搜索

[14729] 2019-10-22_ThinkCMF框架上的任意内容包含漏洞

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-10-22_ThinkCMF框架上的任意内容包含漏洞 T h i n k C M F 框 架 上 的 任 意 内 容 包 含 漏 洞 斗 象 T C C   –   星 光   F r e e B u f   2 0 1 9 - 1 0 - 2 2 一 、 背 景 一 、 背 景 T h i n k C M F 是 一 款 基 于 是 一 款 基 于 P H P + M Y S Q L 开 发 的 中 文 内 容 管 理 框 架 ， 底 层 采 用 开 发 的 中 文 内 容 管 理 框 架 ， 底 层 采 用 T h i n k P H P 3 . 2 . 3 构 建 。 构 建 。 T h i n k C M F 提 出 灵 活 的 应 用 机 制 ， 框 架 自 身 提 供 基 础 的 管 理 功 能 ， 而 开 发 者 可 以 根 据 自 身 的 需 求 以 应 用 的 形 式 进 行 扩 展 。 每 个 应 用 都 能 独 立 的 完 成 自 己 的 任 务 ， 也 可 通 过 系 统 调 用 其 他 应 用 进 行 协 同 工 作 。 在 这 种 运 行 机 制 下 ， 开 发 商 场 应 用 的 用 户 无 需 关 心 开 发 S N S 应 用 时 如 何 工 作 的 ， 但 他 们 之 间 又 可 通 过 系 统 本 身 进 行 协 调 ， 大 大 的 降 低 了 开 发 成 本 和 沟 通 成 本 。 官 网 : h t t p : / / w w w . t h i n k c m f . c o m 二 、 影 响 版 本 二 、 影 响 版 本 T h i n k C M F   X 1 . 6 . 0 T h i n k C M F   X 2 . 1 . 0 T h i n k C M F   X 2 . 2 . 0 T h i n k C M F   X 2 . 2 . 1 T h i n k C M F   X 2 . 2 . 2 三 、 漏 洞 危 害 三 、 漏 洞 危 害 远 程 攻 击 者 在 无 需 任 何 权 限 情 况 下 ， 通 过 构 造 特 定 的 请 求 包 即 可 在 远 程 服 务 器 上 执 行 任 意 代 码 。 四 、 漏 洞 挖 掘 四 、 漏 洞 挖 掘 根 据 i n d e x . p h p 中 的 配 置 ， 他 的 项 目 路 径 为 a p p l i c a t i o n ， 打 开   P o r t a l   下 的   C o n t r o l l e r   目 录 ， 选 择 一 个 控 制 类 文 件 。 发 现 他 的 父 类 为 C o m m o n C o n t r o l l e r H o m e b a s e C o n t r o l l e r 。 在 H o m e B a s e C o n t r o l l e r 中 加 入 如 下 测 试 代 码
T h i n k P H P 是 一 套 基 于 M V C 的 应 用 程 序 框 架 ， 被 分 成 三 个 核 心 部 件 ： 模 型 （ M ） 、 视 图 （ V ） 、 控 制 器 （ C ） 。 由 于 添 加 的 代 码 在 控 制 器 中 ， 根 据 T h i n k P H P 框 架 约 定 可 以 通 过 a 参 数 来 指 定 对 应 的 函 数 名 ， 但 是 该 函 数 的 修 饰 符 必 须 为 P u b l i c , 而 添 加 的 代 码 正 好 符 合 该 条 件 。 可 以 通 过 如 下 U R L 进 行 访 问 ， 并 且 可 以 添 加 G E T 参 数 a r g 1 传 递 给 函 数 。 h t t p : / / 1 2 7 . 0 . 0 . 1 / c m f x - m a s t e r / ? a = t e s t _ p u b l i c & a r g 1 = r u n % 2 0 s u c c e s s H o m e B a s e C o n t r o l l e r 类 中 有 一 些 访 问 权 限 为 p u b l i c 的 函 数 ， 重 点 关 注 d i s p l a y 函 数 . 看 描 述 就 是 可 以 自 定 义 加 载 模 版 ， 通 过 $ t h i s - > p a r s e T e m p l a t e   函 数 根 据 约 定 确 定 模 版 路 径 ， 如 果 不 符 合 原 先 的 约 定 将 会 从 当 前 目 录 开 始 匹 配 。 然 后 调 用 T H i n k p h p   C o n t r o l l e r   函 数 的 d i s p l a y 方 法 / * *           *   加 载 模 板 和 页 面 输 出   可 以 返 回 输 出 内 容           *   @ a c c e s s   p u b l i c  
再 往 下 就 是 调 用 T h i n k   V i e w 的 f e t c h 方 法 ， 这 里 的 T M P L E N G I N E T Y P E   为 T h i n k ,   最 终 模 版 内 容 解 析 在 P a r s e T e m p l a t e B e h a v i o r 中 完 成 如 下 调 用 即 可 加 载 任 意 文 件 h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 1 / c m f x - m a s t e r / ? a = d i s p l a y & t e m p l a t e F i l e = R E A D M E . m d 要 利 用 该 方 法 s h e l l , 还 需 要 配 合 前 台 的 一 个 上 传 功 能 ， 通 过 包 含 自 己 上 传 的 文 件 来 s h e l l ， 难 免 有 些 麻 烦 。 五 、 影 响 范 围 五 、 影 响 范 围 往 下 面 翻 阅 发 现 还 有 f e t c h 方 法 ， d i s p l a y 方 法 相 对 f e t c h 只 是 多 了 一 个 r e n d e r 的 过 程 ， 而 且 这 里 不 需 要 知 道 文 件 路 径 最 终 完 美 p a y l o a d   ( 打 码 ) 通 过 在 斗 象 智 能 安 全 资 产 情 报 搜 索 关 键 字 ， 使 用 T h i n k C M F 的 站 点 h t t p s : / / a r l . r i s k i v y . c o m / p r o d u c t s / l i g h t h o u s e ? q u e r y = h e a d e r s : % 2 2 X - P o w e r e d - B y : % 2 0 T h i n k C M F % 2 2           *   @ a c c e s s   p u b l i c             *   @ p a r a m   s t r i n g   $ t e m p l a t e F i l e   模 板 文 件 名             *   @ p a r a m   s t r i n g   $ c h a r s e t   模 板 输 出 字 符 集             *   @ p a r a m   s t r i n g   $ c o n t e n t T y p e   输 出 类 型           *   @ p a r a m   s t r i n g   $ c o n t e n t   模 板 输 出 内 容             *   @ r e t u r n   m i x e d             * /               p u b l i c   f u n c t i o n   d i s p l a y ( $ t e m p l a t e F i l e   =   ' ' ,   $ c h a r s e t   =   ' ' ,   $ c o n t e n t T y p e   =   ' ' ,   $ c o n t e n t   =   ' ' ,   $ p r e f i x   =   ' ' )   {               p a r e n t : : d i s p l a y ( $ t h i s - > p a r s e T e m p l a t e ( $ t e m p l a t e F i l e ) ,   $ c h a r s e t ,   $ c o n t e n t T y p e , $ c o n t e n t , $ p r e f i x ) ;             } h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 1 / c m f x - m a s t e r / ? a = f e t c h & * * * * = * * * * * * * *
六 、 修 复 方 法 六 、 修 复 方 法 将   H o m e b a s e C o n t r o l l e r . c l a s s . p h p   和   A d m i n b a s e C o n t r o l l e r . c l a s s . p h p   类 中   d i s p l a y   和   f e t c h   函 数 的 修 饰 符 改 为   p r o t e c t e d 七 、 自 定 义 后 门 七 、 自 定 义 后 门 可 通 过 新 建 如 下 控 制 类 由 于 是 测 试 ， c o n t e n t 未 做 任 何 处 理 ， 直 接 传 输 p h p 代 码 即 可 执 行 。 * 本 文 作 者 ： 本 文 作 者 ： 斗 象 能 力 中 心 斗 象 能 力 中 心   T C C   –   星 光 ， 转 载 请 注 明 来 自 星 光 ， 转 载 请 注 明 来 自 F r e e B u f . C O M n a m e s p a c e   P o r t a l C o n t r o l l e r ; u s e   T h i n k C o n t r o l l e r ; c l a s s   D o o r C o n t r o l l e r   e x t e n d s   C o n t r o l l e r   {       p u b l i c   f u n c t i o n   i n d e x ( $ c o n t e n t )   {             p a r e n t : : d i s p l a y ( ' ' ,   ' ' ,   ' ' , $ c o n t e n t ,   ' ' ) ;       }   }
精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理