搜索

[11525] 2017-07-03_WolfCMS新旧两个版本中的文件上传漏洞分析

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2017-07-03_WolfCMS新旧两个版本中的文件上传漏洞分析 W o l f   C M S   新 旧 两 个 版 本 中 的 文 件 上 传 漏 洞 分 析 n a v y o f f i c e r   F r e e B u f   2 0 1 7 - 0 7 - 0 3 一 、 一 、 W o l f c m s 简 介 简 介 W o l f   C M S 是 一 款 内 容 管 理 系 统 （ 是 一 款 内 容 管 理 系 统 （ C M S ） ， 是 在 ） ， 是 在 G N U G e n e r a l   P u b l i c   L i c e n s e   v 3 下 发 布 的 免 费 软 件 。 下 发 布 的 免 费 软 件 。 W o l f C M S 是 由 是 由 P H P 语 言 编 写 ， 是 语 言 编 写 ， 是 F r o g   C M S 的 一 个 分 支 。 在 的 一 个 分 支 。 在 2 0 1 0 年 年 P a c k e t   P u b l i s h i n g 开 源 项 目 评 奖 的 开 源 项 目 评 奖 的 “ M o s t P r o m i s i n g   O p e n   S o u r c e   P r o j e c t ” 分 类 中 杀 进 了 决 赛 。 分 类 中 杀 进 了 决 赛 。 软 件 的 官 网 为 ： h t t p s : / / w w w . w o l f c m s . o r g / 二 、 二 、 W o l f c m s   0 . 8 . 2 中 存 在 任 意 文 件 上 传 漏 洞 中 存 在 任 意 文 件 上 传 漏 洞 2 . 1   W o l f   C M S   0 . 8 . 2 版 本 中 漏 洞 概 述 版 本 中 漏 洞 概 述 早 在 2 0 1 5 年 4 月 ， W o l f   C M S 就 被 发 现 其 后 台 存 在 任 意 文 件 上 传 漏 洞 ， 攻 击 者 可 以 利 用 这 个 漏 洞 上 传 恶 意 的 P H P 文 件 ， 最 终 的 结 果 是 系 统 被 攻 击 者 控 制 ， 可 以 执 行 任 意 的 指 令 。 此 漏 洞 具 体 是 出 现 在 文 件 管 理 功 能 中 ， 这 个 功 能 原 本 是 提 供 一 个 接 口 让 管 理 员 管 理 文 件 。 在 此 版 本 的 代 码 中 ， 对 于 允 许 上 传 的 文 件 类 型 没 有 做 任 何 的 限 制 。 因 此 攻 击 者 可 以 上 传 一 个 P H P   s h e l l 文 件 ， 文 件 中 的 代 码 是 恶 意 的 ， 导 致 系 统 被 完 全 控 制 。 2 . 2   W o l f   C M S   0 . 8 . 2 版 本 漏 洞 利 用 过 程 版 本 漏 洞 利 用 过 程 在 本 地 搭 建 了 网 站 环 境 ， 复 现 了 攻 击 过 程 ， 如 下 ： 在 “ F i l e s ” 选 项 卡 中 点 击 右 下 角 的 “ U p l o a d   f i l e ” 选 项 可 以 执 行 上 传 操 作 选 择 要 上 传 的 一 句 话 木 马 文 件 ， 本 例 中 它 的 名 字 是 “ m a 2 . p h p ”
可 以 看 到 这 个 w e b s h e l l 文 件 被 成 功 地 上 传 到 了 网 站 中 。 系 统 还 提 供 了 编 辑 文 件 的 功 能 ， 在 这 里 我 们 可 以 查 看 一 下 刚 才 所 上 传 w e b s h e l l 的 代 码 。
通 过 一 句 话 木 马 客 户 端 去 连 接 这 个 木 马 ， 发 现 可 以 执 行 ， 因 此 证 明 此 漏 洞 可 以 被 攻 击 者 所 利 用 来 完 全 控 制 网 站 。 2 . 3   漏 洞 源 码 分 析 漏 洞 源 码 分 析 漏 洞 点 出 现 在 ： / w o l f / p l u g i n s / f i l e _ m a n a g e r / F i l e M a n a g e r C o n t r o l l e r . p h p 从 第 3 0 2 行 到 3 3 9 行 是 实 现 上 传 功 能 的 函 数 u p l o a d ( ) 。
我 们 来 逐 条 解 读 一 下 代 码 的 功 能 ， 首 先 是 验 证 用 户 是 否 拥 有 上 传 文 件 的 权 限 ， 如 果 没 有 的 话 打 印 警 告 信 息 ， 并 且 将 浏 览 器 重 定 向 到 ‘ p l u g i n / f i l e _ m a n a g e r / b r o w s e / ‘ 位 置 。 随 后 是 检 查 C S R F 的 t o k e n ， 通 过 标 签 的 方 式 防 止 C S R F 攻 击 的 发 生 。 这 段 代 码 首 先 检 查 c s r f _ t o k e n 这 个 变 量 是 否 在 P O S T 请 求 中 被 设 置 ， 如 果 被 设 置 的 话 ， 那 么 将 这 个 值 赋 值 给 $ c s r f _ t o k e n ， 随 后 通 过 S e c u r e T o k e n : : v a l i d a t e T o k e n 函 数 验 证 t o k e n 的 有 效 性 ， 如 果 未 通 过 验 证 ， 则 打 印 警 告 信 息 ， 并 且 将 浏 览 器 重 定 向 到 ‘ p l u g i n / f i l e _ m a n a g e r / b r o w s e / ‘ 如 果 P O S T 请 求 中 没 有 t o k e n 被 传 递 过 来 ， 则 也 执 行 类 似 的 操 作 。 接 下 来 的 操 作 是 关 键 ： 这 里 面 首 先 删 除 了 路 径 中 的 切 换 字 符 “ . . ” 随 后 删 除 了 文 件 名 中 的 空 格 ， 并 且 只 保 留 小 写 字 母 从 a ～ z ， 数 字 0 ～ 9 ， 下 划 线 ， 短 横 线 以 及 点 号 ， 剩 下 的 字 符 一 律 删 除 。 i f   ( ! A u t h U s e r : : h a s P e r m i s s i o n ( ' f i l e _ m a n a g e r _ u p l o a d ' ) )   {         F l a s h : : s e t ( ' e r r o r ' ,   _ _ ( ' Y o u   d o   n o t   h a v e   s u f f i c i e n t   p e r m i s s i o n s   t o   u p l o a d   a   f i l e . ' ) ) ;         r e d i r e c t ( g e t _ u r l ( ' p l u g i n / f i l e _ m a n a g e r / b r o w s e / ' ) ) ; } i f   ( i s s e t ( $ _ P O S T [ ' c s r f _ t o k e n ' ] ) )   {       $ c s r f _ t o k e n   =   $ _ P O S T [ ' c s r f _ t o k e n ' ] ;       i f   ( ! S e c u r e T o k e n : : v a l i d a t e T o k e n ( $ c s r f _ t o k e n ,   B A S E _ U R L . ' p l u g i n / f i l e _ m a n a g e r / u p l o a d ' ) )   {               F l a s h : : s e t ( ' e r r o r ' ,   _ _ ( ' I n v a l i d   C S R F   t o k e n   f o u n d ! ' ) ) ;               r e d i r e c t ( g e t _ u r l ( ' p l u g i n / f i l e _ m a n a g e r / b r o w s e / ' ) ) ;       } } e l s e   {       F l a s h : : s e t ( ' e r r o r ' ,   _ _ ( ' N o   C S R F   t o k e n   f o u n d ! ' ) ) ;       r e d i r e c t ( g e t _ u r l ( ' p l u g i n / f i l e _ m a n a g e r / b r o w s e / ' ) ) ; } $ d a t a   =   $ _ P O S T [ ' u p l o a d ' ] ; $ p a t h   =   s t r _ r e p l a c e ( ' . . ' ,   ' ' ,   $ d a t a [ ' p a t h ' ] ) ; $ o v e r w r i t e   =   i s s e t ( $ d a t a [ ' o v e r w r i t e ' ] )   ?   t r u e   :   f a l s e ; $ f i l e n a m e   =   p r e g _ r e p l a c e ( ' /   / ' ,   ' _ ' ,   $ _ F I L E S [ ' u p l o a d _ f i l e ' ] [ ' n a m e ' ] ) ; $ f i l e n a m e   =   p r e g _ r e p l a c e ( ' / [ ^ a - z 0 - 9 _ - . ] / i ' ,   ' ' ,   $ f i l e n a m e ) ;
最 后 执 行 u p l o a d _ f i l e 函 数 将 文 件 上 传 到 系 统 中 ， 纵 观 整 个 过 程 ， 并 没 有 对 上 传 的 文 件 类 型 进 行 安 全 检 查 ， 导 致 了 攻 击 者 可 以 上 传 w e b s h e l l 。 三 、 三 、 W o l f c m s   0 . 8 . 3 . 1 中 存 在 任 意 文 件 上 传 漏 洞 中 存 在 任 意 文 件 上 传 漏 洞 3 . 1   W o l f   C M S   0 . 8 . 3 . 1 版 本 中 漏 洞 概 述 版 本 中 漏 洞 概 述 最 近 由 于 工 作 原 因 ， 我 需 要 挖 一 些 W e b 漏 洞 。 于 是 想 起 了 W o l f   C M S   0 . 8 . 2 中 的 文 件 上 传 漏 洞 ， 也 就 是 本 文 的 第 二 部 分 介 绍 的 。 查 看 目 前 W o l f   C M S 的 版 本 ， 已 经 发 布 了 0 . 8 . 3 . 1 版 本 。 出 于 好 奇 ， 我 查 看 了 一 下 此 文 件 上 传 漏 洞 是 否 已 经 被 修 补 ， 结 果 是 ： 系 统 对 上 传 的 文 件 后 缀 名 做 了 黑 名 单 检 查 ， 但 是 众 所 周 知 ， 这 也 并 不 安 全 ， 可 被 绕 过 。 3 . 2   W o l f   C M S   0 . 8 . 2 版 本 漏 洞 利 用 过 程 版 本 漏 洞 利 用 过 程 在 本 地 搭 建 了 网 站 环 境 ， 复 现 了 攻 击 过 程 ， 如 下 ： 仍 旧 是 在 “ F i l e s ” 标 签 下 的 右 下 角 “ U p l o a d   f i l e ” 处 触 发 上 传 文 件 操 作 。 这 次 我 们 的 客 户 端 环 境 是 在 u b u n t u 下 ， 因 为 我 们 在 这 里 可 以 命 名 w e b s h e l l 文 件 名 为 “ m a 2 . p h p . ” （ 注 意 文 件 名 最 终 是 以 点 号 结 束 ） ， 在 w i n d o w s 系 统 下 则 不 允 许 这 样 命 名 。 i f   ( i s s e t ( $ _ F I L E S ) )   {       $ f i l e   =   $ t h i s - > _ u p l o a d _ f i l e ( $ f i l e n a m e ,   F I L E S _ D I R   .   ' / '   .   $ p a t h   .   ' / ' ,   $ _ F I L E S [ ' u p l o a d _ f i l e ' ] [ ' t m p _ n a m e ' ] ,   $ o v e r w r i t e ) ;       i f   ( $ f i l e   = = =   f a l s e )               F l a s h : : s e t ( ' e r r o r ' ,   _ _ ( ' F i l e   h a s   n o t   b e e n   u p l o a d e d ! ' ) ) ; }
由 于 服 务 器 端 是 搭 建 在 w i n d o w s 操 作 系 统 中 ， 上 传 这 个 文 件 后 ， w e b s h e l l 文 件 名 最 后 的 点 号 会 被 自 动 删 除 。 查 看 此 文 件 的 源 码 ， 可 见 我 们 上 传 的 确 实 是 一 句 话 木 马 。
仍 旧 利 用 一 句 话 木 马 客 户 端 去 连 接 ， 结 果 表 明 连 接 成 功 。 证 明 新 版 本 虽 然 做 了 一 些 安 全 措 施 但 是 可 被 绕 过 。 2 . 3   漏 洞 源 码 分 析 漏 洞 源 码 分 析 漏 洞 点 出 现 在 ： / w o l f / p l u g i n s / f i l e _ m a n a g e r / F i l e M a n a g e r C o n t r o l l e r . p h p 从 第 3 1 0 行 到 3 5 4 行 是 实 现 上 传 功 能 的 函 数 u p l o a d ( )
我 们 可 以 看 到 大 部 分 的 代 码 与 之 前 的 0 . 8 . 2 版 本 是 一 致 的 ， 不 同 之 处 在 第 3 4 0 至 3 4 5 行 。 这 部 分 代 码 首 先 取 出 用 户 所 上 传 文 件 后 缀 名 并 且 转 换 为 小 写 。 随 后 定 义 了 一 个 数 组 ， 数 组 中 定 义 了 不 允 许 上 传 的 后 缀 名 。 检 查 用 户 上 传 文 件 的 后 缀 名 是 否 在 数 组 中 ， 如 果 在 的 话 则 打 印 报 警 信 息 ， 并 且 将 浏 览 器 重 定 向 到 路 径 ‘ p l u g i n / f i l e _ m a n a g e r / b r o w s e / ‘ 下 。 我 们 上 传 的 文 件 名 为 “ m a 2 . p h p . ” 后 缀 名 不 在 黑 名 单 数 组 中 ， 因 此 允 许 上 传 ， 由 于 服 务 端 安 装 在 w i n d o w s 系 统 上 ， 因 此 会 自 动 删 除 最 后 那 个 点 号 ， 因 此 这 个 一 句 话 木 马 文 件 成 为 了 可 执 行 的 文 件 。 攻 击 成 功 。 四 、 总 结 四 、 总 结 通 过 上 述 内 容 再 次 证 实 了 那 个 众 所 周 知 的 道 理 ： 利 用 文 件 后 缀 名 黑 名 单 的 方 法 是 无 法 有 效 地 修 补 文 件 上 传 漏 洞 。 一 般 来 讲 ， 有 效 的 防 御 方 法 有 ： 1 . 将 文 件 上 传 的 目 录 设 置 成 不 可 执 行 ； 2 . 通 过 白 名 单 而 非 黑 名 单 的 方 法 决 定 哪 些 类 型 的 文 件 是 允 许 被 上 传 的 ； 3 . 使 用 随 机 数 改 写 文 件 名 或 者 文 件 路 径 。 4 . 如 果 上 传 的 是 图 片 文 件 ， 则 可 以 进 行 二 次 渲 染 。 * 本 文 作 者 ： 本 文 作 者 ： n a v y o f f i c e r ， 转 载 请 注 明 ， 转 载 请 注 明 F r e e B u f . C O M   $ e x t   =   s t r t o l o w e r ( p a t h i n f o ( $ f i l e n a m e ,   P A T H I N F O _ E X T E N S I O N ) ) ;   $ e x t _ a r r   =   a r r a y ( ' p h p ' ,   ' p h p 3 ' ,   ' p h p 4 ' ,   ' i n c ' ) ;   i f   ( i n _ a r r a y ( $ e x t ,   $ e x t _ a r r ) )   {         F l a s h : : s e t ( ' e r r o r ' ,   _ _ ( ' N o t   a l l o w e d   t o   u p l o a d   f i l e s   w i t h   e x t e n s i o n   : e x t ' ,   $ e x t ) ) ;         r e d i r e c t ( g e t _ u r l ( ' p l u g i n / f i l e _ m a n a g e r / b r o w s e / ' ) ) ;   }
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理