【代码审计】MIPCMS 远程写入配置文件Getshell

    MIPCMS - 基于百度MIP移动加速器SEO优化后的网站系统。在审计代码中，发现一个可以远程写入配置文件Getshell的漏洞，感觉挺有意思的，分享一下思路。

MIPCMS官网：https://www.mipcms.cn

网站源码版本：MIPCMS内容管理系统 V3.1.0（发布时间：2018-01-01）

程序源码下载：http://www.mipcms.cn/mipcms-3.1.0.zip

默认后台地址： http://127.0.0.1/admin

默认账号密码： 账号密码自设

1、漏洞文件位置：/app/install/controller/Install.php 第13-23行：

1.  public function index()  

2.  {  

3.       

4.      if (is_file(PUBLIC_PATH . 'install' . DS .'install.lock')) {  

5.          header('Location: ' . url('@/'));  

6.          exit();  

7.      }  

8.      if (!defined('__ROOT__')) {  

9.          $_root = rtrim(dirname(rtrim($_SERVER['SCRIPT_NAME'], '/')), '/');  

10.         define('__ROOT__', (('/' == $_root || '\' == $_root) ? '' : $_root));  

11.     }  

在index函数中，检测是否存在install.lock文件，判断网站是否已经安装，检测是在index函数中，非初始化函数中，故在接下来的安装过程中，如果没有继续检测lock文件，那么就存在一个绕过的情况，进行CMS重装。我们继续往下看，同文件下的函数，第118-142行：

1.  public function installPost(Request $request) {  

2.                 header('Access-Control-Allow-Origin: *');  

3.                 header('Access-Control-Allow-Credentials: true');  

4.                 header('Access-Control-Allow-Methods: GET, PUT, POST, DELETE, OPTIONS');  

5.                 header('Access-Control-Allow-Headers: Content-Type, Content-Range,access-token, secret-key,access-key,uid,sid,terminal,X-File-Name,Content-Disposition, Content-Description');  

6.             if (Request::instance()->isPost()) {  

7.                 $dbconfig['type']="mysql";  

8.                 $dbconfig['hostname']=input('post.dbhost');  

9.                 $dbconfig['username']=input('post.dbuser');  

10.                $dbconfig['password']=input('post.dbpw');  

11.                $dbconfig['hostport']=input('post.dbport');  

12.                $dbname=strtolower(input('post.dbname'));  

13.                  

14.                $username = input('post.username');  

15.                $password = input('post.password');  

16.                $rpassword = input('post.rpassword');  

17.                if (!$username) {  

18.                    return jsonError('请输入用户名');  

19.                }  

20.                if (!$password) {  

21.                    return jsonError('请输入密码');  

22.                }  

23.                if (!$rpassword) {  

24.                    return jsonError('请输入重复密码');  

25.                }  

    我们可以直接跳转到这一步，绕过index函数中install.lock的检测。可以看到，这段installPost函数中获取了多个参数，并没有检测lock文件，继续往下看：

1.  $dsn = "mysql:dbname={$dbname};host={$dbconfig['hostname']};port={$dbconfig['hostport']};charset=utf8";  

2.  try {  

3.      $db = new PDO($dsn, $dbconfig['username'], $dbconfig['password']);  

4.  } catch (PDOException $e) {  

5.      return jsonError('错误代码:'.$e->getMessage());  

6.  }  

7.  $dbconfig['database'] = $dbname;  

8.  $dbconfig['prefix']=trim(input('dbprefix'));  

9.  $tablepre = input("dbprefix");  

10. $sql = file_get_contents(PUBLIC_PATH.'package'.DS.'mipcms_v_3_1_0.sql');  

11. $sql = str_replace("r", "n", $sql);  

12. $sql = explode(";n", $sql);  

13. $default_tablepre = "mip_";  

14. $sql = str_replace(" `{$default_tablepre}", " `{$tablepre}", $sql);  

15. foreach ($sql as $item) {  

16.     $item = trim($item);  

17.     if(empty($item)) continue;  

18.     preg_match('/CREATE TABLE `([^ ]*)`/', $item, $matches);  

19.     if($matches) {  

20.         if(false !== $db->exec($item)){  

21.   

22.         } else {  

23.            return jsonError('安装失败');  

24.         }  

25.     } else {  

26.         $db->exec($item);  

27.     }  

28. }  

这段函数对获取的参数进行检测，Mysql数据库连接失败会报错退出，接着进行导入数据库操作。继续往下看，第172-192行：

1.  if(is_array($dbconfig)){  

2.      $conf = file_get_contents(PUBLIC_PATH.'package'.DS.'database.php');  

3.      foreach ($dbconfig as $key => $value) {  

4.          $conf = str_replace("#{$key}#", $value, $conf);  

5.      }  

6.      $install = CONF_PATH;  

7.      if(!is_writable($install)){  

8.          return jsonError('路径：'.$install.'没有写入权限');  

9.      }  

10.     try {  

11.         $fileStatus = is_file(CONF_PATH. '/database.php');  

12.         if ($fileStatus) {  

13.              unlink(CONF_PATH. '/database.php');  

14.         }  

15.         file_put_contents(CONF_PATH. '/database.php', $conf);  

16.         return jsonSuccess('配置文件写入成功',1);  

17.     } catch (Exception $e) {  

18.         return jsonError('database.php文件写入失败，请检查system/config 文件夹是否可写入');  

19.     }  

在installPost函数的最后，将参数写入到配置文件database.php中，而且并未对参数进行任何过滤或转义，攻击者可以构造脚本代码写入配置文件。

综上，首先程序流程不严谨，可以绕过install.lock检测进入installPost函数中，可直接进行CMS重装，或者通过构造参数将脚本代码写入配置文件，进一步去触发脚本代码，控制网站服务器，程序在实现上存在远程代码执行漏洞，危害极大。