搜索

[11246] 2017-04-17_Phpcmsv9漏洞分析

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2017-04-17_Phpcmsv9漏洞分析 P h p c m s   v 9 漏 洞 分 析 n i g h t m a r e l e e   F r e e B u f   2 0 1 7 - 0 4 - 1 7 最 近 研 究 源 码 审 计 相 关 知 识 ， 会 抓 起 以 前 开 源 的 C M S 漏 洞 进 行 研 究 ， 昨 天 偶 然 看 见 了 这 个 P H P C M S 的 漏 洞 ， 就 准 备 分 析 研 究 一 番 ， 最 开 始 本 来 想 直 接 从 源 头 对 代 码 进 行 静 态 分 析 ， 但 是 发 现 本 身 对 P H P C M S 架 构 不 是 很 熟 悉 ， 导 致 很 难 定 位 代 码 的 位 置 ， 最 后 就 采 用 动 态 调 试 & 静 态 分 析 的 方 式 对 漏 洞 的 触 发 进 行 分 析 ， 下 面 进 入 正 题 。 1 、 漏 洞 触 发 代 码 定 位 、 漏 洞 触 发 代 码 定 位 通 过 漏 洞 的 P O C （ / p h p c m s / i n d e x . p h p ? m = m e m b e r & c = i n d e x & a = r e g i s t e r & s i t e i d = 1   ） 判 断 ， 漏 洞 触 发 点 的 入 口 位 于 / p h p c m s / m o d u l e s / m e m b e r / i n d e x . p h p 文 件 中 的 r e g i s t e r ( ) 方 法 中 ， 在 代 码 中 插 入 一 些 e c h o 函 数 ， 观 察 输 出 （ 见 下 ） 的 变 化 。 从 下 面 的 结 果 变 化 可 知 ， i m g 标 签 的 s r c 属 性 是 在 执 行 完 下 面 的 g e t ( ) 函 数 ： $ u s e r _ m o d e l _ i n f o   =   $ m e m b e r _ i n p u t - > g e t ( $ _ P O S T [ ' i n f o ' ] ) 后 发 生 变 化 ， 因 此 基 本 可 以 确 定 ， 漏 洞 的 触 发 点 就 是 位 于 这 个 函 数 中 。 2 、 定 位 、 定 位 m e m b e r _ i n p u t - > g e t ( ) 跟 进 分 析 跟 进 分 析 跟 进 该 函 数 ， 该 函 数 位 于 / p h p c m s / m o d u l e s / m e m b e r / f i e l d s / m e m b e r _ i n p u t . c l a s s . p h p 文 件 中 ， 此 处 本 来 还 想 故 技 重 施 ， 在 该 方 法 中 对 代 码 进 行 插 桩 ， 但 是 发 现 插 桩 后 的 居 然 无 法 打 印 到 页 面 上 ， 没 辙 （ 原 因 望 各 位 大 神 指 点 一 二 ） ， 只 能 对 代 码 进 行 一 行 行 推 敲 ， 先 把 代 码 贴 上 ， 方 便 分 析 ：
代 码 整 体 比 较 容 易 ， 可 能 比 较 难 理 解 的 就 是 $ t h i s - > f i e l d s 这 个 参 数 ， 这 个 参 数 是 初 始 化 类 m e m b e r _ i n p u t 是 插 入 的 ， 这 个 参 数 分 析 起 来 比 较 繁 琐 ， 主 要 是 对 P H P C M S 架 构 不 熟 ， 那 就 在 此 走 点 捷 径 吧 ， 在 1 中 ， 直 接 将 初 始 化 完 成 后 的 m e m b e r _ i n p u t 类 d u m p 出 来 ， 效 果 还 不 错 ， 所 有 的 参 数 都 d u m p 到 页 面 上 了 ， 下 面 主 要 摘 取 比 较 重 要 的 $ t h i s - > f i e l d s [ $ f i e l d ] ， 即 ： 【 $ t h i s - > f i e l d s [ " c o n t e n t " ] 】 这 个 参 数 ， 如 下 所 示 ⤵ ：

有 了 上 面 的 参 数 列 表 后 ， 理 解 g e t ( ) 函 数 的 代 码 就 要 轻 松 许 多 了 ， 分 析 过 程 略 。 结 论 就 是 ， 漏 洞 的 触 发 函 数 在 倒 数 6 、 7 两 行 ， 单 独 截 个 图 ， 如 下 ⤵ ： 这 里 比 较 重 要 的 是 要 找 出 $ f u n c 这 个 函 数 ， 查 查 上 面 的 表 ， 找 到 [ " f o r m t y p e " ] = > s t r i n g ( 6 )   “ e d i t o r ” ， 可 知 $ f u n c 就 是 e d i t o r ( ) 函 数 ， e d i t o r 函 数 传 入 的 参 数 就 是 上 面 列 出 的 一 长 串 字 符 串 ， 和 i m g 标 签 的 内 容 ， 下 面 将 跟 进 e d i t o r 函 数 ， 真 相 好 像 马 上 就 要 大 白 于 天 下 了 。 3 、 跟 进 、 跟 进 e d i t o r 函 数 及 后 续 函 数 函 数 及 后 续 函 数 e d i t o r ( ) 函 数 位 于 / p h p c m s / m o d u l e s / m e m b e r / f i e l d s / e d i t o r / i m p u t . i n c . p h p 文 件 中 ， 老 规 矩 ， 先 贴 出 代 码 ：
简 单 阅 读 代 码 ， 发 现 实 际 的 触 发 流 程 发 生 在 $ t h i s - > a t t a c h m e n t - > d o w n l o a d ( ) 函 数 中 ， 直 接 跟 进 这 个 函 数 ， 这 个 函 数 位 于 / p h p c m s / l i b s / c l a s s e s / a t t a c h m e n t . c l a s s . p h p 中 d o w n l o a d ( ) 函 数 ， 源 代 码 有 点 长 ， 就 贴 一 些 关 键 代 码 ， ⤵ 代 码 主 要 是 进 行 一 些 正 则 过 滤 等 等 操 作 ， 这 里 真 正 关 键 的 是 代 码 的 最 后 一 行 的 操 作 $ u p l o a d _ f u n c ( $ f i l e ,   $ n e w f i l e ) ， 其 中 $ t h i s - > u p l o a d _ f u n c   =   ‘ c o p y ’ ; ， 写 的 在 明 白 点 就 是 c o p y ( $ f i l e ,   $ n e w f i l e ) ， 漏 洞 就 是 一 个 c o p y 操 作 造 成 的 。 * 本 文 作 者 ： n i g h t m a r e l e e ， 转 载 请 注 明 来 自 F r e e b u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理