yxtcmf后台的注入和getshell分析 作者sher10ck_W

1、YxtCMF 的注入和getshell分析 作者：sher10ck原文链接：/s/OoSHfgD_iOKH742YrBMDow1文章源自【字节脉搏社区】-字节脉搏实验室作者-sher10ck扫描下方二维码进入社区 ：本文由 干货 收集整理：/test/index.php目录结构说明：这摊源码是基于thinkphp3.2.3开发的，然后有几个重要的目录记录一下：首先会判断是否开启了 magic_quotes_gpc 函数index.php3若开启了的话，则会对GET、POST接受的参数进行 stripslashes

2、Recursive(实质上就是stripslashes) 转义：判断是否已经安装了，若没有安装进行安装：最后引用了一个文件，还不知道是干嘛用的：前台登录处的一个注入这个注入点主要是由于thinkphp框架漏洞所导致的一个注入点，又学到了这里进行抓包：18登陆成功把payload直接放出来：然后我们就找application/user下面的controller：报错注入将数据库爆出来了我们分析一下这个漏洞形成的原因。首先我们请求的url:当然有的时候我们可能无法根据名称来辨别是否是我们需要找的脚本，我的方法就是在这个application/user/controller目录下面用关键词来查找了可

3、以挨个看一下里面的内容，最终我找到了LoginController.class.php：首先验证了验证码是否正确，然后初始化了一个Users模块，最后检测是用手机号登录还是用邮箱登录：我们跟踪mobile函数，这里两个登录的方式都有注入：里面其他的代码都不用看，注意上面的代码有个where函数，而：这是thinkphp的一个框架漏洞，我们先来看一下where函数的功能和用法：也就是说，where里面包含的内容就是我们要查找的where后面的语句，那么我们这里是不是只要直接写入语句进去就行啦 但是你要观察到我们这里where里面的$where变量是数组的形式，而并非字符串形式。这里我们看下exp

4、表达式，看了你就懂啦：分析好了exp之后，我们来看下I函数(/yxtedu/Core/Mode/Api/finctions.php)中的过滤，官方是这样解释的：也就是说，array的第一个值为exp，第二个值为我们要执行的sql语句，就可以绕过利用了，所以我们的exp就是：意思就是说，我们过滤的主要方法是array_walk_recursive(data,filter)，data代表我们要过滤的内容，fileter代表我们要过滤的方法I函数中的array_walk_recursive()，采用的是think_filter，跟踪这个函数：这里要是匹配到了以上的函数，值就会为空了，所以说没有I函数

5、的where是存在注入点的。的一个注入我们知道这套cms有上面的一个漏洞之后，通过关键词搜索可以跟踪到更多的注入点：就直接跟进这个39行的代码，来到了application/admin/controller/adcontroller.class.php这里通过I函数获取id值，但是没有选择过滤的方法，所以默认应该是没有过滤函数的，id直接拼凑到语句当中了 但是我这里还是不知道这个函数用在哪个功能里，最后我通过搜索ad_id找到了我们访问这个页面函数命名为edit，肯定就是编辑了然后发现是个伪静态这样我们在后面添加语句试试：and 1=1 正确and 1=2 就报错了这里是设置路由这里的问题，RouteController.class.php:GETSHELL跟进这个sp_get_routes函数，我这里贴出关键的代码：这里我们通过上面的代码可以看出，过滤的函数就是三个：20跟踪这三个函数，没什么作用，等于将我们的route直接写入到route.php中。route.php:然后访问：我们打开route.php，代码已经写入进去了添加url规则，填写：23审计就到这里啦推荐阅读Thinkphp中的where函数ThinkPHP框架架构上存在SQL注入记得扫码关注我们哦ThinkPHP函数详解： I方法PHP代码审计入门篇二 M