- 微信
- 微博
  
  分享文章到微博
- 复制链接
  
  复制链接到剪贴板

java代码审计-jspcms

亿人安全发表于 2023/05/17 23:13:37 2023/05/17

【摘要】环境搭建源码：https://www.ujcms.com/uploads/jspxcms-9.0.0-release-src.zip下载之后解压然后用idea导入先创建数据库导入数据库文件然后导入源码然后配置好数据库连接加载maven依赖根据本地数据库版本情况记得调整数据库依赖版本然后启动后台地址：http://127.0.0.1:8080/cmscp/index.do因为刚开始代码也那么...

环境搭建

源码：https://www.ujcms.com/uploads/jspxcms-9.0.0-release-src.zip

下载之后解压

然后用idea导入

先创建数据库导入数据库文件

然后导入源码

然后配置好数据库连接

加载maven依赖

根据本地数据库版本情况记得调整数据库依赖版本

然后启动

后台地址：http://127.0.0.1:8080/cmscp/index.do

因为刚开始代码也那么多就没有直接看代码先熟悉熟悉有什么功能点

XSS

随便进入了一篇文章然后评论

这里发现是没有xss的

但是后面来到“我的空间”

点击评论的时候

这里触发了xss

这里相当于是黑盒摸到的单既然是审计就要从代码来看重新回到评论的地方评论进行抓包看看请求的路径是什么先找到入口

然后回到idea搜索comment_submit

然后在这里打上断点

然后一步一步放

跟进submit

主要是看传进来的text的走向

到这里text的值都没有变化

然后来到最下面这里是save操作

这里也是直接进行存储说明存入的时候是没有进行过滤的那最开始没弹肯定就是输入的问题了因为摸到弹的情况

直接根据弹的情况来分析为什么回弹先找到弹的页面的代码因为路径有一个space 所以搜索space

打上断点进行调试

这里最后返回了一个模板

发现这个是一个html 搜索这个html

通过pom.xml

是freemarker模板

先搜搜这玩意是咋转义的

看到一个熟悉的

这个页面这里有填写这个但是最终还是弹了说明有漏网之鱼的页面

通过查找发现一个没有写这个的页面

搜索看看哪里用到了这俩

刚还这里的type=comment对应上之前访问时候的type

所以访问这个页面的时候能触发xss payload没有进行任何过滤这个页面也没有进行转义

SSRF

在审计ssrf的时候一般都是搜索关键函数

URL.openConnection()
URL.openStream()
HttpClient.execute()
HttpClient.executeMethod()
HttpURLConnection.connect()
HttpURLConnection.getInputStream()
HttpServletRequest()
BasicHttpEntityEnclosingRequest()
DefaultBHttpClientConnection()
BasicHttpRequest()

第一处

直接在idea里面搜索

然后一个一个点进去分析

找到这里

会进行连接然后我们往上分析这个src的来源

发现这里是从请求中获取source[]参数来的说明这个是我们所能控制的

在往上看根据函数名能够大概猜出是编辑器图片相关的函数

看看哪里调用了这个函数

在uploadcontroller下继续跟进ueditorCatchImage函数看看那里调用

发现在同一页的66行找到也找到这个路由是在ueditor.do下

最上面controller 是core

所以路径是/core/ueditor.do?action=catchimage

进行测试

但因为是在back下所以是一个后台的洞

通过后面的代码可以看到似乎是对一个图片的操作直接就进行断点看看这里是到底执行了什么

测试：

传入了一个jpg地址但这个地址是不存在的来到断点的地方

这里获取到source的值存入数组

这里获得后缀

这里判断请求的是不是图片因为我们传入的是不存在也就不是到这里也就直接结束了在此输入一个存在的链接

跟到这里是重新设置文件名

然后读取输入流

然后跟进这里创建文件对象

然后这里直接保存文件中间也没有任何过滤操作就判断了是不是图片然后就保存了文件

相当于这里就是一个进行图片请求然后保存到本地的操作

那么这里是不是可以进行svg的xss呢尝试一些

测试：

先创建一个svg xss

第二处

继续搜索ssrf的关键函数HttpClient.execute()

然后查看哪里调用了这个函数

继续跟进

发现在这里进行的调用以及url的传入而且这个url是可控的

往上找到控制层

最后拼接进行测试

http://192.168.1.2:8080/cmscp/ext/collect/fetch_url.do?url=http://127.0.0.1:8080

直接能访问到服务

最后在页面找到位置

RCE

第一处

在逛后台的时候发现上传的地方

可以任意上传东西但是直接jsp这些传上去访问直接下载无法利用但是在上传zip的时候会自动解压这就有意思了于是乎先抓包抓到路由然后全局搜索

然后跟进来

这里调用了这个zipupload 继续跟进

经过简单代码跟进发现这一步才开始对参数进行利用

经过初步判断这个函数的作用是将zip里面的文件取出来然后存入到文件夹里面具体是不是利用断点来进行详细的分析

这里是将传进来的文件先写入了临时文件然后将临时文件和一个路径传入到zip函数

继续跟进

先判断传入的路径是不是文件夹不是就直接报错

然后看下面定义了一些相关变量

这里创建了一个zipfile文件对象目标正式传入的zip文件的临时存储文件

这一步一个就是获取了文件的相关信息

然后走到这一步就直接将文件写入到文件里面其中也没有任何的过滤所以我们哪怕是文件里面放入jsp一句话也可以

先试试

jsp文件访问不到发现在uploads前面竟然多了一个/jsp 其他类型文件直接下载但是文件又确实存在那说明肯定是拦截器之类的

经过搜索找到这里在这里打上断点

访问之后确实是走到这里来了所以直接jsp文件无法利用

那么这里既然存入文件的过程没有什么过滤直接利用跨目录的方式写一个war包到但是这里前提得用tomcat搭建因为我之前直接用的springboot的重新切换到tomcat

jspxcms安装包(部署到Tomcat)：https://www.ujcms.com/uploads/jspxcms-9.0.0-release.zip

也是有安装手册的

根据手册把配置文件改了然后启动tomcat

然后来到上传的地方

先准备恶意的zip包

把一句话打包成war包

然后把war包压缩这里得用到脚本来

import zipfile

file = zipfile.ZipFile('shell.zip','w',zipfile.ZIP_DEFLATED)

with open('test.war','rb') as f:
  data = f.read()
   
file.writestr('../../../test.war',data)
file.close()