渗透怎么入门（【渗透实战系列】|51-某后台管理系统的审计）

php菜鸟教程下载

目录0x01 框架结构0x02 Admin.php 任意修改管理员用户名及密码 SQL注入0x03 Index.php 用户留言处存储型XSS0x04 Controller.php 源码任意增删改查数据表内容

任意文件上传0x05 一些XSS 结语‍0x01 框架结构

采用thinkphp5作为框架，版本为5.0.2，默认开启debug模式，数据库默认使用PDO连接打了补丁，修复了RCE源码通用漏洞

如图，增加了白名单，不能任意调用其他方法进行利用0x02 Admin.php任意修改管理员用户名及密码漏洞点：admin/controller/Admin.php

_initialize()方法源码：在任何方法执行之前，都要执行此方法，包括_construct构造函数。跟进一下父类的_initialize()方法

方法为空，无语住了所以该方法相当于只获取了Session而没有进行判断，可以未授权调源码用管理员方法接下来跟进一下doUpdate方法

可以看到$user_id和$data[username]都是通过用户输入获取而没有使用Session，字段都可控，并且存在sql注入POC:

SQL注入还是源码doUpdate方法

重点看这一条：$is_have = Db::name(admin)->where("id != $user_id AND username = ".$data[username].源码"")->value(id);

该sql语句直接将字符串进行拼接而没有使用PDO绑定，并且$user_id也没有用引号包裹看下input方法

作用是从某个指定的来源中获取数据，但默认过滤器为空

回到之前，$源码user_id和$data[username]获取数据时都没有使用过滤器，所以两个字段都是注入点POC:懒得手注了，直接sqlmap一把梭

0x03 Index.php 用户留言处存储型XSS漏洞点：a源码pi/Index.php

可以看到$data没有进行过滤，也没有限制列名，但下面会将一些特定字段进行覆盖

可控的有id、username、telephone、acreage字段，但真正可利用的只有user源码name和acreagePOC:

0x04 Controller.php任意增删改查数据表内容漏洞点：admin/controller/Admin.phpadmin/traits/controller/源码Controller.php

根据上文已经了解到Admin.php未进行鉴权，并且引入了一个公共控制器Controller.php，我们来跟进一下先看下index方法

首先用$controller = $源码this->request->controller()获取当前请求的控制器名称，然后通过$m = model($controller)返回模型对象后续的数据库操作是以模型对象来进行的，而数据库的表名默源码认是模型名，所以这两行代码可以理解为由哪个控制器调用就操作与哪个控制器同名的表。

跟进下search方法

作用相当于将$param里的数组添加到where[map]；所以get请求不要添加参数，让$par源码am置空，返回全部数据

接下来看edit方法

同样的没有任何限制，跟进下isAjax方法

可以看到只要var_ajax的伪装变量在参数中存在，就返回truevar_ajax的默认伪装名为_ajax

所以只要在源码POST请求中添加参数_ajax=1就能进入判断继续

allowField用于检验请求的列名是否存在

如果不是Ajax请求，则将id作为筛选条件，返回查询数据配合上文的index方法获取的id，即可进行修源码改和查询POC:查询：

修改：

增加和删除的代码和上面的几乎一样，所以就不分析了增加：

删除：

任意文件上传

可以看到什么过滤都没，还贴心的返回路径给你POC:

0x05 一些XSS上文已知只要控制器没做好鉴权，源码就可以调用Controller.php里的方法；我们可以利用这点，添加带有XSS的文本到数据库里首先看下Base控制器

代码很简单，但也能做到基本的鉴权接下来看Page.php控制器

把父类继承的鉴权方法源码重写置空，不知道作者为什么要这样写，跟故意留个后门一样其他控制器如Product.php、Service.php、Xcxaccount.php都像Page.php一样无效鉴权，这里只挑两个进行演示

PO源码C：

结语这个cms审起来比较轻松，漏洞都比较简单且典型，属于有手就行系列。第一次写审计类的文章，没办法做到详略得当，还请各位师傅多多包涵。

请备注：进群

关注公众号回复“电子书”获取web渗透、CTF电子源码书:回复“视频教程”获取渗透测试视频教程;  回复“内网书籍”获取内网学习书籍;        回复“CTF工具”获取渗透、CTF全套工具;回复“内网渗透

”；获取内网渗透资料;回复“护网”；获取护网学源码习资料 ;回复“python”,获取python视频教程；回复“java”，获取Java视频教程;回复“go”，获取go视频教程知识星球

【Hacking藏经阁】知识星球致力于分享技术和认知1、技术方面源码主攻渗透测试（web和内网）、CTF比赛、逆向、护网行动等；400G渗透教学视频、80多本安全类电子书、50个渗透靶场（资料主要来自本人总结、以及学习过程中购买的课程）。

2、认知方面。副业经营、人设I源码P打造，具体点公众号运营、抖*yin等自媒体运营（目前主要在运营两个平台4个号）。如果你也想像我一样，不想35岁以后被动的去面试，那么加入星球我们一起成长。

渗透实战系列▶【渗透实战系列】51|- Lo源码g4j打点后与管理员斗智斗勇▶【渗透实战系列】49|-实战某高校的一次挖矿病毒的应急处置▶【渗透实战系列】|48-一次内网渗透▶【渗透实战系列】|47-记一次对某鱼骗子卖家的溯源

▶【渗透实战系列】|4源码6-渗透测试：从Web到内网▶【渗透实战系列】|45-记一次渗透实战-代码审计到getshell▶【渗透实战系列】|44-记一次授权渗透实战（过程曲折，Java getshell）

▶【渗透实战系列】|源码43-某次通用型漏洞挖掘思路分享▶【渗透实战系列】|42-防范诈骗，记一次帮助粉丝渗透黑入某盘诈骗的实战▶【渗透实战系列】|41-记一次色*情app渗透测试▶【渗透实战系列】|40-APP渗透测试步骤源码（环境、代理、抓包挖洞）

▶【渗透实战系列】|39-BC渗透的常见切入点（总结）▶【渗透实战系列】|38-对某色情直播渗透▶【渗透实战系列】|37-6年级小学生把学校的网站给搞了！▶【渗透实战系列】|3源码6-一次bc推广渗透实战▶

【渗透实战系列】|35-旁站信息泄露的dedecms站点渗透▶【渗透实战系列】|34-如何用渗透思路分析网贷诈骗链▶【渗透实战系列】|33-App渗透 ,由sql注入、绕过人源码脸识别、成功登录APP▶【渗透实战系列】|32-FOFA寻找漏洞，绕过杀软拿下目标站

▶【渗透实战系列】|31-记一次对学校的渗透测试▶【渗透实战系列】|30-从SQL注入渗透内网（渗透的本质就是信息搜源码集）▶【渗透实战系列】|29-实战|对某勒索APP的Getshell▶【渗透实战系列】|28-我是如何拿下BC站的服务器

▶【渗透实战系列】|27-对钓鱼诈骗网站的渗透测试（成功获取管理员真实IP）▶【源码渗透实战系列】|26一记某cms审计过程(步骤详细)▶【渗透实战系列】|25一次从 APP 逆向到 Getshell 的过程

▶【渗透实战系列】|24-针对CMS的SQL注入漏洞的代码审计思路和方法▶【源码渗透实战系列】|23-某菠菜网站渗透实战▶【渗透实战系列】|22-渗透系列之打击彩票站▶【渗透实战系列】|21一次理财杀猪盘渗透测试案例

▶【渗透实战系列】|20-渗透直播网站▶【渗透实战系列】|19-源码杀猪盘渗透测试▶【渗透实战系列】|18-手动拿学校站点 得到上万人的信息（漏洞已提交）▶【渗透实战系列】|17-巧用fofa对目标网站进行getshell

▶【渗透实战系列】|16-裸聊APP渗透测试▶源码【渗透实战系列】|15-博彩网站（APP）渗透的常见切入点▶【渗透实战系列】|14-对诈骗（杀猪盘）网站的渗透测试▶【渗透实战系列】|13-waf绕过拿下赌博网站

▶【渗透实战系列】|12 -渗透实战，源码 被骗4000花呗背后的骗局▶【渗透实战系列】|11 - 赌博站人人得而诛之▶【渗透实战系列】|10 - 记某色X商城支付逻辑漏洞的白嫖（修改价格提交订单）▶【渗透实战系列】|9-对境外网站开展的一次源码web渗透测试（非常详细，适合打战练手）

▶【渗透实战系列】|8-记一次渗透测试从XSS到Getshell过程（详细到无语）▶【渗透实战系列】|7-记一次理财杀猪盘渗透测试案例▶【渗透实战系列】|6- 源码BC杀猪盘渗透一条龙▶【渗透实战系列】|5-记一次内衣网站渗透测试

▶【渗透实战系列】|4-看我如何拿下BC站的服务器▶【渗透实战系列】|3-一次简单的渗透▶【渗透实战系列】|2-记一次后门爆破到提权实源码战案例▶【渗透实战系列】|1一次对跨境赌博类APP的渗透实战（getshell并获得全部数据）

长按-识别-关注

Hacking黑白红一个专注信息安全技术的学习平台

点分享

点收藏

点点赞

点在看

亲爱的读者们，感源码谢您花时间阅读本文。如果您对本文有任何疑问或建议，请随时联系我。我非常乐意与您交流。