菜鸟追梦旅行

这个屌丝很懒，什么也没留下！

热门标签

[zkaq靶场]命令执行--IBOS协同办公系统通杀漏洞_ibos控制中心漏洞

作者：菜鸟追梦旅行 | 2024-04-26 03:18:02

踩

ibos控制中心漏洞

命令执行

命令执行相关函数

system()

能够将字符串作为OS命令执行，自带输出功能。

exec()

将字符串作为OS命令执行，需要输出

shell_exec()

将字符串作为OS命令执行，需要输出

passthru()

能够将字符串作为OS命令执行，自带输出

popen()

将字符串作为OS命令执行，但是该函数返回一个文件指针。

反引号``

反引号内的字符串也会被解析成OS命令。

靶场

本地测试

本期主角：ibos（一款协同办公系统）

版本：4.5.5

安装：

安装完成之后：长得跟phpstudy“有点像”,就是在PHP study的基础上加了一套cms。

后台：

审计

对该系统的源码进行审计。

发现其对重要代码进行了加密：

上传到在线解密网站看看使用的加密方法：

加密方式： zend|53。

知道了加密方式之后就可以对其进行解密。

Zend Guard是目前市面上最成熟的PHP源码加密产品，只要PHP加载了这个第三方加密插件，那么就可以直接运行加密后的源码。

这类加密会在开头写Zend.

解密之后的代码是不能直接替代原本文件运行的，所以解密后的代码仅仅是静态审计

解密之后全局搜索命令执行的函数，找到一处可疑的地方。

具体代码是这一块：

$config = @include (PATH_ROOT . "./system/config/config.php");

if (empty($config)) {
	throw new Exception(application\core\utils\Ibos::Lang("Config not found", "error"));
}
else {
	$db = $config["db"];
}
$query = $command->setText("SHOW VARIABLES LIKE 'basedir'")->queryRow();
$mysqlBase = $query["Value"];
$mysqlBin = ($mysqlBase == "/" ? "" : addslashes($mysqlBase) . "bin/");
shell_exec($mysqlBin . "mysql -h\"" . $db["host"] . ($db["port"] ? (is_numeric($db["port"]) ? " -P" . $db["port"] : " -S\"" . $db["port"] . "\"") : "") . "\" -u\"" . $db["username"] . "\" -p\"" . $db["password"] . "\" \"" . $db["dbname"] . "\" < " . $file);
		
1
2
3
4
5
6
7
8
9
10
11
12
13

shell_exec()函数：

shell_exec($mysqlBin . "mysql -h\"" . $db["host"] . ($db["port"] ? (is_numeric($db["port"]) ? " -P" . $db["port"] : " -S\"" . $db["port"] . "\"") : "") . "\" -u\"" . $db["username"] . "\" -p\"" . $db["password"] . "\" \"" . $db["dbname"] . "\" < " . $file);

我们需要找到我们可以控制的变量。

分析：

$mysqlBin是从数据库中查询出来的值；

$db经过追踪是从config.php文件中取得的关于数据库配置的值。

这两个变量都不是我们可以控制的。

那么还剩下一个$file是干什么的呢？

追踪restore方法没有找到一下成果

$file暂时在这里失去了线索。

但是，我们在全局搜索shell_exec()函数时出现了两次调用。

我们可以看看另一个文件里的shell_exec()函数。

shell_exec("{$mysqlBin}mysqldump --force --quick $command1 --add-drop-table $command2 $command3 --host=\"{$db["host"]}\" $command5 --user=\"{$db["username"]}\" --password=\"{$db["password"]}\" \"{$db["dbname"]}\" $tablesstr > $dumpFile");

这里出现了mysqldump，这是一个MySQL自带的备份工具。

命令格式
mysqldump [选项] 数据库名 [表名] > 脚本名
或

mysqldump [选项] --数据库名 [选项表名] > 脚本名
或

mysqldump [选项] --all-databases [选项] > 脚本名

我们猜测这里可能后台提供的一个数据库备份功能。

后台是真的存在数据库备份功能的。

最后一个参数$dumpFile就是脚本名，就是最后导出的文件名。

我们可以控制的变量也就是它。

追溯一下它的来源：

$dumpFile = core\utils\addslashes(core\utils\PATH_ROOT) . “/” . $backupFileName . “.sql”;

$backupFileName = self::BACKUP_DIR . “/” . core\utils\str_replace(array("/", “\”, “.”, “’”), “”, $fileName);

$fileName = core\utils\Env::getRequest(“filename”);

最后可以判断，$dumpFile跟getRequest(“filename”)是有关的。

也就是说是跟请求里的参数有关的。

我们可以尝试抓个包试试看有没有filename参数：
在后台备份数据库这里抓包：