由于微信公众号推送机制改变了，快来星标不再迷路，谢谢大家！

免责声明

0x01 通读

index.php

里面有很多的define，用这个代码运行下

foreach(get_defined_constants(true)['user'] as $k=>$v){    echo $k.'---'.$v."\r\n";}

APP_DEBUG--- URL_MODEL---3 YZMPHP_PATH---x:\cms\yzmcms-master\ IN_YZMPHP---1 YP_PATH---x:\cms\yzmcms-master\yzmphp\ YZMPHP_VERSION---2.7 APP_PATH---x:\cms\yzmcms-master\application\ SYS_START_TIME---1652515504.1375 SYS_TIME---1652515504 SERVER_PORT---http:// HTTP_HOST---xhcms.cc HTTP_REFERER--- EXT---.class.php IS_CGI---1 PHP_FILE---/index.php SITE_PATH---/ SITE_URL---http://xhcms.cc/ STATIC_URL---http://xhcms.cc/common/static/ MAGIC_QUOTES_GPC--- YZMCMS_VERSION---V6.3 YZMCMS_UPDATE---20220110 YZMCMS_SOFTNAME---YzmCMS内容管理系统 ROUTE_M---index ROUTE_C---index ROUTE_A---init

21行有个require，require==x:\cms\yzmcms-master\，实际上是包含了当前目录下的/yzmphp/yzmphp.php文件

跟进文件

yzmphp.php

33行调用了yzm_base下的load_sys_func()方法，跟进这个类，PHPstorm中按住ctrl+鼠标左键进行跟踪

这里进行了文件包含操作，实际上包含的是yzmphp/core/function/global.func.php

整体上看一下，只是定义了方法。回到yzmphp.php

这里是判断是否开启GPC，开启则定义MAGIC_QUOTES_GPC为True，否则为False，上面输出的常量中也写出为1。

70-72行中调用了load_common方法，跟进下

这里也是文件包含，看一下传入的三个不同的参数文件内都是什么

version.php文件只是定义了常量，extention.func.php文件什么也没做，system.func.php中定义了一些方法。继续跟进yzmphp.php，yzmphp.php在后面定义完类之后就没有任何操作

回到index.php，

这里有个创建应用的方法，跟进下

传值进入load_sys_class静态方法中，然后再传入_load_class静态方法中，在load_sys_class方法中设置$initialize的值为1，跟进下该方法

因为起初传递的$path为空，进入104行，此时$path为x/cms/yzmphp/core/class，然后115行进行了文件包含，EXT为.class.php,即包含了/yzmphp/core/class/application.class.php，然后进入到117行，实例化了applocation类并且赋值给$classes静态变量中，121行将application返回

application.class.php

跟进application.class.php

因为实例化了application类，会自动调用__construct构造方法，主要看第20行，前面是debug的，这里给load_sys_class传入了param参数，在上面已经跟进过load_sys_class静态方法了，实际上这里是包含的/yzmphp/core/class/param.class.php。OK，跟进下，在这里打个断点

param.class.php

这里标记了个C方法，跟进下，跟读遇到没见过的就跟进

/yzmphp/core/function/global.func.php

这里有个$path，此时的值为/common/config/config.php，跟进下

这里都是配置信息

回到param.class.php

这里有个路由设置，default在/common/config/config.php出现过，这部分是定义路由。第19行C为false,看到20行有个pathinfo_url()，跟进

这里主要是做网站伪静态的，同时增加了个路由指定方法-$_GET['s']

回到application.class.php，继续通读

跟进下调用的三个方法，在param.class.php中

每个方法中都带有$ = $this->safe_deal($);，跟进下这个方法。

这里进行了addslashes()过滤。

每个方法中这部分

是判断$_GET['a']是否存在，不存在则返回默认路由

回到application.class.php

上面调用了init()，32行又调用了load_controller()，跟进下

59行实际上是application/$_GET[m]/controller/$_GET[c].class.php，然后62行对其包含，然后64行是实例化包含进来的类，回到上一步

这里有个call_user_func方法，来调用$_GET[a]方法。

0x02 框架总结

欢 迎 加 入 星 球 ！

代码审计+免杀+渗透学习资源+各种资料文档+各种工具+付费会员

进成员内部群

星球的最近主题和星球内部工具一些展示

加入安全交流群

                               

关 注 有 礼

关注下方公众号回复“666”可以领取一套领取黑客成长秘籍

 还在等什么？赶紧点击下方名片关注学习吧！

推荐阅读

干货｜史上最全一句话木马

干货 | CS绕过vultr特征检测修改算法

实战 | 用中国人写的红队服务器搞一次内网穿透练习

实战 | 渗透某培训平台经历

实战 | 一次曲折的钓鱼溯源反制

免责声明

由于传播、利用本公众号渗透安全团队所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号渗透安全团队及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！