1. 项目概述EmpireCMS漏洞的实战价值与安全警示最近在整理内部安全审计的案例库EmpireCMS这个老牌的内容管理系统又一次进入了我的视野。这可不是什么新鲜玩意儿很多中小型资讯站、企业门户站甚至一些政府机构的旧版网站后台跑的都是它。系统老用户基数却不小这就意味着一旦爆出漏洞影响面会非常广。我手头这个案例正是围绕EmpireCMS中一个典型的代码执行漏洞展开的。这种漏洞的危害性极高攻击者利用它可以直接在服务器上执行任意系统命令相当于拿到了网站服务器的“后门钥匙”数据泄露、服务器被控、沦为攻击跳板都是分分钟的事。这次分享的目的很明确不是教你怎么去“黑”站而是作为一名安全从业者带你彻底拆解这个漏洞的成因、利用条件以及完整的复现过程。只有亲自动手在可控的测试环境里走通整个攻击链你才能真正理解攻击者的思维路径也才能在日常的渗透测试、代码审计或安全运维中精准地识别和防御这类风险。无论是刚入行的安全工程师还是负责网站运维的开发者了解这些常见CMS的“历史病根”对于构建主动防御体系都至关重要。下面我们就抛开理论直接进入实战环节看看这个漏洞到底是怎么一回事。2. 漏洞原理深度剖析从参数传递到命令执行要理解一个漏洞光知道它能执行命令是不够的必须挖出它最根源的代码逻辑缺陷。EmpireCMS的这个代码执行漏洞核心问题出在对用户输入的数据过滤不严尤其是在文件包含和参数传递的环节。2.1 漏洞触发点与代码审计思路这个漏洞通常隐藏在后台管理或某些插件模块的文件中。攻击者通过构造特殊的HTTP请求将一个包含恶意代码的参数传递给某个特定的PHP文件。这个文件在处理参数时没有进行严格的类型检查或路径过滤直接将其用于文件包含如include()或require()函数或拼接进系统命令执行函数如system()、exec()、shell_exec()。举个例子假设存在一个文件admin/upload.php它从$_GET[‘file’]获取一个文件名并意图包含它。安全的代码应该检查file参数是否只包含预期的文件名并限制路径防止目录穿越。但存在漏洞的代码可能直接这样写include($_GET[‘file’] . ‘.php’);。如果攻击者传入file../../../etc/passwd%00在特定PHP版本下%00空字节会截断后面的.php从而可能包含到系统敏感文件。更危险的情况是如果参数被直接拼接到eval()或反引号执行命令中那就直接构成了代码执行。在审计EmpireCMS这类系统时我们的焦点会放在几个高风险函数上eval(),assert(),preg_replace()的/e修饰符已废弃但老代码可能有以及包含函数include,require与用户输入的结合点。同时要关注全局过滤机制是否被绕过。很多CMS会有一个全局的gpc函数过滤$_GET、$_POST、$_COOKIE但如果某处代码用了$_REQUEST或者直接读取$HTTP_RAW_POST_DATA就可能绕过这道防线。2.2 漏洞利用链的关键环节一次成功的漏洞利用很少是单点突破往往是一个链条。对于这个EmpireCMS漏洞典型的利用链可能如下信息收集攻击者首先确定网站使用EmpireCMS并通过爬虫或扫描器识别其具体版本。访问特定路径如/e/admin、/e/data等目录观察是否存在默认文件或特征。定位入口点根据已知的漏洞公告或自身审计经验找到存在缺陷的脚本文件。这个入口点可能是一个不需要强认证的公开接口也可能是一个后台功能点如果攻击者通过其他方式获得了后台权限或存在后台绕过。构造恶意载荷这是核心。攻击者需要精心构造传递给漏洞参数的数据。对于代码执行载荷可能是一段PHP代码例如?php system($_GET[‘cmd’]);?将其写入一个临时文件路径或通过参数直接注入。对于命令执行则直接拼接系统命令如; cat /etc/passwd或| whoami。绕过限制与执行系统可能有一些简单的过滤比如删除空格、过滤特定关键词。攻击者会使用编码、拼接、使用替代命令等方式绕过。例如用${IFS}代替空格用base64编码命令后再解码执行。建立持久化成功执行命令后攻击者通常不会满足于一次性的操作。他们会尝试上传一个功能完整的网页后门Webshell到服务器可访问的目录从而获得一个图形化或命令行的持久控制界面方便后续的渗透扩大。注意这里讨论的利用链仅用于安全研究学习在未获得明确授权的情况下对任何系统进行渗透测试都是非法且不道德的。所有实践必须在完全隔离的本地或授权测试环境中进行。3. 本地复现环境搭建与配置“纸上得来终觉浅绝知此事要躬行。” 安全研究尤其如此。为了在不触犯法律和道德的前提下深入理解漏洞搭建一个与真实环境近似的本地测试靶场是必不可少的步骤。3.1 环境组件选择与部署我们的目标是复现一个历史漏洞因此需要构建一个与之匹配的、存在漏洞的EmpireCMS版本运行环境。漏洞版本EmpireCMS源码获取首先需要找到存在特定代码执行漏洞的EmpireCMS版本。这通常可以通过安全漏洞平台如CNVD、CNNVD的公告信息确定版本号然后去官方网站的存档或开源镜像站下载对应的历史版本。务必注意永远不要在生产环境或连接互联网的服务器上安装存在已知高危漏洞的旧版软件。Web服务器与PHP环境我推荐使用集成的环境包如PHPStudy或XAMPP这对于快速搭建和切换不同PHP配置非常方便。EmpireCMS旧版本可能对PHP版本有要求例如需要PHP 5.2-5.6版本且需要开启特定的扩展如mysql注意不是mysqli、gd库等。在PHPStudy中你可以轻松切换PHP版本并管理扩展。数据库EmpireCMS通常使用MySQL。在集成环境中启动MySQL服务即可。记得记录数据库的root密码通常是root/root。部署步骤将下载的EmpireCMS源码解压到Web服务器的根目录如htdocs下的一个子文件夹例如empirecms。在浏览器中访问http://localhost/empirecms通常会进入安装向导。按照向导填写数据库连接信息主机localhost用户名root密码你的密码数据库名新建一个如empire_test。设置管理员账号和密码。这里强烈建议所有测试环境使用的密码都不要与你在互联网上任何地方使用的密码相同。完成安装后进入后台熟悉一下基本界面。3.2 复现前的关键安全隔离措施在开始“搞破坏”之前必须筑好“围墙”确保实验不会影响到其他系统。物理/网络隔离最好的方式是在一台不重要的物理机或一个完全独立的虚拟机VM中进行。虚拟机使用“仅主机Host-Only”网络模式确保虚拟机无法访问外网宿主机也无法通过虚拟机上网彻底隔绝。虚拟机快照在配置好干净的EmpireCMS环境后立即创建一个虚拟机快照命名为“纯净安装状态”。这样每次复现漏洞导致系统混乱或想尝试不同利用方式后都可以一键恢复到初始状态极大提升效率。宿主机的防护即使是在虚拟机中也要避免测试用的恶意代码误操作到宿主机。确保宿主机的杀毒软件或安全防护正常开启但可以考虑对测试目录添加排除项避免测试工具被误杀。工具准备准备好你的“武器库”。这包括浏览器Chrome或Firefox并安装开发者工具插件如HackBar用于方便地构造和发送Payload。代理工具Burp Suite Community版。它是拦截、修改和重放HTTP请求的瑞士军刀是漏洞复现和分析的必备工具。配置浏览器代理到Burp并安装Burp的CA证书以拦截HTTPS流量。命令行工具在测试机中确保curl、ncnetcat等网络工具可用方便快速测试。文本编辑器用于查看和审计PHP源码如VS Code或Sublime Text。4. 漏洞复现实操步骤详解环境就绪现在我们来扮演一次攻击者亲手触发这个漏洞。请注意以下操作基于一个假设的漏洞路径实际路径需根据具体的漏洞公告或审计结果调整。我们以“通过后台某处文件上传功能过滤不严导致写入可执行PHP文件”为例模拟一种常见的代码执行漏洞利用场景。4.1 信息收集与入口点探测首先我们需要摸清测试目标的情况。确认CMS与版本访问网站首页查看页面源代码通常在HTML注释、JS文件路径或Cookie中会包含“EmpireCMS”或“ECMS”字样。访问/e/admin、/e/install等目录看是否存在或是否有特征信息。有时/e/data/adminlogin.txt等文件也可能泄露版本。后台地址发现尝试常见后台路径如/e/admin、/admin.php、/empirecms/admin。使用弱口令如admin/admin尝试登录但更重要的目标是寻找无需登录或可绕过的功能点。使用扫描器辅助在授权测试中可以使用如AWVS、Nessus或开源的WPScan针对WordPress等漏洞扫描器但针对特定CMS手动审计结合工具更有效。我们可以用DirBuster或gobuster扫描目录寻找可能存在的敏感文件或备份文件如*.bak、/e/data/目录下的.php文件等。假设我们通过扫描或已知信息发现了一个疑似存在问题的后台脚本/e/admin/UploadFile.php。4.2 漏洞利用过程全记录我们假设这个UploadFile.php在处理上传时对文件扩展名的检查逻辑存在缺陷允许上传.php文件或者可以通过文件名拼接绕过。启动Burp Suite并配置代理打开Burp在Proxy - Options中确保代理监听正确如127.0.0.1:8080。浏览器配置代理指向该地址和端口。拦截上传请求在网站后台假设我们已通过其他低危漏洞或默认口令进入找到文件上传点。选择一张正常的图片文件如test.jpg点击上传同时Burp会拦截到这个POST请求。分析并修改请求在Burp的Proxy - Intercept标签页查看被拦截的请求。你会看到Content-Type: multipart/form-data以及filename”test.jpg”这样的字段。漏洞可能出现在这里直接修改扩展名将filename”test.jpg”改为filename”shell.php”。但系统可能会检查文件内容头Magic Bytes。双扩展名绕过改为filename”shell.php.jpg”。如果服务器仅检查最后一个扩展名而Apache等服务器可能根据mime.types或AddType配置将.php.jpg解析为PHP。空字节截断PHP5.3.4在旧版PHP中filename”shell.php\0.jpg”在Burp中需要将\0显示为十六进制00可能会被系统读取到空字节时截断最终保存为shell.php。注意这种利用方式对PHP版本有严格要求。修改Content-Type将Content-Type: image/jpeg也改为Content-Type: application/x-php配合文件名修改增加成功率。构造恶意Payload最关键的一步文件内容不能是真图片。我们需要在文件内容里写入PHP代码。一种简单的方式是使用图片马但更直接的是如果服务器不检查文件内容我们可以直接写入Webshell。例如文件内容为?php eval($_POST[‘cmd’]);?这是一个最简单的“一句话木马”它接收POST参数cmd的值并将其作为PHP代码执行。发送请求并观察响应关闭Burp的拦截让修改后的请求发送出去。观察服务器的响应。如果返回了文件路径如Upload success! Path: /e/data/ecmseditor/202502/shell.php那么恭喜你漏洞可能利用成功了。验证Webshell使用浏览器或curl访问上传的文件路径例如http://localhost/empirecms/e/data/ecmseditor/202502/shell.php。页面可能空白这正常。然后我们使用curl或中国蚁剑这类工具来连接它。使用curl验证curl -X POST http://localhost/empirecms/e/data/ecmseditor/202502/shell.php -d “cmdecho phpinfo();”如果页面返回了PHP信息说明代码执行成功。使用中国蚁剑连接在蚁剑中添加数据URL填写Webshell地址连接密码填写cmd对应我们一句话中的$_POST[‘cmd’]编码器通常选择default即无编码。连接成功后即可在图形化界面下执行命令、浏览文件、上传下载等。4.3 复现过程中的难点与技巧难点一上传点过滤严格。有些上传点不仅检查扩展名还会用getimagesize()函数检查文件是否为真实图片。这时可以制作图片马使用copy /b test.jpg shell.php new.jpgWindows或cat test.jpg shell.php new.jpgLinux命令将一句话木马追加到真实图片的末尾。这样文件既能通过图片检查又能被PHP解析如果服务器配置错误将.jpg解析为PHP。难点二路径不确定或不可访问。上传后的文件路径可能被重命名或存放在非Web目录下。需要仔细查看返回的响应信息或尝试目录遍历漏洞获取路径。有时需要结合文件包含漏洞来利用上传的文件。技巧使用Burp Repeater模块。在Intercept拦截到请求后可以右键发送到Repeater。在Repeater中你可以反复修改请求的每一个细节参数、头部、正文并观察响应无需在浏览器中重复操作极大提高测试效率。技巧日志与错误信息。复现时打开PHP的错误日志display_errors和log_errors在测试环境可以开启。当Payload执行失败时日志中可能会给出具体的错误信息如语法错误、函数被禁用等这是调整Payload的重要依据。5. 漏洞修复方案与安全加固建议复现漏洞是为了更好地修复它。对于EmpireCMS的这个漏洞修复需要从代码层面和运维层面双管齐下。5.1 代码层修复方案如果你是EmpireCMS的开发者或维护者应立即采取以下措施升级到最新官方版本这是最直接有效的方法。官方在后续版本中肯定会修复已公开的漏洞。请从EmpireCMS官方网站下载最新版本进行覆盖升级。升级前务必做好文件和数据库的完整备份。修补特定漏洞文件如果无法立即升级需要根据漏洞公告定位到具体有问题的文件例如我们假设的/e/admin/UploadFile.php进行手动修补。文件上传修复实施“白名单”机制只允许指定的安全扩展名如.jpg, .png, .gif。使用pathinfo($filename, PATHINFO_EXTENSION)获取扩展名并转为小写后检查。不要信任客户端传来的任何数据包括filename和Content-Type。对上传文件进行重命名如使用md5(uniqid()) . ‘.’ . $ext避免原始文件名带来的风险。将上传文件存储在Web根目录之外通过脚本动态访问。输入过滤与验证对所有用户输入进行严格的过滤和验证。使用htmlspecialchars()过滤输出使用intval()确保整型参数对于文件路径使用basename()和realpath()进行规范化并检查是否在允许的目录内。禁用危险函数在php.ini中将disable_functions设置为禁用eval(),assert(),system(),exec(),shell_exec(),passthru(),proc_open(),popen()等函数除非业务绝对需要。关闭危险特性在php.ini中设置allow_url_include Off防止远程文件包含。示例代码修补对比漏洞代码假设$savefile ‘./uploads/’ . $_FILES[‘file’][‘name’]; move_uploaded_file($_FILES[‘file’][‘tmp_name’], $savefile);修复后代码$allowed_ext array(‘jpg’, ‘jpeg’, ‘png’, ‘gif’); $file_ext strtolower(pathinfo($_FILES[‘file’][‘name’], PATHINFO_EXTENSION)); if (!in_array($file_ext, $allowed_ext)) { die(‘文件类型不允许’); } $new_filename md5(uniqid(microtime(true), true)) . ‘.’ . $file_ext; $save_path ‘/var/www/outside_webroot/uploads/’; // Web目录外的路径 $savefile $save_path . $new_filename; if (move_uploaded_file($_FILES[‘file’][‘tmp_name’], $savefile)) { // 将数据库中的文件路径存储为 $new_filename访问时通过安全脚本读取 echo ‘上传成功文件ID’ . $new_filename; } else { die(‘文件移动失败’); }5.2 系统与运维层加固即使代码修复了服务器环境的安全配置也至关重要。最小权限原则运行Web服务的系统用户如www-data, apache权限应尽可能低。确保其不能对Web目录以外的文件进行写操作甚至读操作也应受限。数据库用户不要使用root应为每个应用创建独立用户并只授予必要的权限。定期更新与补丁不仅更新CMS还要及时更新操作系统、Web服务器Apache/Nginx、PHP、MySQL等所有组件的安全补丁。配置安全PHP配置设置open_basedir限制PHP可访问的目录范围。设置display_errors Offlog_errors On将错误记录到日志而非显示给用户。Web服务器配置在Nginx中针对上传目录添加配置禁止执行PHPlocation ~* ^/uploads/.*\.(php|php5)$ { deny all; }。在Apache中可以使用.htaccessFilesMatch “\.(php|php5)$” Deny from all /FilesMatch。部署Web应用防火墙条件允许的话部署WAF如ModSecurity可以有效拦截大部分常见的Web攻击Payload如SQL注入、XSS、命令执行等。建立安全监控与审计启用服务器的访问日志和错误日志定期审计。对网站目录的文件完整性进行监控如有非预期的文件如新的.php文件被创建及时告警。6. 拓展思考从单个漏洞到安全体系通过复现这一个EmpireCMS的代码执行漏洞我们实际上演练了Web安全中一个非常经典的攻击面——文件上传漏洞的利用。但安全防御从来不是“打地鼠”解决一个漏洞点就万事大吉。我们需要建立起体系化的思维。这个漏洞之所以能发生根本原因在于“信任了用户的输入”。这几乎是所有Web漏洞的源头。因此安全开发的生命周期SDL中必须将“输入验证”和“输出编码”作为铁律。在代码审计时要追踪用户可控数据在整个应用中的流动轨迹看它在每一个处理环节是否得到了恰当的过滤和校验。对于EmpireCMS这类开源系统社区的力量很重要。关注其官方安全公告订阅相关的安全邮件列表。同时也可以使用一些自动化工具进行辅助审计比如RIPS一款静态PHP代码分析工具它能帮你快速定位代码中的危险函数调用点。最后我想强调的是心态。复现漏洞时我们带着攻击者的思维是为了理解攻击而在修复和防御时我们必须切换到建设者和守护者的思维。保持对技术的敬畏和对安全的持续关注才能在这个领域走得更远。在测试环境中大胆尝试各种Payload分析其成功或失败的原因在生产环境中则要如履薄冰做好每一层防护。这套从研究到实战再从实战回归到加固的方法论适用于应对未来出现的任何新型漏洞。
