[代码审计]Catfish CMS v4.5.7后台作者权限越权两枚+存储型XSS一枚#

###0x00 前言：
------------
>首先本地搭建环境，我所使用的是Windows PHPstudy集成环境。使用起来非常方便。特别是审计的时候。可以任意切换PHP版本。

###0x01 CMS简介：
------------
>开源免费的PHP内容管理系统，不需要高深专业技术轻松搭建网站，使用简单　灵活方便　稳定快捷，风格切换　想换就换　适应不同需求。

###0x03 正文：
------------
    漏洞所在处：/application/admin/controller/Index.php
    漏洞所在行：即为以下代码的内容
    两个越权以及XSS都在同一个方法内。所以直接贴上整个方法的代码（下文说的行数为本文章所贴代码的行数，并非实际cms漏洞文件的行数）
```php
<?php
    public function rewrite()
    {
        $this->checkUser();
        $this->checkPermissions(6);
        if(Request::instance()->has('postId','post'))
        {
            //验证输入内容
            $rule = [
                'biaoti' => 'require',
                'neirong' => 'require'
            ];
            $msg = [
                'biaoti.require' => Lang::get('The title must be filled in'),
                'neirong.require' => Lang::get('Article content must be filled out')
            ];
            $data = [
                'biaoti' => Request::instance()->post('biaoti'),
                'neirong' => Request::instance()->post('neirong')
            ];
            $validate = new Validate($rule, $msg);
            if(!$validate->check($data))
            {
                $this->error($validate->getError());//验证错误输出
                return false;
            }
            $neirong = str_replace('<img','<img class="img-responsive"',Request::instance()->post('neirong'));
            $guanjianci = str_replace('，',',',Request::instance()->post('guanjianci'));
            $data = ['post_keywords' => htmlspecialchars($guanjianci), 'post_source' => htmlspecialchars(Request::instance()->post('laiyuan')), 'post_content' => $neirong, 'post_title' => htmlspecialchars(Request::instance()->post('biaoti')), 'post_excerpt' => htmlspecialchars(Request::instance()->post('zhaiyao')), 'comment_status' => Request::instance()->post('pinglun'), 'post_modified' => date("Y-m-d H:i:s"), 'post_type' => Request::instance()->post('xingshi'), 'thumbnail' => Request::instance()->post('suolvetu'), 'istop' => Request::instance()->post('zhiding'), 'recommended' => Request::instance()->post('tuijian')];
            Db::name('posts')
                ->where('id', Request::instance()->post('postId'))
                ->update($data);

Db::name('term_relationships')->where('object_id',Request::instance()->post('postId'))->delete();
            // var_dump(Db::name('term_relationships')->getLastsql());exit;
            if(isset($_POST['fenlei']) && is_array($_POST['fenlei']))
            {
                $data = [];
                foreach($_POST['fenlei'] as $key => $val)
                {
                    $data[] = ['object_id' => Request::instance()->post('postId'), 'term_id' => $val];
                }
                Db::name('term_relationships')->insertAll($data);
            }
            Hook::add('rewrite_post',$this->plugins);
            $params = [
                'id' => Request::instance()->post('postId')
            ];
            Hook::listen('rewrite_post',$params,$this->ccc);
            Hook::add('rewrite_post_later',$this->plugins);
            Hook::listen('rewrite_post_later',$params,$this->ccc);
        }
        $classify = Db::name('term_relationships')->field('term_id')->where('object_id',Request::instance()->get('art'))->select();
        $fenlei =$this->getfenlei();
        foreach($fenlei as $key => $val){
            $fenlei[$key]['classify'] = 0;
            foreach($classify as $cval){
                if($val['id'] == $cval['term_id']){
                    $fenlei[$key]['classify'] = 1;
                    break;
                }
            }
        }
        $wzid = 0;
        if(Request::instance()->has('postId','post'))
        {
            $wzid = Request::instance()->post('postId');
        }
        elseif(Request::instance()->has('art','get'))
        {
            $wzid = Request::instance()->get('art');
        }
        $data = Db::name('posts')->where('id',$wzid)->select();
        $data[0]['post_content'] = str_replace('<img class="img-responsive"','<img',$data[0]['post_content']);
        $this->assign('data', $data[0]);
        $this->writeAlias($wzid);
        $this->switchEditor();
        $this->assign('backstageMenu', 'neirong');
        $this->assign('option', 'articles');
        $this->assign('fenlei', $fenlei);
        return $this->view();
    }
```
我大概讲一下这两个越权所在的地方。
第一处：在点击编辑文章的时候将文章内容查询出来并且遍历在页面中。
第二处：点击提交保存时候将修改的文章内容保存。
首先我们先来看第一处。我们先看代码的第六行（很明显的可以看出来是使用`THINKPHP5`开发的）。
这里是先判断是否存在`postId`请求参数并且请求类型为`POST`。就是说如果是以`POST`方式将`postId`传了过来的话就进入真区间。
看上述代码得知7-52行是进行的编辑修改操作。由于我们这里先说第一处。第一处的请求是为`GET`。所以我们需要继续往下走。从第53行开始处理的是正常`get`请求的一些操作。
从69行开始看。如果是`get`方式并且`art`值存在的话。那么`$wzid`则被赋值为`get`传过来的`art`值。接下来走到73行。我们可以清楚的看到。该行代码的`where`条件仅是`id`等于`$wzid`值即可查询。并没有进行所属用户的权限判断。上面得知我们`$wzid`的值是可控的。所以我们只要修改`art`值即可获取其他用户的文章内容。
以下面为例，test002有一篇文章`id`为6。
![1.png](http://www.bugsafe.cn/usr/uploads/2017/12/3469627437.png)
 直接将`art=4`改成`art=6`
 ![2.png](http://www.bugsafe.cn/usr/uploads/2017/12/2612551516.png)
来查看一下所执行的`SQL语句`。
![3.png](http://www.bugsafe.cn/usr/uploads/2017/12/4018690662.png)

这样就可以非常明显的看出来了。并没有判断该文章所属用户。

接下来，我们看第二处。第二处跟第一处原理差不多。所以我也就不多讲了。直接定位到30行代码。
```php
    Db::name('posts')->where('id', Request::instance()->post('postId'))->update($data);
```
继续瞄准`where`条件。条件直接就是`id`等于传过来的`postId`值。在我们修改的时候。直接抓包。将`post`包里面的`postId`修改成任意一篇文章的`id`。即可越权修改。
![4.png](http://www.bugsafe.cn/usr/uploads/2017/12/3299120558.png)
直接改成我们刚才的那篇文章`id`为6
![5.png](http://www.bugsafe.cn/usr/uploads/2017/12/730461415.png)
修改成功。

存储型XSS：
我们看到29行。即为以下代码：
```php
$data = ['post_keywords' => htmlspecialchars($guanjianci), 'post_source' => htmlspecialchars(Request::instance()->post('laiyuan')), 'post_content' => $neirong, 'post_title' => htmlspecialchars(Request::instance()->post('biaoti')), 'post_excerpt' => htmlspecialchars(Request::instance()->post('zhaiyao')), 'comment_status' => Request::instance()->post('pinglun'), 'post_modified' => date("Y-m-d H:i:s"), 'post_type' => Request::instance()->post('xingshi'), 'thumbnail' => Request::instance()->post('suolvetu'), 'istop' => Request::instance()->post('zhiding'), 'recommended' => Request::instance()->post('tuijian')];
```
我们可以看到在这里的。能够给用户看到的参数    该过滤的已经过滤了。正常情况下呢。是不会存在`xss`了。但是呢。开发者可能忽略了一个地方。就是：`'thumbnail' => Request::instance()->post('suolvetu')`。这里呢。是获取的图片缩略图内容。如果上传了图片则有值。否则就为空。但是呢。由于前面并没有对该值做限制。所以呢这里我们是可以任意的构造`POST`参数的。首先我们先定位到`POST`这个方法来看看。
```php
<?php
    /**
     * 设置获取获取POST参数
     * @access public
     * @param string        $name 变量名
     * @param mixed         $default 默认值
     * @param string|array  $filter 过滤方法
     * @return mixed
     */
    public function post($name = '', $default = null, $filter = null)
    {
        if (empty($this->post)) {
            $this->post = $_POST;
        }
        if (is_array($name)) {
            $this->param       = [];
            return $this->post = array_merge($this->post, $name);
        }
        return $this->input($this->post, $name, $default, $filter);
    }
```
对应这个方法。如果单单传一个参数进来。那么将不会进行过滤的。我们可以看到。`$filter`默认是等于`null`的，如果`$filter`不传的话则为`null`，所以我们这里可以直接插入`xss`代码。只要在`post`参数插入：`&suolvetu="/><script>alert('xss')</script>` 即可
![6.png](http://www.bugsafe.cn/usr/uploads/2017/12/4210186839.png)
 我们使用管理员进入后台。看看是否触发。
 ![7.png](http://www.bugsafe.cn/usr/uploads/2017/12/2405087148.png)
成功触发鸟。
![8.png](http://www.bugsafe.cn/usr/uploads/2017/12/1263758978.png)
前台也是弹弹弹的！

在同个文件下。还有一个`write`方法。其实就是添加文章的方法。也同样存在未过滤的问题。

**PS：本着交流分享，如果有好的方法或者思路以及上文讲述不正确的地方欢迎指出（在写文章的时候太过于匆忙。如有什么语句不通的话望指出）,谢谢！**

Poacher's Blog

信息安全梦开始的地方,一个菜鸡#

[代码审计]Catfish CMS v4.5.7后台作者权限越权两枚+存储型XSS一枚#

添加新评论

最新文章