精准定位文件包含漏洞：代码审计中的实战思维
前言最近看到由有分析梦想 CMS 的，然后也去搭建了一个环境看了一看，发现了一个文件包含漏洞的点，很有意思，下面是详细的复现和分析，以后代码审计又多了一中挖掘文件包含漏洞的新思路。
环境搭建
下载https://gitee.com/iteachyou/dreamer_cms
然后各种配置都可以看到
JDK：Jdk8IDE：Spring Tool Suite 4（STS）或 IntelliJ IDEA
DB：Mysql 5.7，Windows配置安装Mysql5.7，请参考：
https://www.iteachyou.cc/article/a1db138b4a89402ab50f3499edeb30c2
Redis：3.2+，Windows配置安装Redis教程，请参考：
https://www.iteachyou.cc/article/4b0a638f65fa4fb1b9644cf461dba602
修改一下配置文件中的 resource-path 和 mysql 的连接
漏洞寻找过程
https://www.yijinglab.com/guide-img/d9634e2f-3b66-42e7-8279-c0877cdd70e5/1b5f9f04-8a04-4cf0-a4f1-d4ce1e4a735e.png
进入后台后发现可以编辑模板文件
然后这时候我们就需要注意常见的可以触发漏洞的点了
首先就是 xss
加入我们的 xss 代码
https://www.yijinglab.com/guide-img/d9634e2f-3b66-42e7-8279-c0877cdd70e5/d03afb3b-7b3e-4d4a-bf7b-788b4a949ea5.png
然后访问首页
成功 xss，当然我们真实使用的话可以利用我们的 xss 平台
这里推荐与一个
https://xssaq.com/
https://www.yijinglab.com/guide-img/d9634e2f-3b66-42e7-8279-c0877cdd70e5/e2e2a350-d513-49b3-96fe-ba98319d884f.png
点击配置代码后会有很多 payload，随便复制一个
这里我们简单弹个 cookie
https://www.yijinglab.com/guide-img/d9634e2f-3b66-42e7-8279-c0877cdd70e5/1026dc5d-5fd3-44e7-a7cc-68aa35923f99.png
https://www.yijinglab.com/guide-img/d9634e2f-3b66-42e7-8279-c0877cdd70e5/529b26a7-e824-4939-914f-4b0747a7471a.png
xss 的话还是国外使用比较多
当然这样并不能达到我们 getshell 的目的
【----帮助网安学习，以下所有学习资料免费领！加vx：YJ-2021-1，备注 “博客园” 获取！】
① 网安学习成长路径思维导图
② 60+网安经典常用工具包
③ 100+SRC漏洞分析报告
④ 150+网安攻防实战技术电子书
⑤ 最权威CISSP 认证考试指南+题库
⑥ 超1800页CTF实战技巧手册
⑦ 最新网安大厂面试题合集（含答案）
⑧ APP客户端安全检测指南（安卓+IOS）
漏洞深入利用
这里就不得不提到我们的一些标签了
一般常见的我们可以尝试 include 标签
这里我们先复现一下
https://www.yijinglab.com/guide-img/d9634e2f-3b66-42e7-8279-c0877cdd70e5/06bdf4bc-5dd3-42cd-8b99-b413dd803c89.png
这个标签是 cms 的专属的标签
然后我们根据目录关系创建一个文件尝试一下
https://www.yijinglab.com/guide-img/d9634e2f-3b66-42e7-8279-c0877cdd70e5/81629973-26df-4c49-90c3-baa09a5ee734.png
然后我们访问首页
https://www.yijinglab.com/guide-img/d9634e2f-3b66-42e7-8279-c0877cdd70e5/e5b829ca-63f9-4ad7-9ef3-8a1c43fb79ac.png
可以看到成功了
调试分析
我们调试分析一下，抓个包看看路由
https://www.yijinglab.com/guide-img/d9634e2f-3b66-42e7-8279-c0877cdd70e5/4c239b5d-9950-44cb-b32a-bc2f99a9bcf8.png
定位到代码
@Log(operType = OperatorType.UPDATE, module = "模板管理", content = "修改模板")
@PostMapping("save")
@RequiresPermissions("5n6ta53y")
public String save(TemplateVo template) throws IOException, CmsException {
String fileName = template.getPath() + File.separator + template.getFile();
File templateFile = new File(fileName);
/**
* 查询当前模版目录，判断是否为模版目录，如不是，则报错
*/
Theme currentTheme = themeService.getCurrentTheme();
String resourceDir = fileConfiguration.getResourceDir();
String themePath = resourceDir + File.separator + "templates" + File.separator + currentTheme.getThemePath() + File.separator;
themePath = themePath.replaceAll("\\*", "/");
File themeDir = new File(themePath);
// 检查当前编辑文件是否有权限
if(!templateFile.getCanonicalPath().startsWith(themeDir.getCanonicalPath())) {
throw new TemplatePermissionDeniedException(StateCodeEnum.HTTP_FORBIDDEN.getCode(), StateCodeEnum.HTTP_FORBIDDEN.getDescription(), "您没有操作权限！");
}
if(!templateFile.exists()) {
throw new TemplateNotFoundException(StateCodeEnum.HTTP_NOTFOUND.getCode(), StateCodeEnum.HTTP_NOTFOUND.getDescription(), "模板文件不存在！");
}
String filePath = template.getPath() + File.separator + template.getFile();
filePath = filePath.replaceAll("\\*", "/");
File file = new File(filePath);
FileUtils.writeStringToFile(file, template.getContent(), "UTF-8");
return "redirect:/admin/templates/toIndex";
}
这里就是就简单的写一下模板，然后重点关注解析的部分
https://www.yijinglab.com/guide-img/d9634e2f-3b66-42e7-8279-c0877cdd70e5/56a93a2f-aacc-4219-a01a-5d3b19e6f81c.png
这里有各种各样的标签
看到我们的 Include 标签
@Tag(beginTag="{dreamer-cms:include /}",endTag="{/dreamer-cms:include}",regexp="(\\{dreamer-cms:include[ \\t]+.*/\\})|(\\{dreamer-cms:include[ \\t]+.*\\}\\{/dreamer-cms:include\\})", attributes={
@Attribute(name = "file",regex = "[ \t]+file=[\"\'].*?[\"\']"),
})格式
我们看一下解析过程
首先是解析我们的模板
https://www.yijinglab.com/guide-img/d9634e2f-3b66-42e7-8279-c0877cdd70e5/ac74d25d-929a-4861-b73e-3667b7e4cfc8.png
识别我们的模板内容后开始解析各种标签，然后是我们的 include
public String parse(String html) {
Tag annotations = IncludeTag.class.getAnnotation(Tag.class);
Attribute[] attributes = annotations.attributes();
List<String> all = RegexUtil.parseAll(html, annotations.regexp(), 0);
if(StringUtil.isBlank(all)) {
return html;
}
String newHtml = html;
String resourceDir = fileConfiguration.getResourceDir() + "templates/";
Theme currentTheme = themeService.getCurrentTheme();
String templatePath = currentTheme.getThemePath() + "/";
String basePath = resourceDir + templatePath;
for (int i = 0; i < all.size(); i++) {
Map<String,Object> entity = new HashMap<String,Object>();
String includeTag = all.get(i);
for (Attribute attribute : attributes) {
String condition = RegexUtil.parseFirst(includeTag, attribute.regex(), 0);
if(StringUtil.isBlank(condition)) {
continue;
}
String key = condition.split("=");
String value = condition.split("=");
key = key.trim();
value = value.replace("\"", "").replace("\'", "");
entity.put(key, value);
}
if(entity.keySet() != null && entity.keySet().size() > 0) {
String path = basePath + entity.get("file").toString();
File includeFile = new File(path);
String includeHtml;
try {
includeHtml = FileUtils.readFileToString(includeFile, "UTF-8");
newHtml = newHtml.replaceFirst(annotations.regexp(), includeHtml);
} catch (IOException e) {
e.printStackTrace();
}
}
}
return newHtml;
}https://www.yijinglab.com/guide-img/d9634e2f-3b66-42e7-8279-c0877cdd70e5/be261a33-a92c-4c14-98c2-87a786782269.png
可以目录穿越读取我们任意文件的内容
更多网安技能的在线实操练习，请点击这里>>
来源：程序园用户自行投稿发布，如果侵权，请联系站长删除
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！ 热心回复！ 收藏一下 不知道什么时候能用到
页:
[1]