某汽车网源码的进一步代码审计

2020-07-02

字数统计: 883字 | 阅读时长≈ 3分

文章首发于圈子社区:https://www.secquan.org/CodeAudit/1071106

前言

前段时间在先知社区看到一篇文章代码审计之某汽车网源码。作者介绍了两个sql注入漏洞，我在学习之余对该套代码进行进一步审计也发现了几个有趣的漏洞。

代码结构

admin    --后台文件夹
cache    --缓存文件夹
include   -- 一些公共包含文件重点审核
index     -- 前台注册登陆
news      -- 新闻模块
index.php   --网站入口
qzqcw.php   --后台入口

越权添加管理员

该漏洞是个几个小漏洞组合而成，待我一一分析。

前台有限制的任意文件包含漏洞

该网站的功能都是直接通过include包含其他php使用的。在入口文件index.php中我们可以看到里面的包含规则：

<?php
include('common.inc.php');
include('index/page.php');

$m = isset($_GET['m']) && trim($_GET['m']) ? trim($_GET['m']) : 'index';

if (!file_exists('index/'.$m.'.php')) exit('error url');

include('index/'.$m.'.php');
?>

获取GET传来的$m参数拼接到文件路径中，如果文件存在就直接包含。当然这里也对$m参数也进行路径穿越的过滤，但是绕过并不是很难。
过滤代码在include/function.func.php22-32行之间，如下

function _filter($value) {
    if (is_array($value)) {
        foreach ($value as $key => $val) {
            $value[$key] = _filter($val);
        } 
        return $value;
    } 
    return str_replace(array('..\\', '../', './', '.\\'), '', trim($value));
}

使用str_replace函数进行关键词过滤是非常不安全的，尤其是这种把关键词替换成空的情况。例如该函数把select关键词替换成空，我们只需改成selselectect即可。当函数把selelct替换成空前后合在一起就又成了我们所需要的select关键词。
这里的绕过同理，我测试的payload为:.../...//....///经过一轮替换后可以变成我们需要的../。
但是因为这里限定后缀只能是php所以在这里这个漏洞还是很鸡肋。