tianticms代码审计——伊拉克版本

tianticms代码审计——伊拉克版本
正所谓伊拉克版本必有缺陷
缺陷

前台环境没有搭建好，但前台没啥功能点

环境搭建
使用maven阿里源进行打包即可，全文搜索jdbc修改三处配置文件下的数据库连接，数据库文件在

tianti-modules/tianti-module-admin/src/main/webapp/scripts/tianti_stage.sql

我设置admin.war在admin路径下，getway为空不成功，所以这里仅测试后台功能，伊拉克版本见谅（前台也只是静态界面）

代码审计
组件漏洞
查看pom.xml
发现组件

log4j 1.2.17 可能存在漏洞 CVE-2019-17571  但需要SimpleSocketServer 开启端口
fastjson 1.2.20 可能存在反序列化漏洞
shiro 1.3.2 可能存在命令执行漏洞
hibernate 可能存在hql注入

验证 log4j1.2.17 CVE-2019-17571
使用全文搜索没有发现使用SimpleSocketServer开启端口，无法利用

fastjson
查找序列化方法parseObject,木有，利用不了

shiro反序列化查找key在shiro配置文件
在这里插入图片描述
使用shiro综合利用工具，使用该key进行爆破利用链，找到利用链并且可以成功执行，漏洞存在

hibernate组件
全文查找select,发现基本上都采用了预编译写法，也就是

where username = :username

无法利用，有两个存在漏洞的写法分别为

public int getCount(String sql){String sqlCount="select count(0) count_num from ("+sql+") as total";List<Map<String, Object>> list = this.querySqlObjects(sqlCount);if(list.size() > 0){int countNum=((BigInteger) list.get(0).get("count_num")).intValue();return countNum;}else{return 0;}
}

public List<User> findUserListByRoleCondition(String roleId,String name){String hql="select urr.user from UserRoleRel urr where 1=1 ";if(roleId != null){hql+=" and urr.role.id = "+roleId;}if(StringUtils.isNotBlank(name)){hql+=" and urr.user.realName like '%"+name+"%' ";}return this.queryForList(hql);
}