【代码审计】TuziCMS_v3.0_任意文件删除漏洞分析

原创

Bypass007 2023-05-22 10:39:11 博主文章分类：【PHP 代码审计】 ©著作权

文章标签 php sql Database 文章分类 Python 后端开发

©著作权归作者所有：来自51CTO博客作者Bypass007的原创作品，请联系作者获取转载授权，否则将追究法律责任

0x00 环境准备

TuziCMS官网：http://www.tuzicms.com/

网站源码版本：TuziCMS_v3.0_20161220

程序源码下载：http://www.tuzicms.com/index.php/download

测试网站首页：

【代码审计】TuziCMS_v3.0_任意文件删除漏洞分析_Database

0x01 代码分析

1、漏洞文件位置：

\tuzicms\App\Manage\Controller\DatabaseController.class.php 第284-314行：

（由于部分TuziCMS 采用zend解密，可使用如下在线工具进行代码还原。

php混淆加密在线还原：http://dezend.qiling.org/free/）

1. public function delSqlFiles()  
2. {  
3.     $id = $_SESSION["id"];  
4.     $m = manage\controller\d("Admin");  
5.     $arr = $m->find($id);  
6.     $arr = $arr["admin_type"];  
7.   
8.     if ($arr == 1) {  
9.         $this->error("你不是超级管理员，没有限权！");  
10. 10.     }  
11. 11.   
12. 12.     $id = manage\controller\i("id", 0, "intval");  
13. 13.     $batchFlag = manage\controller\i("get.batchFlag", 0, "intval");  
14. 14.   
15. 15.     if ($batchFlag) {  
16. 16.         $files = manage\controller\i("key", array());  
17. 17.     }  
18. 18.     else {  
19. 19.         $files[] = manage\controller\i("sqlfilename", "");  
20. 20.     }  
21. 21.   
22. 22.     if (empty($files)) {  
23. 23.         $this->error("请选择要删除的sql文件");  
24. 24.     }  
25. 25.   
26. 26.     foreach ($files as $file ) {  
27. 27.         manage\controller\unlink($this->getDbPath() . "/" . $file);  
28. 28.     }  
29. 29.   
30. 30.     $this->success("已删除：" . manage\controller\implode(",", $files), manage\controller\u("Database/restore"));  
31. }

这段删除文件的函数中，首先进行权限判断，接着将获取到sqlfilename参数带入unlink函数中进行删除操作，可以看到参数并未进行任何过滤或处理，导致程序在实现上存在任意文件删除漏洞，攻击者可通过该漏洞删除任意文件，如删除install.lck进行CMS重装，劫持网站数据库。