访问成功之后实际上已经调用了important类里面的oncitylist方法，不过因为我们没有主动传递parentid的值，所以其默认为1而已。

http://127.0.0.1/espcms/adminsoft/index.php?archive=citylist&action=citylist&parentid=2

返回结果为：北京

接着手工注入。

http://127.0.0.1/espcms/adminsoft/index.php?archive=citylist&action=citylist&parentid=2 union select 1,2,user(),4,5

​

到此确定了这里存在SQL注入漏洞。

​