### 本文所述漏洞测试流程与技术细节，仅用于网络安全领域的经验交流与防御技术研究。文中所涉及的所有系统漏洞，均已在披露前完成修复。严禁任何个人或组织将文中技术用于未授权系统的攻击、入侵或破坏行为。任何因违反此声明、擅自利用相关技术而引发的法律责任及不良后果，均由实际操作者自行承担，与本文作者及发布平台无关

**测试过程总结**

本次测试从一个需要登录的 Drupal 站点开始，通过页面源代码识别出 Drupal 7，并从前端 JavaScript 引用中发现 /sites/all/modules/custom/common/ 自定义模块路径。随后依据 Drupal 模块命名规则尝试访问 common.info 和 common.module，成功获取模块源码。

开局一个首页无权限，需要登录

![图片](/media/202610/a5fc56f1413e467e8bb6a2caf1e384f42049.png)

查看页面源代码发现使用了 Drupal 7 cms

![图片](/media/202610/30de6b77704d473d8b9790447281f62a9052.png)

并且发现引用的js资源存在于此路径 /sites/all/modules/custom/ 下，此路径是Drupal的站点自定义模块

![图片](/media/202610/b690b753d1b14f48bb1325ba8462829a3126.png)

查看其中 /sites/all/modules/custom/common/xxxx\_xxxx\_view.js

发现资源下载相关路径：?q=xxxx/xxxx/downloadResource/ 这说明站点存在资源下载功能

![图片](/media/202610/36457266fb0d43c98d29d5a86a359cf09065.png)

按照 Drupal 7 的模块文件命名规则，/sites/all/modules/custom/common中目录名为 common 的模块通常包含：

common.info

common.module

于是 尝试访问 https://xxxx/sites/all/modules/custom/common/common.module

成功下载源码

![图片](/media/202610/93d05d4b41b640bd80081ff30ca8cdd64565.png)

审计源码发现三个关键证据：

1.  真实路由是 downloadResourceBegin/%。
    
2.  回调函数是 downloadResourceBegin。
    
3.  access callback => true 表示该路由没有登录权限判断。

![图片](/media/202610/3cd2192fb95543ddbee3b527daff82719148.png)

继续查看源码中正常下载函数：

![图片](/media/202610/b687b71428e84981a6c8c5db0239fbd73098.png)

由此可以确定，正常业务会把文件 URI 拼接到：

?q=downloadResourceBegin/<下载文件的路径>

尝试构造请求，成功实现任意文件读取：

![图片](/media/202610/3f3f8458cd85492f84c1454b48b541f96835.png)

后续继续审计还发现一个布尔sql注入

设置1=2条件为假，立马响应

![图片](/media/202610/6862c13c4df24ce0a36147d78cacac1d1335.png)

1=1 条件为真，响应超时，推测是sleep时间设置太长了，数据库会执行多次sleep导致的超时

![图片](/media/202610/6a374bec137f43079140db3bb6d9534c5916.png)

把sleep时间设置为0.3，成功延迟20秒后响应：

![图片](/media/202610/bdf215e43d1b4914ad9a54e0eefaabd01781.png)

通过fofa语法检索，发现32条匹配结果，证明为通用系统

![图片](/media/202610/4da0db299293455db5bb27ce6cd994582918.png)

总结

本次测试并不是从盲目扫描或直接构造攻击载荷开始，而是沿着“页面线索—技术识别—前端资源—自定义模块源码—源码审计—行为验证”的路径逐步推进。各位师傅在发现目标使用Drupal时也可以按照文章中 自定义模块 的方向尝试推进

从模块源码到文件读取