日韩无码专区无码一级三级片|91人人爱网站中日韩无码电影|厨房大战丰满熟妇|AV高清无码在线免费观看|另类AV日韩少妇熟女|中文日本大黄一级黄色片|色情在线视频免费|亚洲成人特黄a片|黄片wwwav色图欧美|欧亚乱色一区二区三区

最近研究源碼審計(jì)相關(guān)知識，會抓起以前開源的CMS漏洞進(jìn)行研究，昨天偶然看見了這個PHPCMS的漏洞，就準(zhǔn)備分析研究一番，最開始本來想直接從源頭對代碼進(jìn)行靜態(tài)分析，但是發(fā)現(xiàn)本身對PHPCMS架構(gòu)不是很熟悉，導(dǎo)致很難定位代碼的位置，***就采用動態(tài)調(diào)試&靜態(tài)分析的方式對漏洞的觸發(fā)進(jìn)行分析，下面進(jìn)入正題。

1. 漏洞觸發(fā)代碼定位

通過漏洞的POC(/phpcms/index.php?m=member&c=index&a=register&siteid=1 )判斷，漏洞觸發(fā)點(diǎn)的入口位于/phpcms/modules/member/index.php文件中的register()方法中，在代碼中插入一些echo函數(shù)，觀察輸出(見下)的變化。從下面的結(jié)果變化可知，img標(biāo)簽的src屬性是在執(zhí)行完下面的get()函數(shù)：

 
 
 

  
  
  
$user_model_info = $member_input->get($_POST['info'])
 
 
 

后發(fā)生變化，因此基本可以確定，漏洞的觸發(fā)點(diǎn)就是位于這個函數(shù)中。

2. 定位member_input->get()跟進(jìn)分析

跟進(jìn)該函數(shù)，該函數(shù)位于/phpcms/modules/member/fields/member_input.class.php文件中，此處本來還想故技重施，在該方法中對代碼進(jìn)行插樁，但是發(fā)現(xiàn)插樁后的居然無法打印到頁面上，沒轍(原因望各位大神指點(diǎn)一二)，只能對代碼進(jìn)行一行行推敲，先把代碼貼上，方便分析：

 
 
 

  
  
  
function get($data) {
  
  
  
    $this->data = $data = trim_script($data);
  
  
  
    $model_cache = getcache('member_model', 'commons');
  
  
  
    $this->db->table_name = $this->db_pre.$model_cache[$this->modelid]['tablename'];
  
  
  
    $info = array();
  
  
  
    $debar_filed = array('catid','title','style','thumb','status','islink','description');
  
  
  
    if(is_array($data)) {
  
  
  
        foreach($data as $field=>$value) {
  
  
  
            if($data['islink']==1 && !in_array($field,$debar_filed)) continue;
  
  
  
            $field = safe_replace($field);
  
  
  
            $name = $this->fields[$field]['name'];
  
  
  
            $minlength = $this->fields[$field]['minlength'];
  
  
  
            $maxlength = $this->fields[$field]['maxlength'];
  
  
  
            $pattern = $this->fields[$field]['pattern'];
  
  
  
            $errortips = $this->fields[$field]['errortips'];
  
  
  
            if(empty($errortips)) $errortips = "$name 不符合要求！";
  
  
  
            $length = empty($value) ? 0 : strlen($value);
  
  
  
            if($minlength && $length < $minlength && !$isimport) showmessage("$name 不得少于 $minlength 個字符！");
  
  
  
            if (!array_key_exists($field, $this->fields)) showmessage('模型中不存在'.$field.'字段');
  
  
  
            if($maxlength && $length > $maxlength && !$isimport) {
  
  
  
                showmessage("$name 不得超過 $maxlength 個字符！");
  
  
  
            } else {
  
  
  
                str_cut($value, $maxlength);
  
  
  
            }
  
  
  
            if($pattern && $length && !preg_match($pattern, $value) && !$isimport) showmessage($errortips);
  
  
  
                        if($this->fields[$field]['isunique'] && $this->db->get_one(array($field=>$value),$field) && ROUTE_A != 'edit') showmessage("$name 的值不得重復(fù)！");
  
  
  
            $func = $this->fields[$field]['formtype'];
  
  
  
            if(method_exists($this, $func)) $value = $this->$func($field, $value);
  
  
  

  
  
  
            $info[$field] = $value;
  
  
  
        }
  
  
  
    }
  
  
  
    return $info;
  
  
  
}
 
 
 

代碼整體比較容易，可能比較難理解的就是$this->fields這個參數(shù)，這個參數(shù)是初始化類member_input是插入的，這個參數(shù)分析起來比較繁瑣，主要是對PHPCMS架構(gòu)不熟，那就在此走點(diǎn)捷徑吧，在1中，直接將初始化完成后的member_input類dump出來，效果還不錯，所有的參數(shù)都dump到頁面上了，下面主要摘取比較重要的$this->fields[$field]，即：【$this->fields["content"]】這個參數(shù)，如下所示?：

 
 
 

  
  
  
["content"]=>
  
  
  
    array(35) {
  
  
  
      ["fieldid"]=>
  
  
  
      string(2) "90"
  
  
  
      ["modelid"]=>
  
  
  
      string(2) "11"
  
  
  
      ["siteid"]=>
  
  
  
      string(1) "1"
  
  
  
      ["field"]=>
  
  
  
      string(7) "content"
  
  
  
      ["name"]=>
  
  
  
      string(6) "內(nèi)容"
  
  
  
      ["tips"]=>
  
  
  
      string(407) "是否截取內(nèi)容字符至內(nèi)容摘要
  
  
  
是否獲取內(nèi)容第張圖片作為標(biāo)題圖片