专栏名称: 狐狸说安全
隶属于One-Fox安全团队旗下 致力于红蓝对抗，WEB安全渗透测试，内网渗透，钓鱼社工，定期分享原创工具与分享他人常用开源安全工具和教程等前沿网络安全资源。
目录
相关文章推荐
专注业绩潜伏  ·  第一家券商业绩超预期(1.6) ·  7 小时前  
专注业绩潜伏  ·  第一家券商业绩超预期(1.6) ·  7 小时前  
macrozheng  ·  换掉Kibana！一款轻量级的Elastic ... ·  14 小时前  
macrozheng  ·  换掉Kibana！一款轻量级的Elastic ... ·  14 小时前  
台州交通广播  ·  这几种充电方法，手机坏得快！ ·  2 天前  
台州交通广播  ·  这几种充电方法，手机坏得快！ ·  2 天前  
春江潮起  ·  江苏大学：已报案！ ·  2 天前  
春江潮起  ·  江苏大学：已报案！ ·  2 天前  
昌吉日报  ·  地球发生特大磁暴！ ·  4 天前  
昌吉日报  ·  地球发生特大磁暴！ ·  4 天前  
51好读  ›  专栏  ›  狐狸说安全

0Day-OURPHP建站系统存在未授权访问漏洞

狐狸说安全  · 公众号  · 互联网安全  · 2025-01-03 08:54

主要观点总结

本文是关于一个开源CMS建站系统OurPHP的安全漏洞报告，详细介绍了发现的过程和细节。

关键观点总结

关键观点1: 概述OurPHP系统

OurPHP是一款开源的CMS万能建站系统，支持多种功能如企业建站、多商城、商城分销、AI创作、小程序和世界语言外贸建站。

关键观点2: 漏洞发现过程

通过特定的操作如点击上传附件然后抓包，发现OurPHP系统存在未授权访问的漏洞。代码中并未发现调用cookie和session进行校验的函数，可以直接访问某些URL读取或下载文件。

关键观点3: 漏洞细节

漏洞的具体表现为可以通过特定的URL访问到系统文件，如http://192.168.101.219/function/editor/php/file_manager_json.php?path=...。访问时需要确保URL末尾带有斜杠（/）。

关键观点4: POC脚本和圈子分享

漏洞的详细信息和批量POC脚本已经分享到内部圈子。

关键观点5: 免责声明

公众号狐狸说安全对使用该信息所造成的任何直接或间接的后果及损失不承担任何责任，并提醒用户自行承担后果，如有侵权会立即删除并致歉。


正文

免责声明
由于传播、利用本公众号狐狸说安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号狐狸说安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉，谢谢！

0x01 概述

OurPHP 是一款100%开源的CMS万能建站系统。

支持企业建站+多商城+商城分销+AI创作+小程序+世界语言外贸建站的CMS万能建站系统。

0x02 正文

FOFA指纹：body="OURPHP"
鹰图指纹：web.body="OURPHP"

复现过程：
点击备忘录的地方

点击上传附件然后点击文件空间的地方抓包

会列出uploadfile文件夹下的目录以及文件
删除cookie进行操作

发现还是可以访问到，转到代码进行查看

可见从头到尾并未发现调用cookie和session进行校验的函数，所以可以直接未授权访问

http://192.168.101.219/function/editor/php/file_manager_json.php?path=20241126/&order=NAME&dir=file
因为代码中检测了末尾必须是/结尾，所以我们拼接访问的时候要加/才可以

可直接读取当前路径下所有的目录以及文件，均可任意查看以及下载操作
最终POC：
/function/editor/php/file_manager_json.php?path=/&order=NAME&dir=file

0x03结尾

此漏洞详情已上传圈子，批量POC脚本也已上传至圈子

0x04内部圈子

推荐文章
专注业绩潜伏  ·  第一家券商业绩超预期(1.6)
7 小时前
专注业绩潜伏  ·  第一家券商业绩超预期(1.6)
7 小时前
macrozheng  ·  换掉Kibana！一款轻量级的Elasticsearch可视化管理工具，太香了！
14 小时前
macrozheng  ·  换掉Kibana！一款轻量级的Elasticsearch可视化管理工具，太香了！
14 小时前
台州交通广播  ·  这几种充电方法，手机坏得快！
2 天前
台州交通广播  ·  这几种充电方法，手机坏得快！
2 天前
春江潮起  ·  江苏大学：已报案！
2 天前
春江潮起  ·  江苏大学：已报案！
2 天前
昌吉日报  ·  地球发生特大磁暴！
4 天前
昌吉日报  ·  地球发生特大磁暴！
4 天前
微路况  ·  高速遇见狗，是撞？还是躲？90%都会做错！
8 年前
腾讯数码  ·  iPad原装充电器搞事情啊，给iPhone充个电竟然炸机了！
7 年前
热门精选  ·  【晚报】抵制萨德，抵制乐天，网友们很忙
7 年前
TechWeb  ·  中国和美国谁会最先普及无人驾驶？答案有点出人意料
7 年前
包容万象  ·  一对双胞胎美女，一个在中国长大，一个在美国长大，结果…
7 年前
Sov5搜索   ·   小百科   ·   移动版
51好读 - 好文章就要读起来!