代码审计-(Ear Music).任意文件下载漏洞

0x01 代码分析

后台地址:192.168.5.176/admin.php

admin admin

安装后的界面

在后台发布了一首新歌后，前台点进去到一个“下载LRC歌词”功能点的时候发现是使用readfile()函数的(readfile() 函数输出一个文件)

文件位置：\template\default\source\down.php

代码很短，这里下载文件漏洞我们重点关注readfile函数和传递给这个函数的参数，也就是$file，可以看到file这个变量是由geturl和getfield这两个函数得到的，跟进下这两个函数

首先geturl()函数路为/source/system/function_common.php。

这里file是我们传入的文件地址，这里首先通过正则来匹配判断，但是当file不符合正则规则而时候就直接复制给$url变量，即你上传什么，这里就读什么，读取下载的时候未作任何过滤操作. 那我们这里就是要控制传给geturl这个函数的参数即可，那我们继续来看看geturl函数里这个getfield函数是干什么的

文件位置:/source/system/function_common.php 和geturl在一个文件里

那么这里可以看到，getfield这个函数主要是查询下载文件的地址的。

$sql = "select ".$target." from ".tname($table)." where ".$object."='".$search."'";

这里就是查询in_lyic这个字段的值，而这个字段的值就是歌词文件的地址。

那么再回到我们最初的down文件理一下，这里我们要控制$file变量造成任意文件下载就必须对getfield函数里查询出来的文件下载地址进行控制，这样才可以达到任意文件下载而不是下载正常的歌词文件。

那么这个歌词地址是必须有后台权限，在管理页面添加音乐的时候指定歌词的地址

那么我们现在需要看看，后台这里新增音乐的文件，对填入的歌词文件的地址是否有过滤和替换之类的操作，这时候我们就转向上传的地方看看。

POST /admin.php?iframe=music&action=saveadd HTTP/1.1

Host: 192.168.5.176

User-Agent: Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:56.0) Gecko/20100101 Firefox/56.0

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3

Accept-Encoding: gzip, deflate

Content-Type: application/x-www-form-urlencoded

Content-Length: 186

Referer: http://192.168.5.176/admin.php?iframe=music&action=add

Cookie: in_adminid=1; in_adminname=admin; in_adminpassword=c3284d0f94606de1fd2af172aba15bf3; in_permission=1%2C2%2C3%2C4%2C5%2C6%2C7%2C8%2C9

Connection: close

Upgrade-Insecure-Requests: 1

 

in_name=1&in_color=&in_classid=2&in_specialid=0&in_uname=admin&in_singerid=0&in_best=0&in_grade=3&in_points=0&in_tag=1&in_audio=1&in_cover=1&in_lyric=1&in_text=1&form2=%E6%8F%90%E4%BA%A4