Day106：代码审计-PHP原生开发篇文件安全上传监控功能定位关键搜索1day挖掘

目录

emlog-文件上传&文件删除

emlog-模板文件上传

emlog-插件文件上传

emlog-任意文件删除

通达OA-文件上传&文件包含

知识点：

PHP审计-原生开发-文件上传&文件删除-Emlog
PHP审计-原生开发-文件上传&文件包含-通达OA

emlog-文件上传&文件删除

文件安全挖掘点：

1、脚本文件名：upload.php、up.php、upfile.php、del.php、delfile.php、down.php、downfile.php 、read.php、readfile.php

2、应用功能点：下载，上传，读取，删除   --> URL路径 --> 文件地方代码 --> 分析

如果功能点可以作为漏洞的强特征，就可以通过找功能点来找漏洞

3、操作关键字：直接搜索操作类函数或变量：$_FILES  move_upload_file ； 还有 上传文件，删除文件，安装文件，上传成功，上传失败等

搜索不到：文件路径也可能写入数据库了

emlog-模板文件上传

搜索函数关键字或应用关键字：

流程：搜$_FILES->template.php->upload_zip->emUnZip

流程：搜安装或上传等->template.php->upload_zip->emUnZip

https://www.cnvd.org.cn/flaw/show/CNVD-2023-74536

这个路东并不是说文件里面存在上传漏洞，因为在软件、应用程序或网站的开发中，/templates 目录通常是用来存放模板文件的地方。模板文件用于定义数据显示的结构和布局，是一种将内容和表现分离的设计手段。

意思应该上传模板文件存在漏洞

修改参数 tpl 即可更换模板

模板文件存放路径 

搜$_FILES

搜索上传

定位到文件 /admin/template.php

搜索安装模板，在 /view/template.php，可以根据 MVC 架构特点，在 /admin/template.php 处理试图

MVC 架构是一种用于设计软件应用的模式，尤其是在图形用户界面(GUI)的应用程序开发中广泛采用。MVC 代表 Model-View-Controller，这三个组件是MVC架构的核心，它们各自承担着不同的职责，使得应用程序的开发、维护和扩展变得更加容易和清晰。

  1. Model（模型）:模型代表的是应用程序的数据结构，通常模型对象负责在数据库中存取数据。它包含了数据的处理逻辑，例如计算或数据校验等。模型是独立于用户界面的，因此模型的改变通常不直接影响视图的显示。模型提供了一种方式来操作应用程序的数据，以及将这些数据转化为有用的信息。
  2. View（视图）:视图是应用程序中用户界面的部分。它负责将数据（即模型）以图形界面的形式展现给用户。视图仅仅展示数据，不包含业务逻辑。换句话说，视图是模型的可视化表示。当模型的状态发生变化时，视图可以更新其展示的内容，反映最新的信息。
  3. Controller（控制器）:控制器是模型与视图之间的协调者。它接收用户的输入（例如，鼠标点击和键盘输入），并决定如何处理这些输入。例如，控制器可以决定响应用户的某个动作来修改模型的状态或更新视图。控制器将用户的输入转化为模型的更新和视图的操作，确保模型和视图的同步。

进入 emDirect() 函数

$r = explode('/', $zip->getNameIndex(0), 2);

getNameIndex(0) 方法调用是ZipArchive类的一个功能，它接受一个整数作为参数（在这个例子中是0），这个参数指定了ZIP文件中条目的索引。此方法返回该索引对应的条目的名称，即ZIP文件中第一个文件或文件夹的名称。如果ZIP文件为空或指定的索引不存在，此方法将返回FALSE。

explode('/', $zip->getNameIndex(0), 2) 函数是PHP中用于将字符串拆分为数组的内置函数。这里，它被用来将getNameIndex(0)返回的第一个条目名称按照'/'（正斜杠）分隔符进行分割。参数2表示最多分割为两部分，这意味着如果存在多个'/'，只分割第一个，将结果分为两个元素的数组。

$dir = isset($r[0]) ? $r[0] . '/' : '';

这行PHP代码是在处理由前一行代码$r = explode('/', $zip->getNameIndex(0), 2);生成的数组$r。具体来说，它在确定并构建一个表示目录路径的字符串。

代码解析如下：

  1. isset($r[0])：这个函数检查数组$r中是否有索引为0的元素。由于explode函数至少会返回一个元素的数组（除非传递的是空字符串），通常情况下索引0是存在的。如果$zip->getNameIndex(0)返回的是以/开头的路径，那么$r[0]将是一个空字符串。
  2. ? $r[0] . '/'：这是三元运算符的中间部分。如果isset($r[0])为true（即$r[0]存在），那么取出数组$r中索引为0的元素，并在其后添加一个正斜杠'/'。这通常用来确保得到的路径是一个目录路径。
  3. : ''：这是三元运算符的最后部分。如果isset($r[0])为false（即$r[0]不存在），则目录字符串设为一个空字符串。
  4. $dir：这是存储最终目录字符串的变量。如果数组$r中存在索引0，那么$dir将是该值加上一个尾随正斜杠（表示目录）。如果不存在，$dir就是空字符串。

综上所述，这行代码用于从ZIP压缩包中提取的第一个文件（或目录）的路径，获取它的目录部分，并确保这个目录字符串以正斜杠结束。这在处理ZIP文件中的条目时，用于构建路径、创建目录结构或进行路径检查时非常有用。

此处上传模板存在文件上传漏洞且没有过滤。

如何利用？

  1. 压缩默认模版目录
  2. 压缩一个带后门模版
  3. 上传带后门模版压缩包

制作模板压缩包，文件目录如下：

test.php内部是一个后门

上传常规，出现 test 模板

模板压缩包制作可知压缩一下defualt或者下载一个看看目录结构

emlog-插件文件上传

流程：搜$_FILES->plugin.php->upload_zip->emUnZip

流程：搜安装或上传等->plugin.php->upload_zip->emUnZip

https://www.cnvd.org.cn/flaw/show/CNVD-2023-74535

定位到 /admin/plugin.php

制作插件压缩包

上传成功

emlog-任意文件删除

流程：搜unlink->data.php->action=dell_all_bak->bak[]

https://www.cnvd.org.cn/flaw/show/CNVD-2021-41633

1、/admin/data.php?action=dell_all_bak

2、bak[1]=../xxx.php

删除成功！

通达OA-文件上传&文件包含

安装，双击运行即可

安装后的目录

控制中心在 /bin 目录下

Web目录

IDEA打开源码，发现源码加密

解决办法：

  1. 方法一：找关键字，如上图中，可能在前面，中间，后米娜，之后百度搜索，看看是什么加密，再看看能否解密
  2. 方法二：直接搜索该OA版本的加密

开始时使用Zend解密出现闪退，原因：(1) 内存不够   (2)代码资源被占用
退出IDEA即可解决
等待IDEA更新索引

流程：找文件名->绕验证P->DEST_UID,UPLOAD_MOD->构ATTACHMENT

文件上传(文件名称)：/webroot/ispirit/im/upload.php

流程：搜include_once->gateway.php->$url->$key->$json

文件包含(include_once)：/ispirit/interface/gateway.php

这个漏洞的挖掘时是艰难的，项目太大了，需要时间慢慢测试，才发现到upload.php，使用搜索的方式结果太多了。实战中，大型的程序挖掘需要时间。也可以使用动态分析的技术，配合使用。
接收参数 p 

经由上述分析，构造符合条件的文件上传：
  1. 设置P参数不为0
  2. 设置DEST_UID参数为1
  3. 设置UPLOAD_MODE参数为1,2,3
  4. 设置上传文件参数名为ATTACHMENT
<html>
<body>
<form action="http://127.0.0.1/ispirit/im/upload.php" method="post" enctype="multipart/form-data">
<input type="text"name="P" value=1></input>
<input type="text"name="UPLOAD_MODE" value=1></input>
<input type="text" name="DEST_UID" value=1></input>
<input type="file" name="ATTACHMENT"></input>
<input type="submit" ></input>
</body>
</html>

文件监控：file-jiankong.py，方便监控获取文件上传到什么地方

使用：直接放到文件的根目录下，就可以监视该文件夹下的文件变化，可以快速找到文件上传到那个目录了

txt 里面是后门代码 

这个文件是不可访问的，没有权限，因为再 Web 目录的外面

思路：配合文件包含后门代码，需要满足参数参数可控，没过滤

poc1:/ispirit/interface/gateway.php?json={}&url=/general/../../attach/im/2310/1600449966.1.txt
poc2:/ispirit/interface/gateway.php?json={}&url=/ispirit/../../attach/im/2310/1600449966.1.txt
poc3:/ispirit/interface/gateway.php?json={}&url=/module/../../attach/im/2310/1600449966.1.txt

但是又碰到一个问题

没有回显，解决办法：webshell 连接，把结果写入到别的文件里，再访问。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/521497.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

HUD抬头显示器阳光倒灌实验一般步骤

HUD抬头显示器阳光倒灌实验一般步骤

概述 汽车HUD&#xff08;Head-Up Display&#xff0c;即抬头显示器&#xff09;阳光倒灌实验是一种用于评估汽车抬头显示器在阳光直射条件下显示效果的测试。该实验的目的是确保HUD系统在强烈的阳光下依然能够清晰地显示信息&#xff0c;不影响驾驶员的视线和驾驶安全。 一般…
阅读更多...
单链表经典oj题 (一) 简单

单链表经典oj题 (一) 简单

1.删除指定节点数据&#xff08;非尾节点&#xff09;&#xff0c;要求时间复杂度为O(1) . - 力扣&#xff08;LeetCode&#xff09; 在之前我们将单链表删除指定节点的操作是先遍历找到pos的前一个结点&#xff0c;然后再进行删除&#xff0c;但是现在要求再O(1)时间内完成&am…
阅读更多...
博客部署001-centos安装docker

博客部署001-centos安装docker

1、安装docker 1.1 卸载旧版本的 Docker sudo yum remove docker \docker-client \docker-client-latest \docker-common \docker-latest \docker-latest-logrotate \docker-logrotate \docker-engine1.2 设置 Docker 仓库 安装 Docker Engine 之前&#xff0c;首先需要设置…
阅读更多...
力扣Lc29---- 541. 反转字符串 II(java版)-2024年4月06日

力扣Lc29---- 541. 反转字符串 II(java版)-2024年4月06日

1.题目描述 2.知识点 &#xff08;1&#xff09;执行步骤如下&#xff1a; 初始化 s “abcdefg” 和 k 2 将字符串分割成长度为 2k 4 的块。 对每个块中的前 k 2 个字符进行反转。 执行过程 1&#xff09;第一次循环&#xff08;i 0&#xff09; start 0 end Math.min(0…
阅读更多...
心法利器[112] | 考古RAG-20年RAG概念提出的论文

心法利器[112] | 考古RAG-20年RAG概念提出的论文

心法利器 本栏目主要和大家一起讨论近期自己学习的心得和体会。具体介绍&#xff1a;仓颉专项&#xff1a;飞机大炮我都会&#xff0c;利器心法我还有。 2023年新的文章合集已经发布&#xff0c;获取方式看这里&#xff1a;又添十万字-CS的陋室2023年文章合集来袭&#xff0c;更…
阅读更多...
计算机视觉——基于傅里叶幅度谱文档倾斜度检测与校正

计算机视觉——基于傅里叶幅度谱文档倾斜度检测与校正

概述 在计算机视觉领域&#xff0c;处理文档数据时&#xff0c;OCR算法的性能往往会受到文档的倾斜度影响。如果文档在输入到模型之前没有经过恰当的校正&#xff0c;模型就无法期待模型能够提供准确的预测结果&#xff0c;或者模型预测的精度会降低。例如&#xff0c;在信息提…
阅读更多...
Qt Creator 新建项目

Qt Creator 新建项目

&#x1f40c;博主主页&#xff1a;&#x1f40c;​倔强的大蜗牛&#x1f40c;​ &#x1f4da;专栏分类&#xff1a;QT❤️感谢大家点赞&#x1f44d;收藏⭐评论✍️ 目录 一、使用 Qt Creator 新建项目 1、新建项目 2、选择项目模板 3、选择项目路径 4、选择构建系统 5…
阅读更多...
usb_camera传输视频流编码的问题记录！

usb_camera传输视频流编码的问题记录！

前言&#xff1a; 大家好&#xff0c;今天给大家分享的内容是&#xff0c;一个vip课程付费的朋友&#xff0c;在学习过程中遇到了一个usb采集的视频数据流&#xff0c;经过ffmpeg编码&#xff0c;出现了问题&#xff1a; 问题分析&#xff1a; 其实这个问题不难&#xff0c;关键…
阅读更多...
漂亮国的无人餐厅的机器人骚操作

漂亮国的无人餐厅的机器人骚操作

导语 大家好&#xff0c;我是智能仓储物流技术研习社的社长&#xff0c;你的老朋友&#xff0c;老K。行业群 新书《智能物流系统构成与技术实践》 知名企业 读者福利&#xff1a; &#x1f449;抄底-仓储机器人-即买即用-免调试 智能制造-话题精读 1、西门子、ABB、汇川&#x…
阅读更多...
Linux--03---虚拟机网络配置、拍摄快照和克隆

Linux--03---虚拟机网络配置、拍摄快照和克隆

提示&#xff1a;文章写完后&#xff0c;目录可以自动生成&#xff0c;如何生成可参考右边的帮助文档 文章目录 1.虚拟机网络配置1.虚拟机的联网模式模式1 仅主机模式特点模式2 桥接模式特点模式3 NAT模式特点关于模式的选择 2. 修改网络配置信息3.修改虚拟机ens33网卡的网络配…
阅读更多...
【CNN】ConvMixer探究ViT的Patch Embedding: Patches Are All You Need?

【CNN】ConvMixer探究ViT的Patch Embedding: Patches Are All You Need?

Patches Are All You Need? 探究Patch Embedding在ViT上的作用&#xff0c;CNN是否可用该操作提升性能&#xff1f; 论文链接&#xff1a;https://openreview.net/pdf?idTVHS5Y4dNvM 代码链接&#xff1a;https://github.com/tmp-iclr/convmixer 1、摘要 ViT的性能是由于T…
阅读更多...
【二分查找】Leetcode 在排序数组中查找元素的第一个和最后一个位置

【二分查找】Leetcode 在排序数组中查找元素的第一个和最后一个位置

题目解析 34. 在排序数组中查找元素的第一个和最后一个位置 我们使用暴力方法进行算法演化&#xff0c;寻找一个数字的区间&#xff0c;我们可以顺序查找&#xff0c;记录最终结果 首先数组是有序的&#xff0c;所以使用二分法很好上手&#xff0c;但是我们就仅仅使用上一道题…
阅读更多...
2. Django配置信息

2. Django配置信息

第2章 Django配置信息 Django的配置文件settings.py用于配置整个网站的环境和功能, 核心配置必须有项目路径, 密钥配置, 域名访问权限, App列表, 中间件, 资源文件, 模板配置, 数据库的连接方式.* 项目运行时, 如果修改代码, 项目会自动检测发现改动后会重新运行, 除非报错否…
阅读更多...
xss.pwnfunction-Jefff

xss.pwnfunction-Jefff

在eval中可以直接执行命令所以直接把"直接闭合在结尾再加上一个"因为后面的"没闭和会报错 ?jeffa";alert(1);" 或 ?jeffa"-alert(1)-" -是分隔符
阅读更多...
根据状态转移表实现时序电路

根据状态转移表实现时序电路

描述 某同步时序电路转换表如下&#xff0c;请使用D触发器和必要的逻辑门实现此同步时序电路&#xff0c;用Verilog语言描述。 电路的接口如下图所示。 输入描述 input A ,input clk ,input rst_n 输出描述 output …
阅读更多...
Windows11下Docker使用记录（二）

Windows11下Docker使用记录（二）

Docker使用记录&#xff08;二&#xff09; 1. 常用指令2. Dockerfile示例3. 构建docker image Docker中container&#xff0c;image&#xff0c;dockerfile 以及docker hub的关系如图所示&#xff0c;详细可见上一篇帖子。 本文主要记录Dockerfile相关。 1. 常用指令 常用指令…
阅读更多...
matlab:五点中心差分求解Navier边界的Biharmonic方程(具有纳维尔边界的双调和方程)

matlab:五点中心差分求解Navier边界的Biharmonic方程(具有纳维尔边界的双调和方程)

我们考虑如下形式的双调和方程的数值解 其中&#xff0c;Ω是欧氏空间中的多边形或多面体域&#xff0c;在其中&#xff0c;d为维度&#xff0c;具有分段利普希茨边界&#xff0c;满足内部锥条件&#xff0c;f(x) ∈ L2(Ω)是给定的函数&#xff0c;∆是标准的拉普拉斯算子。算…
阅读更多...
Open3D (C++) 从.txt文件中读取数据到矩阵

Open3D (C++) 从.txt文件中读取数据到矩阵

目录 一、算法概述二、代码实现三、结果展示四、测试数据本文由CSDN点云侠原创，原文链接。如果你不是在点云侠的博客中看到该文章，那么此处便是不要脸的爬虫与GPT。 一、算法概述 在进行实验的时候有时需要借助不同的工具来实现一些比较复杂的操作，比如使用matlab中自带的拉…
阅读更多...
竞赛 交通目标检测-行人车辆检测流量计数 - 竞赛

竞赛 交通目标检测-行人车辆检测流量计数 - 竞赛

文章目录 0 前言1\. 目标检测概况1.1 什么是目标检测&#xff1f;1.2 发展阶段 2\. 行人检测2.1 行人检测简介2.2 行人检测技术难点2.3 行人检测实现效果2.4 关键代码-训练过程 最后 0 前言 &#x1f525; 优质竞赛项目系列&#xff0c;今天要分享的是 &#x1f6a9; 毕业设计…
阅读更多...
AI大语言模型GPT —— R 生态环境领域数据统计分析

AI大语言模型GPT —— R 生态环境领域数据统计分析

自2022年GPT&#xff08;Generative Pre-trained Transformer&#xff09;大语言模型的发布以来&#xff0c;它以其卓越的自然语言处理能力和广泛的应用潜力&#xff0c;在学术界和工业界掀起了一场革命。在短短一年多的时间里&#xff0c;GPT已经在多个领域展现出其独特的价值…
阅读更多...
最新文章

Copyright @ 2022~2023