KKCMS 1.371 代码审计

大体来说这个 CMS 还是比较安全的，but 部分功能写法完全不统一。写 sql 查询的时候有些用了 PDO，有些直接带入查询

除了编辑器以外的 php 都会引用 system/inc.php 或者 system/library.php

library.php 处理函数和单双引号转义处理
inc.php 引用了system目录里的所有文件

首先是 install/index2.php，写入数据库和生成 install.lock 文件的处理

首先加载了 /system/library.php

可以看到，对所有的请求对单双引号进行了转义

if (!defined('PCFINAL')) {
    exit('Request Error!');
}
if (!get_magic_quotes_gpc()) {
    if (!empty($_GET)) {
        $_GET = addslashes_deep($_GET);
    }
    if (!empty($_POST)) {
        $_POST = addslashes_deep($_POST);
    }
    $_COOKIE = addslashes_deep($_COOKIE);
    $_REQUEST = addslashes_deep($_REQUEST);
}

之后 index2.php 的流程

1.判断了install.lock文件是否存在
2.将数据库配置信息写入到system/data.php
3.往数据库导入sql

由于过滤了特殊符号，这里单引号没法闭合。无法利用

安装完默认后台: admin/123456

templatewapianmovie.php

getPageHtml 函数是用来模板渲染的

看了一下 payload 主要还是 $yourneed 参数，跟踪发现来自 360.php

无任何过滤

payload：m="11111111111"><script>prompt(/xss/)</script><

貌似 payload 并不会因为 addslashes_deep 函数而失效

个人信息修改处，无任何过滤造成存储型 xss

payload: "><script>prompt(/xss/)</script><"

后台处理

留言板和这个差不多一致，省略

虽然使用了 addslashes_deep 函数。导致登录处和代单/双引号的 sql 无法闭合，数据库也不是 GBK，but 还是有一处盲注

在开启了 allow_url_fopen 和 allow_url_include 后会变成 RCE

这套 CMS 靠着一些奇怪的方法来导致原本可利用的漏洞无法利用，例如后台功能大部分可以越权利用。但是另外的函数找不到，导致利用失败

总的来说，这套 CMS 有点水

关注公众号后台回复 0001 领取域渗透思维导图，0002 领取VMware 17永久激活码，0003 获取SGK地址，0004 获取在线ChatGPT地址，0005 获取 Windows10渗透集成环境，0006 获取 CobaltStrike 4.9破解版

加我微信好友，邀请你进交流群

备用号，欢迎关注

原文始发于微信公众号（刨洞安全团队）：KKCMS 1.371 代码审计