朋友因为项目太多忙不过来，于是给了我一个授权的站点，让我帮忙测试，并记录整体流程。从主站测试无果。通过信息收集，发现服务器还有一个疑似测试使用的旁站。在GitHub上找到旁站源码，通过审计发现一个任意文件读取漏洞。读取数据库配置文件，连接数据库，发现主站的管理员账号密码，最终getshell。随手试了一下后台路径Admin，发现路径没改，而且登录的提示报错可以枚举用户名，可知管理员账号就是Admin：查看登录的请求包密码，发现没有经过加密，那就随手爆破一波碰碰运气——不出意外没有成功：随手输入一个路径，看到报错信息，可以知道框架是Thinkphp，而且是有rce的版本：拿起Payload一通乱打，发现没反应，应该是漏洞被修复了。随后注册账号，登录之后随便点了几个功能，都没什么可以利用的地方。这套模板之前是有很多漏洞的，但是随着后面慢慢更新，这些漏洞基本都被修复了。既然主站没办法直接打，就转变一下思路，老老实实从信息收集开始。找到一个旁站，Onethink，没有什么数据，看着像是测试用的：后台路径依旧没改，Admin.php，不过也进不去，没什么用：这套框架已经出了很久，也停更了很久。搜索了一下，似乎有sql注入漏洞和缓存文件getshell，但无法复现，可能因为版本不同。之后又在Github搜了一下，可以找到源码，干脆自己动手，丰衣足食。下载完打开代码，随便找几个文件拼接路径，测试一下是不是同样的代码。确认完后开始看代码，先直接全局搜索，各种敏感函数都搜一遍，发现有call_user_func_array：从第一个开始看，iswaf.php文件，call_user_func_array在execute方法里，代码如下：
functionexecute($function,$args = '',$path = 'extensions') { $function = basename($function); $path= basename($path); self::$model = $function; if(file_exists(iswaf_root.$path.'/'.$function.'.php')) { include_once iswaf_root.$path.'/'.$function.'.php'; $classname = 'plus_'.$function; $class = new $classname; self::$models[] = $function; if(!is_array($args)) $args = array($args); $a = call_user_func_array(array($class, $function),$args); self::debuginfo($function); return $a; }}
追踪execute方法，有个runapi方法调用，代码如下：
function runapi() { if(isset($_POST['action']) && isset($_POST['args']) &&($_POST['key'] == md5(iswaf_connenct_key) || self::$mode == 'debug')){ $get['args'] =unserialize(self::authcode($_POST['args'],'DECODE')); $get['function'] = $_POST['action']; if($get['function']) { if(!isset($_GET['debug']) &&!isset($_GET['key']) && $_GET['key'] !==md5(iswaf_connenct_key)) { echoself::authcode(self::execute($get['function'],$get['args'],'apis'),'ENCODE'); }else{ print_r(unserialize(self::execute($get['function'],$get['args'],'apis'))); } exit; } } }
那么下一步要看一下怎么调用这个runapi方法。runapi方法属于iswaf类，而在iswaf类内有一行代码直接调用了这个方法，iswaf文件在最后会new一个对象且调用到那个方法：所以只要直接访问iswaf文件，就可以调用runapi方法。runapi方法接收三个请求参数，分别是action、args和key，然后对三个参数进行判断，先判断请求体的action、args不为空，key是md5加密的iswaf_connect_key，这个是写死的，定义在conf.php里面：满足了这几个条件后，就是处理请求里的action和args。action没有做特殊处理，只是做了个赋值。args走了反序列化和一层authcode方法加密，所以这里的args参数是要经过序列化的。至于加密方法authcode，代码太长了，就不贴出来了，反正整个方法直接拉出来用就行了。接下来看下一个判断，是$get['function']，为true。其实就是请求体里的action，所以这个不用管。然后还有一层，是判断$\_GET请求参数debug和key都为空和key值，如果走if里的代码，就是加密，这里要走的是else里的代码，所以随便加个debug=1或者key=1。最后请求包大概就是这样：到此，runapi方法就分析完毕了，构造好这样的请求包后，就会走到execute方法里面。依旧是有三个参数，function和args可以通过runapi方法控制，第三个参数是写死的：下面这里就重点关注call_user_func_array了，先通过if判断文件是否存在，iswaf_root文件目录路径，path前面已经看到是apis，function可控。然后包含文件，拼接plus_和function，之后和args作为参数传递给call_user_func_array执行，看一下apis目录下的文件和代码，可以发现这里是专门用于执行这些文件代码的：而这里面又有一个write_config方法，可以写入配置文件：但是测试了半天，因为引号会被转义，死活绕不过去，只能放弃。测试连接，发现支持外联，并且主站的数据库也在里面。最后，在其中找到管理员账号密码，解密哈希，进入后台，发现有任意文件上传漏洞没有修改，可以直接上传任意文件，这些操作都很常规，就不截图了。整体流程走下来，感觉自己还是运气比较好，目标数据库开了外联，并且找到了主站管理员密码。目标也是百密一疏，前台漏洞都修复了，可能觉得后台一般进不去，就没有修复漏洞。个人最大的体会，还是测试过程需要多做一些信息收集工作，说不定在某个地方就会柳暗花明。
免责声明：文章内容不代表本站立场，本站不对其内容的真实性、完整性、准确性给予任何担保、暗示和承诺，仅供读者参考，文章版权归原作者所有。如本文内容影响到您的合法权益（内容、图片等），请及时联系本站，我们会及时删除处理。
查看原文
