YzmCMS代码审计

YzmCMS代码审计

代码审计 #CMS

0x01 通读

index.php

image-20220514154916322

里面有很多的define，用这个代码运行下

foreach(get_defined_constants(true)['user'] as $k=>$v){
    echo $k.'---'.$v."\r\n";
}

APP_DEBUG--- 
URL_MODEL---3 
YZMPHP_PATH---x:\cms\yzmcms-master\ 
IN_YZMPHP---1 
YP_PATH---x:\cms\yzmcms-master\yzmphp\ 
YZMPHP_VERSION---2.7 
APP_PATH---x:\cms\yzmcms-master\application\ 
SYS_START_TIME---1652515504.1375 
SYS_TIME---1652515504 
SERVER_PORT---http:// 
HTTP_HOST---xhcms.cc 
HTTP_REFERER--- 
EXT---.class.php 
IS_CGI---1 
PHP_FILE---/index.php 
SITE_PATH---/ 
SITE_URL---http://xhcms.cc/ 
STATIC_URL---http://xhcms.cc/common/static/ 
MAGIC_QUOTES_GPC--- 
YZMCMS_VERSION---V6.3 
YZMCMS_UPDATE---20220110 
YZMCMS_SOFTNAME---YzmCMS内容管理系统 
ROUTE_M---index 
ROUTE_C---index 
ROUTE_A---init

21行有个require，require==x:\cms\yzmcms-master\，实际上是包含了当前目录下的/yzmphp/yzmphp.php文件

跟进文件

yzmphp.php

image-20220514161026201

33行调用了yzm_base下的load_sys_func()方法，跟进这个类，PHPstorm中按住ctrl+鼠标左键进行跟踪

image-20220514161224892

image-20220514161325020

这里进行了文件包含操作，实际上包含的是yzmphp/core/function/global.func.php

image-20220514161603815

整体上看一下，只是定义了方法。回到yzmphp.php

image-20220514161811644

这里是判断是否开启GPC，开启则定义MAGIC_QUOTES_GPC为True，否则为False，上面输出的常量中也写出为1。

70-72行中调用了load_common方法，跟进下

image-20220514162020963

image-20220514162101391

这里也是文件包含，看一下传入的三个不同的参数文件内都是什么

image-20220514170442208

version.php文件只是定义了常量，extention.func.php文件什么也没做，system.func.php中定义了一些方法。继续跟进yzmphp.php，yzmphp.php在后面定义完类之后就没有任何操作

回到index.php，

image-20220514175344302

这里有个创建应用的方法，跟进下

image-20220514202711234

传值进入load_sys_class静态方法中，然后再传入_load_class静态方法中，在load_sys_class方法中设置$initialize的值为1，跟进下该方法

image-20220514203807467

因为起初传递的$path为空，进入104行，此时$path为x/cms/yzmphp/core/class，然后115行进行了文件包含，EXT为.class.php,即包含了/yzmphp/core/class/application.class.php，然后进入到117行，实例化了applocation类并且赋值给$classes静态变量中，121行将application返回

application.class.php

跟进application.class.php

image-20220515150807304

因为实例化了application类，会自动调用__construct构造方法，主要看第20行，前面是debug的，这里给load_sys_class传入了param参数，在上面已经跟进过load_sys_class静态方法了，实际上这里是包含的/yzmphp/core/class/param.class.php。OK，跟进下，在这里打个断点

param.class.php

image-20220515152039034

这里标记了个C方法，跟进下，跟读遇到没见过的就跟进

/yzmphp/core/function/global.func.php

image-20220515152457799

这里有个$path，此时的值为/common/config/config.php，跟进下

image-20220515152834587

这里都是配置信息

回到param.class.php

image-20220515154007816

这里有个路由设置，default在/common/config/config.php出现过，这部分是定义路由。第19行C为false,看到20行有个pathinfo_url()，跟进

image-20220515154303006

这里主要是做网站伪静态的，同时增加了个路由指定方法-$_GET['s']

回到application.class.php，继续通读

image-20220515154547134

跟进下调用的三个方法，在param.class.php中

image-20220515154656690

image-20220515154707490

每个方法中都带有$ = $this->safe_deal($);，跟进下这个方法。

image-20220515154852622

这里进行了addslashes()过滤。

每个方法中这部分

image-20220515155007401

是判断$_GET['a']是否存在，不存在则返回默认路由

回到application.class.php

image-20220515155224489

上面调用了init()，32行又调用了load_controller()，跟进下

image-20220515155515786

59行实际上是application/$_GET[m]/controller/$_GET[c].class.php，然后62行对其包含，然后64行是实例化包含进来的类，回到上一步

image-20220515155758058

这里有个call_user_func方法，来调用$_GET[a]方法。

框架总结

  • http://www.xxx.com/模块名/控制器/方法
    • 所对应的文件路径为 ./application/模块名/controller/控制器.php
    • 所对应的方法则是传递过来的方法。
  • http://www.xxx.com/?s=模块名/控制器名/方法名
    • 所对应的文件路径为 ./application/模块名/controller/控制器.php
    • 所对应的方法则是传递过来的方法。
  • http://www.xxx.com/?m=模块名&c=控制器名&a=方法名
    • 所对应的文件路径为./application/模块名/controller/控制器.php
    • 所对应的方法则是传递过来的方法
posted @ 2023-11-01 10:54  4eg1s  阅读(51)  评论(0)  编辑  收藏  举报