当前位置：首页 > article >正文

第26天安全开发-PHP应用模板引用Smarty渲染MVC模型数据联动RCE安全

article 2024/11/14 16:26:57

时间轴：

演示案例

新闻列表&模板引用-代码RCE安全

知识点

1、PHP 新闻显示-数据库操作读取显示

2、PHP 模版引用-自写模版&Smarty 渲染

3、PHP 模版安全-RCE 代码执行&三方漏洞

新闻列表

1.数据库创建新闻存储

2.代码连接数据库读取

3.页面进行自定义显示

navicat新建表：news

下面勾选自动递增：

名	类型	长度	是否是null	键
id	int	10	不是null	1
title	varchar	255	不是null
author	varchar	255	不是null
content	text		不是null
image	varchar	255	不是null

在表中自定义输入内容，效果如下图所示

（图片可以自己找，保存在对应路径就行了）

new.php

<?php
include 'config.php';

$id=$_GET['id'] ?? '1';
$sql="select * from new where id = $id";
$data=mysqli_query($con,$sql);
while ($row=mysqli_fetch_row($data)) {
    echo "<title>" . $row['1'] . "</title><br>";
    echo $row['2'] . "<br>";
    echo $row['3'] . "<br>";
    echo "<img src='$row[4]' width='1000' height='3000'></img><br>";
}

显示如下：

模板调用：

演示1：

在php中改变，从而影响html，导致页面得到改变。

php代码如下：

<?php
include 'config.php';
$template = file_get_contents('new.html'); //读取new.html
$id=$_GET['id'] ?? '1';
$sql="select * from new where id = $id";
$data=mysqli_query($con,$sql);
while ($row=mysqli_fetch_row($data)) {
    echo "<title>" . $row['1'] . "</title><br>";
    echo $row['2'] . "<br>";
    echo $row['3'] . "<br>";
    echo "<img src='$row[4]' width='1000' height='3000'></img><br>";
}
$template=str_replace('{title}',$row['1'],$template); //str_replace:替换(search,替换为，替换对象（位置））
eval('?>'.$template);   //尝试确保$template字符串以PHP结束标签结束

html代码如下：

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>{Title}</title>
</head>
<body>

</body>
</html>

演示2：

数据库编辑：

news.html

<!DOCTYPE html>
<html>
<head>
    <meta charset="UTF-8">
    <title>{page_title}</title>
    <style>
        /* 一些样式 */
        body {
            font-family: Arial, sans-serif;
            margin: 0;
            padding: 0;
        }
        header {
            background-color: #4CAF50;
            color: white;
            text-align: center;
            padding: 20px;
        }
        nav {
            background-color: #f2f2f2;
            display: flex;
            justify-content: space-between;
            padding: 10px;
        }
        nav a {
            color: black;
            text-decoration: none;
            padding: 10px;
            border-radius: 5px;
            transition: background-color 0.3s ease;
        }
        nav a:hover {
            background-color: #4CAF50;
            color: white;
        }
        .container {
            max-width: 1200px;
            margin: 0 auto;
            padding: 20px;
        }
        h1 {
            font-size: 36px;
            font-weight: bold;
            margin-bottom: 20px;
        }
        p {
            font-size: 18px;
            line-height: 1.5;
            margin-bottom: 20px;
        }
        ul {
            margin-left: 20px;
            margin-bottom: 20px;
        }
        li {
            margin-bottom: 10px;
        }
    </style>
</head>
<body>
<header>
    <h1>{heading}</h1>
</header>
<nav>
    <a href="#">首页</a>
    <a href="#">新闻</a>
    <a href="#">留言</a>
    <a href="#">关于</a>
</nav>
<div class="container">
    <h1>{subheading}</h1>
    <p>{content}</p>

    <img src="{$item}" width="1000" height="3000"></img>

</div>
</body>
</html>

news.php

<?php
include 'config.php';
$template = file_get_contents('new.html'); //读取new.html
$id=$_GET['id'] ?? '1';
$sql="select * from news where id = $id";
$data=mysqli_query($con,$sql);
while ($row=mysqli_fetch_row($data)) {
    $page_title=$row['1'];
    $heading=$row['2'];
    $subheading=$row['3'];
    $content=$row['4'];
    $item=$row['5'];
    //echo $page_title;
}

//echo "$page_title<br>$page_title";


$template=str_replace('{page_title}',$page_title,$template);
$template=str_replace('{heading}',$heading,$template);
$template=str_replace('{subheading}',$subheading,$template);
$template=str_replace('{content}',$content,$template);
$template=str_replace('{$item}',$item,$template);//str_replace:替换(search,替换为，替换对象（位置））
eval('?>'.$template);   //尝试确保$template字符串以PHP结束标签结束

效果演示：

总结：

使用模板可以减少每个页面都写html，且在php中改就可以影响html从而决定页面。

对于MVC模型：（v——>video视图）

使用模板保证了

1.效率 2.美观度

z-blog模板：

全局搜索：Powered By进行修改，找到WhitePage —>footer.php

效果演示：

总结：

找到首页文件可以在WhitePage中修改，其他首页内容和其也有关。

安全漏洞：

1.在数据库后台加上<?php phpinfo();?>(数据库中）

2.在new.html代码中加入<?php phpinfo();>后

使用new.php，会让new.php渲染new.html，会执行new.html中的php代码。

(所以当得到模板后加以修改，可以在后台执行）

#Smarty 模版引用

下载： https://github.com/smarty-php/smarty/releases

使用：

1、在phpstorm用文件夹创建一个文件夹，命名为 smarty-demo。(注意级别）

2、拉入demo项目

3、创建一个index.php，将代码复制进去。

4、将目录与代码中对应上

4.1—>新建一个index.tpl

4.2—>在里面写入html代码与index.php里的对应

5.在第三方模板index.tpl写上<?php phpinfo();?>不会显示

index.php:

（目录位置要和代码对应上）

<?php
// 引入 Smarty 类文件
require('smarty/libs/Smarty.class.php');
// 创建 Smarty 实例
$smarty = new Smarty;
// 设置 Smarty 相关属性
$smarty->template_dir = 'smarty/templates/';    //smarty目录和此smarty对应上
$smarty->compile_dir = 'smarty/templates_c/';
$smarty->cache_dir = 'smarty/cache/';
$smarty->config_dir = 'smarty/configs/';
// 赋值变量到模板中
$smarty->assign('title', '欢迎使用 Smarddddty');   //title和index.tql里的$title对应上
// 显示模板
$smarty->display('index.tpl');  
?>

在smarty中创建templates：

在templates下创建index.tpl

在index.tpl中放入html代码。

效果显示：打开index.php，在index.tpl写上<?php phpinfo();?>(不会显示）

安全漏洞：

CVE-2021-29454:

smarty<=3.1.32

将代码放入index1.tpl：（其他步骤一样）

index1.tpl：

<?php

define('SMARTY_ROOT_DIR', str_replace('\\', '/', __DIR__));

define('SMARTY_COMPILE_DIR', SMARTY_ROOT_DIR.'/smarty3/templates_c');

define('SMARTY_CACHE_DIR', SMARTY_ROOT_DIR.'/smarty3/cache');

include_once(SMARTY_ROOT_DIR . '/smarty3/libs/Smarty.class.php');

class testSmarty extends Smarty_Resource_Custom
{
    protected function fetch($name, &$source, &$mtime)
    {
        $template = "CVE-2017-1000480 smarty PHP code injection";
        $source = $template;
        $mtime = time();
    }
}

$smarty = new Smarty();
$smarty->setCacheDir(SMARTY_CACHE_DIR);
$smarty->setCompileDir(SMARTY_COMPILE_DIR);
$smarty->registerResource('test', new testSmarty);
$smarty->display('test:'.$_GET['x']);
?>

效果展示：（以x传参，x*/phpinfo();//）