黑盒审计

1.登录处验证码没有刷新，并且密码没有经过加密，可以爆破密码

2.注册处暴露了用户已注册，可以爆破账号

1与2结合起来就可以爆破出管理员密码

邮箱中存在xss

1、& （和号）成为 &

2、” （双引号）成为 ”

3、’ （单引号）成为 ‘

4、< （小于）成为 < > （大于）成为 >

地址处有htmlspecialchars() 绕过

注册的邮箱可以是绕过，注册邮箱没有检查后面的内容，可以进行xss

登录的时候密码注入可直接忽略账号并且可以注入就因为过滤了一个单引号

在评论的地方存在一个http头xff注入

bluecms存在一个文件包含，其他的地方没看

白盒审计

 if(!get_magic_quotes_gpc())
 {
 	$_POST = install_deep_addslashes($_POST);
 	$_GET = install_deep_addslashes($_GET);
 	$_COOKIES = install_deep_addslashes($_COOKIES);
 	$_REQUEST = install_deep_addslashes($_REQUEST);
 }

2.可能存在php %00截断

  if(PHP_VERSION > '5.1')
 {
 	date_default_timezone_set($timezone);
 }

3.数据库配置

define('BLUE_CHARSET','gb2312'); 不存在宽字节注入

4.重复安装install

if(file_exists(BLUE_ROOT.'data/install.lock')){
	install_showmsg('您已经安装过本系统，如果想重新安装，请删除data目录下install.lock文件', '../index.php');
}

如果这个地方最后一句加die()就可以避免了

5.ad_js.php存在注入

 $ad_id = !empty($_GET['ad_id']) ? trim($_GET['ad_id']) : '';
if(empty($ad_id))
{
	echo 'Error!';
	exit();
}
$ad = $db->getone("SELECT * FROM ".table('ad')." WHERE ad_id =".$ad_id);
如果getone没有限制，那么就存在sql注入
function getone($sql, $type=MYSQL_ASSOC){
    	$query = $this->query($sql,$this->linkid);
    	$row = mysql_fetch_array($query, $type);
    	return $row;
    }

可以看到getone函数就是对数据库进行一个筛选，并没有过滤操作就可以进行注入，可以先不使用单引号，先进行判断union oreder by
select 12345678进行判断数据库
等到
尝试16进制编码可以绕过

6.user.php注册&编辑个人资料产生xss

$user_name 		=	!empty($_POST['user_name']) ? trim($_POST['user_name']) : '';
	$pwd       		= 	!empty($_POST['pwd']) ? trim($_POST['pwd']) : '';
	$pwd1 	   		= 	!empty($_POST['pwd1']) ? trim($_POST['pwd1']) : '';
	$email     		= 	!empty($_POST['email']) ? trim($_POST['email']) : '';
	$safecode  		= 	!empty($_POST['safecode']) ? trim($_POST['safecode']) : '';
	$from = !empty($from) ? base64_decode($from) : 'user.php';
	if(strlen($user_name) < 4 || strlen($user_name) > 16){
		showmsg('用户名字符长度不符');
	}
	if(strlen($pwd) < 6){
		showmsg('密码不能少于6个字符');
	}
	if($pwd != $pwd1){
		showmsg('两次输入密码不一致');
	}
	if(strtolower($safecode) != strtolower($_SESSION['safecode'])){
		showmsg('验证码错误');
	}
	if($db->getone("SELECT * FROM ".table('user')." WHERE user_name='$user_name'")){
		showmsg('该用户名已存在');
	}
	if($db->getone("SELECT * FROM ".table('admin')." WHERE admin_name='$user_name'")){
		showmsg('该用户名已存在');
	}

只对邮箱进行了空格验证，所以标准xss，可以进行存储型xss，不需要绕过直接就可以进行xss打击

7.user.php产生万能密码登录

if($act == 'index_login'){
 	$user_name = !empty($_REQUEST['user_name']) ? trim($_REQUEST['user_name']) : '';
 	$pwd = !empty($_REQUEST['pwd']) ? trim($_REQUEST['pwd']) : '';
 	$remember = isset($_REQUEST['remember']) ? intval($_REQUEST['remember']) : 0;
 	if($user_name == ''){
 		showmsg('用户名不能为空');
 	}
 	if($pwd == ''){
 		showmsg('密码不能为空');
 	}
	$row = $db->getone("SELECT COUNT(*) AS num FROM ".table('admin')." WHERE admin_name='$user_name'");
	if($row['num'] == 1){
		showmsg('系统用户组不能从前台登录');
	}
	有一个login函数
	$w = login($user_name, $pwd);
	跟进login函数
	function login($user_name,$pwd){
 	global $db;
	$row = $db->getone("SELECT COUNT(*) AS num FROM ".table('user')." WHERE user_name='$user_name'");
	if($row['num']==0){
		$result = 0;
	}else{
		$sql = "SELECT COUNT(*) AS num FROM ".table('user')." WHERE user_name='$user_name' and pwd=md5('$pwd')";
 		$user_num = $db->getone($sql);
 		if($user_num['num']){
 			$result = 1;
 		}else $result = -1;
	}
 	return $result;
 }

可以看出如果user_name后面的值被过滤掉，密码也就无效了
可以尝试万能密码登录跑一波
%df’) or 1=1#
这个可以尝试去注入，sqlmap没有跑出来，可以尝试手工注入

8.评论的地方


 if($act == 'send')

{
	if(empty($id))
	{
 	
	 	return false;
 	}
 	$user_id = $_SESSION['user_id'] ? $_SESSION['user_id'] : 0;
 	$mood = intval($_POST['mood']);
 	$content = !empty($_POST['comment']) ? htmlspecialchars($_POST['comment']) : '';
 	$content = nl2br($content);
 	$type = intval($_POST['type']);
 	if(empty($content))
 	{
 		showmsg('评论内容不能为空');
 	}
 	if($_CFG['comment_is_check'] == 0)
 	{
 		$is_check = 1;
 	}
 	else
 	{
 		$is_check = 0;
 	}

 	$sql = "INSERT INTO ".table('comment')." (com_id, post_id, user_id, type, mood, content, pub_date, ip, is_check) 
 			VALUES ('', '$id', '$user_id', '$type', '$mood', '$content', '$timestamp', '".getip()."', '$is_check')";
 	$db->query($sql);
 	if($type == 1)
 	{
 		$db->query("UPDATE ".table('article')." SET comment = comment+1 WHERE id = ".$id);
 	}
 	elseif($type == 0)
 	{
 		$db->query("UPDATE ".table('post')." SET comment = comment+1 WHERE post_id = ".$id);
 	}
	if($_CFG['comment_is_check'] == 1)
	{
		showmsg('请稍候，您的评论正在审核当中...','comment.php?id='.$id.'&type='.$type);
	}
	else
	{
		showmsg('发布评论成功','comment.php?id='.$id.'&type='.$type);
	}
}

看到存在查询ip,而ip完全没有经过过滤，所以可以是xff注入

9.支付方式的时候存在一个include

if ($act == 'pay'){
 	include 'data/pay.cache.php';
 	$price = $_POST['price'];
 	$id = $_POST['id'];
 	$name = $_POST['name'];
 	if (empty($_POST['pay'])) {
 		showmsg('对不起，您没有选择支付方式');
 	}
 	include 'include/payment/'.$_POST['pay']."/index.php";
 }

发现只有include，没有其他东西，可以直接读取文件，写入文件

审计bluecms