百家CMS代码审计

环境搭建

下载地址：https://gitee.com/openbaijia/baijiacms

环境：

php5.6.9
MySQL5.7.26
Apache2.4.39

直接访问http://127.0.0.1/install.php进行安装：

分析框架

目录结构

一套源码拿到手第一步仍然是分析框架，先看下目录结构：

是一个无框架的cms，这就需要先搞清楚目录结构，路由，每个目录的功能：

baijiacms/
├── system/     # 核心框架系统
├── includes/   # 包含文件
├── config/     # 配置文件
├── addons/     # 插件模块
├── api/        # API接口
├── attachment/ # 上传文件
└── cache/      # 缓存目录

入口文件：

// 主要入口文件：
index.php      // 前台入口
admin.php      // 后台入口  
api.php        // API接口入口
mobile.php     // 移动端入口
install.php    // 安装脚本

针对system目录，这个较为常用，可以进行进一步分析：

system 系统模块目录
 ├─alipay 支付宝服务窗模块
 ├─bonus 优惠券模块
 ├─common 公共函数模板
 ├─index 登录页
 ├─member 会员模块
 ├─modules 可再扩展模块和模块管理
 ├─public 公共模块
 ├─shop 后台商城模块
 ├─shopwap 前台商城模块
 ├─user 系统用户
 └─weixin 微信模块

主要关注一下几个方面：

1.入口文件index.php：根目录下的index.php文件是一个程序的入口，通常会包含整个程序的运行流程、包含的文件，所以通读一下index.php文件有助于我们了解整个程序的运行逻辑

2.安全过滤文件：安全过滤文件中会写函数对参数进行过滤，所以了解程序过滤的漏洞，对于我们进行进行漏洞利用至关重要。这类文件通常会在其他文件中包含，所以一般会在特定的目录，如上面的includes目录下。另外，找这类文件，也可以从其他文件包含的文件去看

3.函数集文件：函数集文件中会写一些公共的函数，方便其他文件对该函数进行调用，所以这类文件也会在其他文件中进行包含。这类文件通常会存放在common或function等文件夹中

入口文件index.php分析

首先检查/config/install.link是否存在，不存在重定向到install.php进行安装

然后通过条件判断确定$mod的值，$mod通过mod参数获得

接着根据$mod的值来定义SYSTEM_ACT常量

接着根据传入参数do和act来确定参数的值，其中do检查是否为空，为空则设置为shopindex，$act通过act参数获得

最后包含includes/baijiacms.php

安全过滤分析

跟进到includes/baijiacms.php查看：

定义了一些常量

在80，81行定义了$_GP，是通过GET、POST值获得的，82行定义了一个irequestsplite方法用于对输入字符进行html转义，然后对$_GP使用即对GET和POST传入的内容进行处理

路由分析

路由信息可通过全局搜索route关键词，到写了路由配置的文件中查看

如果没有找到，可以访问网站，查看url，结合url中的参数和文件目录及文件名进行理解

这里我们直接访问默认页面baijiacms/index.php：

在登录页面，可以看到4个参数mod、act、do、beid，这里主要关注前三个，将这三个参数在网站目录的文件找

可以看到收到的值和标记的文件目录文件名一样，index.php调用了page，查看一下：

会调用/template/mobile/目录下的index.php文件

可以看到是对应的，act代表目录名，mod代表目录名，do代表

且所有接受参数都是在system目录下的文件中，所以重点放在该目录下的文件

接着我们就可以使用Seay进行漏洞查找

任意目录及文件删除

看似seay找到这么多漏洞，其实绝大部分都是误报，能利用的少之又少。如果觉得扫描不够全面，可自行从敏感函数搜索查找，对于文件删除，常见的有：

unlinkrmdir
unlink
rmdir
delete

第一处

文件路由/includes/baijiacms/common.inc.php:

其中定义了一个

rmdirs函数，如果参数是一个目录，会对目录下的文件进行递归而后删除一切文件，如果不是目录，那么会直接删除这个文件

那么我们就去查找哪里调用了该方法，全局搜索rmdir：

定位到\system\manager\class\web\database.php

其中$d参数是经过base64解码的，它提供$path是否为目录，它通过$_GP['id']获取：

这里将$_GET、$_POST和$_GP三个数组合并成一个新的数组，并将结果重新赋值给$_GP变量。

举个例子：

假设当前请求的URL为：http://example.com/index.php?name=Tom&age=20
同时表单POST数据包含：name=Jerry&city=Beijing
那么在执行这行代码前：
$_GET 数组内容为：['name' => 'Tom', 'age' => '20']
$_POST 数组内容为：['name' => 'Jerry', 'city' => 'Beijing']
$_GP 数组初始为空：[]
执行 $_GP = array_merge($_GET, $_POST, $_GP); 后：
$_GP 数组内容变为：['name' => 'Jerry', 'age' => '20', 'city' => 'Beijing']