某IP广播系统代码审计

2022-05-10

字数统计: 915字 | 阅读时长≈ 3分

对某IP广播系统的一次代码审计

0x00 审计前的准备

以下相关漏洞已全部提交cnvd

熟悉目录整体架构
php目录为代码的功能实现
主要审计php目录

0x01 文件上传getshell

uplaod/mt_parser.php 漏洞关键位置代码

无任何过滤直接构造poc上传即可

<html>
<head>
<meta charset="utf-8">
<meta name="viewport" content="width=device-width, initial-scale=1">
<title></title>
</head>
<body>
<form action="http://127.0.0.1/upload/my_parser.php" enctype="multipart/form-data" method="post">
<input class="input_file" type="file" name="upload"/>
<input class="button" type="submit" name="submit" value="upload"/>
</form>
</body>
</html>

漏洞证明截图

0x02 查看文件

开始审计php目录下的文件
发现均包含了conversion.php

进行查看具体实现的功能
共写了八个方法，一个个看一下

1、function arrayRecursive(&$array, $function, $apply_to_keys_also = false)

大体实现了
第一个参数传array 第二个参数传function 分别对array的value进行function操作。
如果apply_to_keys_also为true还可以对传入的array进行改变key值

2、function JSON($array, $want_url_encode = true)

大体实现了
对传入的数组进行json_encode 然后urldecode操作（这里可能实现了中文字符的传入）

3、function UdpSendJson($array, $msgType)

大体实现了
一个传送JSON数据的功能

4、function UdpSend($msg)

大体实现了
对8888端口下的AppWebService的命令操作具体干什么可能要看硬件设备了。

5、function UdpSendAndRecvJson($array, $msgType)

大体实现了
接收和发送JSON数据

6、function UdpSendAndRecv($msg)

大体实现了
发送和接收数据，对本地的8888端口发送一个POST请求这里和function UdpSend()实现了一样的操作，只不过多加了一个Linux下的操作

7、function phplog($data)

大体实现了
写日志的功能

8、function get_real_ip()

大体实现了
通过Client_ip头获取了ip
接下来看php目录下文件实现的具体功能

0x03 任意文件上传

php/addmediadata.php 漏洞关键位置代码

满足$subpath、$fullpath可以自定义目录，然后进行了一系列的检查如文件大小等
最后进入if条件中move_upload_file函数进行文件上传
构造poc

Pasted image 20220504155204.png
访问./upload/1/5.php成功访问

Pasted image 20220504155243.png
addmediadatapath.php存在相同问题
收获两枚通杀漏洞
php/addscenedata.php 漏洞关键位置代码

不多说了自己看
构造poc

Pasted image 20220504160756.png
访问./images/scene/5.php

Pasted image 20220504160941.png

0x04 任意文件写入

$postData = $_POST['jsondata']; 需要满足这个参数
看一下传参方式

Pasted image 20220504164650.png

然后满足$caller，$callee、$imagename、$imagecontent这三个参数不为空

Pasted image 20220504164718.png

满足$imagename用_分割后等于三个

Pasted image 20220504164841.png

$callee参与了目录拼接这里跨目录上传 (需要知道根目录才能解析成功)

Pasted image 20220504164952.png

只传入一串base64加密的内容
进入else条件

Pasted image 20220504165102.png
Pasted image 20220504165046.png
构造POC

Pasted image 20220504165137.png
成功上传

Pasted image 20220504165151.png

0x05 任意文件读取

php/exportrecord.php 漏洞关键位置代码

获取了参数downname 需要下载的文件进行了urldecode 不用管左思右想想了半天也也不知道为什么要在37行加个basename
直接在41行执行了fread操作

Pasted image 20220504172319.png

类似操作还有 exprottts.php

Pasted image 20220504173126.png

0x06 总结

此套代码几乎无过滤，这也是硬件设备的一个通病，很多厂商都以为不会"黑客"拿到源码。
还有很多漏洞都是无过滤的此处不一一写出来了

本文作者： 花北城
本文来源： 奇安信攻防社区
原文链接： https://forum.butian.net/share/1537
版权声明： 除特别声明外，本文各项权利归原文作者和发表平台所有。转载请注明出处！

缺失模块。
1、请确保node版本大于6.2
2、在博客根目录（注意不是yilia-plus根目录）执行以下命令：
npm i hexo-generator-json-content --save

3、在根目录_config.yml里添加配置：

  jsonContent:
    meta: false
    pages: false
    posts:
      title: true
      date: true
      path: true
      text: false
      raw: false
      content: false
      slug: false
      updated: false
      comments: false
      link: false
      permalink: false
      excerpt: false
      categories: false
      tags: true

俗话说“好记性不如烂笔头”，各个安全社区各自为战，当我们想要搜索某一方面的文章的时候总是得在各个平台之间来回横跳，于是乎，一个平台文章聚合搜索的想法诞生了。
然后正好我想有一个自己的博客，于是乎两者融合在了一起。
下面简单介绍各个导航的区别：
个人文章：本人的笔记、复现、总结等或者本人参与的共同创作。
收集文章：手工从公众号收集保存的文章，更新频率看本人喜好所以比较慢。
聚合文章：从各大平台收集整理，由工具实现，每天更新。
很惭愧，只做了一点微小的工作。