稻草人企业站DCRCMS代码审计

零基础学黑客，搜索公众号：白帽子左一

CMS环境搭建

简介
DCRCMS是一个国产开源简单小巧的免费企业级CMS，基于PHP+Sqlite/MySql。

下载
直接官网（http://www.dcrcms.com/）下载即可

安装
企业站安装环境说明：

1、php+mysql版：php>=5 mysql>=5
2、 php+sqlite版：php>=5 sqlite>=3

请将下载的程序用flashfxp等上传工具上传到空间后(说明:如果使用用SQLITE版 网站目录路径有中文,可能对sqlite的支持不行.个人建议把网站放到英文路径目录中)

使用http://域名/install/index.php来进行安装就OK了…
说明：Mysql版本请在安装程序前 确定您的数据库(如本例是test_company)是否已经建立：

数据库前缀请尽量用常用字，比如用#号会造成错误 test#test 这样的前缀会造成错误 如果页面出现,Safe Alert: Request Error step 2! 你可以试试换过个数据库前缀
注意，上传尽量用二进制上传方式,FlashFxp中设置二进制上传的方法
上传完后 为了安全，请将install目录删除

代码审计

信息泄露

可以直接访问数据库文件内容

重安装漏洞
由于安装文件一般是漏洞的重灾地，于是这里直接跳到了安装文件，果然找到了漏洞点。
在installaction.php中，安装完成后会把前端文件重命名，但是后端逻辑文件依旧存在，所以如果知道安装文件位置即可重安装。

这里只重命名了前端文件

而且在文件280行，存在写文件操作，文件名为php且文件内容可控

由于文件内容可控，我们可以通过tablepre传参来写入一个恶意php文件
dcr_qy‘;?><?php phpinfo()?>

由于写入的是配置文件，所以访问站点任意文件都会包含此文件，所以还可以当后门来用。

这样就成功了。

sql注入漏洞

在install_action.php中还存在sql注入

对传参没有任何控制，很明显的注入。

任意文件删除漏洞!


全局搜索unlink函数的使用

第一处：在fmanage_action.php中提供了文件删除功能，但是未对文件路径做过滤，于是可以删除任意文件

这个cms把所有url变量注册为了全局变量，于是只需访问action=del_file&cpath=…/…/…/…/…/…/…/1.txt即可删除任意文件
第二处：cls_dir类中也存在一个任意文件删除漏洞

cache_clear.php引用了这个类

同理，通过控制url参数tpl_dir即可任意文件删除。