zzcms的再一次审计

前言

首发奇安信攻防社区https://forum.butian.net/share/640

在看了社区https://forum.butian.net/share/460师傅的文章后找师傅要到源码然后在次对zzcms发起了审计

审计开始

首先打开页面

第一处sql

来到ask/search.php 页面这里定义了一个$fp 引入了一个模板然后通过$f用fopen函数用只读的方式打开ask_search.htm

然后通过fread函数来读取
fread() 函数读取文件（可安全用于二进制文件）。

然后期间经过了一些str_replace函数的过滤在232行调用的showlabel函数
我们跟进这个函数

通过foreach函数遍历channels数组经过测试最后都会进入到if里面

在if函数中又调用了fixed函数我们继续跟进

Fixed函数通过switch 根据传进来的channels值分别调用函数通过前面知道channels数组的第一个的ad 所以会进入ad 调用 showed函数继续跟进showad

Showad函数会将传进去的内容先用explode函数进行分割如果匹配不到分割的参数则会返回整个$cs 是一个数组
所以后面$b就有值了 $s就为空
继续看后面

这里发现sql语句肯定想到的是sql注入所以我们要想办法让代码进入这里面执行 sql语句在else里面我们看看if

If里面的条件都是通过&& 拼接所以我们只需要让一个不为true 就进入else
继续看发现里面有一个filesize($fp)>10的判断然后我们往上看$fp
$Fp是通过一系列的拼接其中就有$b 最后拼接成htm
这个$b从前面可知是我们可以控制的所以最后拼接出来的htm只要不存在 if的条件就不成立就进入了else 执行sql

后面调用了query函数我们跟进query函数

是没有任何防护的（这里说错了其实是有sql注入防护的因为这里的数据是通过文件读取的所以过滤函数没有起作用后面会有介绍）
Sql测试

来到后台添加一个模板ask_search.htm
内容
然后保存然后访问 ask/search.php

延时成功
我在测试这里的时候当时遇到了一个小问题开始一直不能延时后来才发现是zzcms_ad
这个表的原因

Zzcms_ad 这个表不能为空空的话就无法延时

第二处代码执行：

在install/index.php的114行

用fopen函数写入的方式打开了文件
用fputs函数写入文件
fputs() 函数写入文件（可安全用于二进制文件）

然后在step_2.php 以及 345文件中都没有发现判断是否又install.lock这个文件

在install/index.php页面又是通过$step来包含这些页面的然后我们看看这个$step是怎么传入的

自己通过post的方式传入也没有任何防护所以我们可以直接通过post的方式构造step=2 直接来到安装步骤的第二步
测试
现进入install/index.php页面

然后打开hackbar

这里有个疑惑不知道为什么抓包改请求方式的办法一直用不起页面一直显示空白

一直下一步来到这里

通过这里可以知道创建数据库这一步的这些数据会写入到另一个文件config.php

并且写入的时候没有什么过滤说明写入的参数是可控的在这里可以直接尝试写入一句话
在端口的位置输入3306’);eval($_POST[‘a’]);(‘

然后下一步

然后查看config.php

成功写入

可getshell

第三处越权

来到tag.php页面

现查出所有的表然后和 cookie中的tablename的值进行比对
str_is_inarr跟进这个函数

然后通过in_arr函数进行比对
in_array() 函数搜索数组中是否存在指定的值。
通过前面可知$tablenames 后面拼接了# 所以能够进入到if被然后被explode函数拆分然后进入if 返回yes

返回yes之后就会执行下面的代码然后根据dowhat 的值执行switch
前面两个看参数就知道一个是增加一个是修改我们看第三个函数showtag()
跟进函数

上面根据action参数获取判断是px 或者是del
通过代码分析px 没有没什么可利用的下面的del 有可控制的点

我们可以控制tablename和id 来控制删除数据
相当于这里就是通过cookie里面传的表以及post传的id值进行查询表的数据和id进行匹配匹配到了就直接删除没有其他的限制
测试

现在后台添加一个普通管理员ttt和一个超级管理员asd

然后登录普通管理员

然后访问tag.php 进行抓包

改包之后进行放包

asd超级管理员成功被ttt普通管理员删除

同理也可以删除其他表的数据只要表明和id能匹配上

第四处sql

来到bad.php页面

下面有sql语句
在in 后面的 $id 没有引号保护可能被利用

先来到bad.php页面在数据库随便添加的数据
然后分析代码

通过post传入id 然后action=del 进入到sql执行里面如果id后面有逗号则执行if
有则else 看看下面

执行sql的函数我们跟进这个函数

这个函数在conn.php里面而conn.php还包含了其他文件

注意到stopsqlin.php 打开这个文件看看

这个文件主要是过滤的
addslashes() 函数返回在预定义字符之前添加反斜杠的字符串。
htmlspecialchars() 函数把预定义的字符转换为 HTML 实体。
相当于这里单引号双引号都过滤了
但是有个地方没有引号保护直接尝试payload：

点击删除然后抓包

构造payload：id[]=1,1)+or sleep(5)#&del=%E5%88%A0%E9%99%A4%E9%80%89%E4%B8%AD%E7%9A%84%E4%BF%A1%E6%81%AF&pagename=showbad.php%3Fpage%3D&tablename=zzcms_bad