[代码审计]SRCMS的两点小越权

0x00 简介

SRCMS是一个开源的企业安全应急响应中心，基于ThinkPHP 3.2框架开发。该系统在2017-09-09已经停止更新了，主要是在翻看p神博客文章时看到这个，随想自己再审一次。

p神在2016年1月审过之后，作者做了一次更新，修补完了漏洞，几点大问题算是解决了。

在我仔细审过之后，发现了两处小越权，算是不痛不痒的，这篇文章主要是为了对在p神文章学到的审计点进行检测加强与衍伸。

下面是我的思考过程记录。

0x01 前思

p神的文章写到了两个点。

一是作者对于链式字符串where条件的误用，是tp的特性导致。这个问题在于很多人在理解一个东西的时候，都会把自己的思想掺杂进去，想当然的认为是这样。没有经过测试就直接发布，最终就导致了意外的结果。

后面作者使用了数组的形式进行了修复。

[代码审计]SRCMS的两点小越权

二是thinkphp Model中设置的类型与实际执行的SQL类型不同导致，字段不限制，字段不验证，关键点在于主键字段是我们可以控制的。

其实这里的锅我感觉是要给tp背，毕竟create方法里面的判断是他们写的，开发者在使用的时候只是根据文档提供的函数来使用。

针对p神说的越权修改他人的联系方式这个点，作者的修复方式是取消使用D方法来create，而是直接使用M方法，从而避开了了使用自动完成可能带来的问题。

[代码审计]SRCMS的两点小越权

但仍有一些使用了D方法的，其修复方式是加上了验证字段，从而导致我们没办法控制主键的字段。

[代码审计]SRCMS的两点小越权

再看到tp的create方法

[代码审计]SRCMS的两点小越权

在还没有执行到autoOperation的时候进行了字段限制，从而避免了这个问题。

至于第三个问题是p神说的横向挖掘，提升权限的问题，而这个问题的本质和问题二一样，同样是thinkphp 自动完成，字段不限制，字段不验证导致的。（所以为两个点）

那么总结衍伸一下可以知道，在字段限制的情况下，使用了D()方法进行create()，主键字段如果是在受限字段内的话，同样是存在越权的问题。（问题二）

0x02 后觉

在总结和思考了p神的文章和漏洞原理之后，接着就开始想自己挖一下。

最终让我找到了两个小越权，分别是越权评论别人的漏洞报告，越权查看别人漏洞报告下的评论。

看到User下的PostController.class.php的view和comment方法：

public function view(){

        $rid = I('get.rid',0,'intval');

        $model = M("Post");

        $id = session('userId');

        $comment = M('comment')->where(array('post_id'=>$rid))->select();

        $post = $model->where(array('user_id'=>$id,'id'=>$rid))->find();

        $tmodel= M('setting');

        $title = $tmodel->where('id=1')->select();

        $this->assign('title', $title);

        $this->assign('model', $post);

        $this->assign('comment',$comment);

        $this->display();

    }

    public function comment()

    {

        if (!IS_POST) {

            $this->error("非法请求");

        }

        if (IS_POST) {

            $data = I();

            $data['update_time'] = time();

            $data['user_id'] = session('username');

            $model = M("Comment");

            if ($model->add($data)) { //评论处这里有没有问题？？

                    $this->success("评论成功", U('post/index'));

                } else {

                    $this->error("评论失败");

                }

        }

    }