搜索

[12769] 2018-05-31_代码审计之任意文件下载漏洞案例分享

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2018-05-31_代码审计之任意文件下载漏洞案例分享 代 码 审 计 之 任 意 文 件 下 载 漏 洞 案 例 分 享 d a v i c h i 8 2 8 2   F r e e B u f   2 0 1 8 - 0 5 - 3 1 0 × 0 0 概 述 概 述 继 上 次 审 计 继 上 次 审 计 H D W i k i 之 后 ， 最 近 拿 到 一 套 新 的 源 码 之 后 ， 最 近 拿 到 一 套 新 的 源 码 E a r _ M u s i c _ 2 0 1 8 0 5 1 0 _ U T F 8 最 新 版 进 行 审 计 ， 发 现 这 套 最 新 版 进 行 审 计 ， 发 现 这 套 c m s 还 是 比 较 安 全 的 ， 而 当 我 审 计 遇 到 一 处 下 载 点 的 时 候 发 现 存 在 安 全 问 题 ， 也 就 是 任 意 文 件 下 载 漏 洞 ， 任 意 文 件 还 是 比 较 安 全 的 ， 而 当 我 审 计 遇 到 一 处 下 载 点 的 时 候 发 现 存 在 安 全 问 题 ， 也 就 是 任 意 文 件 下 载 漏 洞 ， 任 意 文 件 下 载 漏 洞 下 载 漏 洞 p h p 最 常 见 的 函 数 就 是 最 常 见 的 函 数 就 是 r e a d f i l e ( ) 这 个 函 数 ， 当 里 面 的 参 数 我 们 可 以 控 制 的 话 就 会 存 在 任 意 文 件 下 载 风 这 个 函 数 ， 当 里 面 的 参 数 我 们 可 以 控 制 的 话 就 会 存 在 任 意 文 件 下 载 风 险 。 险 。 0 × 0 1   白 盒 审 计 白 盒 审 计 源 码 信 息 ： E a r _ M u s i c _ 2 0 1 8 0 5 1 0 _ U T F 8 问 题 文 件 ：   t e m p l a t e d e f a u l t s o u r c e d o w n . p h p 漏 洞 类 型 ： 任 意 文 件 下 载 站 点 地 址 ： h t t p : / / w w w . e r d u o . i n / i n d e x . p h p / d o w n l o a d / 首 先 进 行 安 装 之 后 主 界 面 如 下 ； 由 于 我 是 习 惯 跟 着 功 能 点 走 的 ， 个 人 习 惯 吧 ， 有 些 人 通 读 全 文 ， 有 些 人 跟 踪 数 据 流 等 ， 各 有 各 的 利 弊 吧 ， 这 个 c m s 发 现 功 能 点 比 较 多 ， 各 种 编 辑 上 传 什 么 的 ， 当 审 计 遇 到 一 个 “ 下 载 L R C 歌 词 ” 功 能 点 的 时 候 发 现 是 使 用 r e a d f i l e ( ) 函 数 的 ， 具 体 页 面 以 及 代 码 段 如 下 ：
代 码 段 为 t e m p l a t e d e f a u l t s o u r c e d o w n . p h p 看 到 r e a d f i l e ( ) 函 数 了 ， 这 里 $ f i l e 参 数 是 通 过 g e t u r l 和 g e t f i e l d 两 个 函 数 生 成 的 ， 分 别 跟 进 ， 首 先 g e t u r l ( ) 函 数 路 为 / s o u r c e / s y s t e m / f u n c t i o n _ c o m m o n . p h p 。
g e t f i e l d ( ) 函 数 从 函 数 名 称 就 能 看 出 来 是 用 来 获 取 数 据 库 信 息 的 所 以 此 处 没 有 写 出 来 ， 重 点 看 g e t u r l ( ) 函 数 。 可 以 看 到 通 过 一 些 正 则 来 打 出 最 后 $ f i l e 参 数 不 符 合 正 则 的 时 候 直 接 $ u r l 即 你 上 传 的 什 么 就 读 取 什 么 ， 读 取 下 载 的 时 候 未 作 任 何 过 滤 操 作 ， 好 这 时 候 我 们 就 转 向 上 传 的 地 方 看 看 。 具 体 路 径 为 s o u r c e u s e r m u s i c a j a x . p h p ， 这 边 是 歌 词 上 传 。 可 以 看 到 $ l y r i c 就 是 歌 词 参 数 ， 但 是 看 到 有 c h e c k r e n a m e ( ) , u n e s c a p e ( ) , S a f e R e q u e s t ( ) 三 个 函 数 过 滤 一 个 一 个 看 ， 首 先 S a f e R e q u e s t ( ) 函 数 ， 路 径 为 s o u r c e s y s t e m f u n c t i o n _ c o m m o n . p h p 。 可 以 看 到 有 a d d s l a s h e s 过 滤 和 ’ ’ 替 换 为 空 ， 一 般 这 种 替 换 成 空 的 方 法 往 往 存 在 绕 过 可 能 。 来 看 下 一 个 函 数 u n e s c a p e ( ) ， 路 径 还 是 上 面 那 个 。
可 以 看 到 里 面 还 有 S a f e S q l ( ) 函 数 ， 通 过 追 踪 发 现 也 是 过 滤 ’ ’ 的 ， 这 里 就 不 截 图 了 。 最 后 来 看 下 最 重 要 的 函 数 c h e c k r e n a m e ( ) 函 数 ， 路 径 为 s o u r c e s y s t e m f u n c t i o n _ c o m m o n . p h p 。 可 以 看 到 这 里 主 要 是 使 用 正 则 来 进 行 过 滤 ， 当 匹 配 到 ” . / “ , ” i f r a m e ” , ” . p h p ” 这 3 个 任 何 一 个 的 时 候 直 接 显 示 ’ S a f e t y f i l t e r ’ 字 段 进 行 过 滤 ， 还 有 上 面 几 个 函 数 是 过 滤 ” ” 这 个 的 ， 综 合 看 来 由 于 读 取 的 时 候 未 作 任 何 过 滤 所 以 可 以 通 过 输 入 物 理 路 径 进 行 任 意 文 件 的 下 载 读 取 。 0 × 0 2   漏 洞 利 用 漏 洞 利 用 比 如 c o n f i g . i n c . p h p 文 件 的 物 理 路 径 为 ： D : p h p S t u d y W W W E a r _ M u s i c _ 2 0 1 8 0 5 1 0 _ U T F 8 s o u r c e s y s t e m c o n f i g . i n c . p h p 由 于 ” ” 会 被 过 滤 可 使 用 ” / “ 替 换 绕 过 ， ” . p h p ” 会 被 过 滤 可 通 过 后 面 加 点 进 行 绕 过 ， 综 合 起 来 最 终 的 p a y l o a d 为 ： D : / p h p S t u d y / W W W / E a r _ M u s i c _ 2 0 1 8 0 5 1 0 _ U T F 8 / s o u r c e / s y s t e m / c o n f i g . i n c . p h p 首 先 注 册 一 个 账 号 进 去 之 后 到 上 传 音 乐 页 面 。
歌 词 位 置 填 写 上 面 的 p a y l o a d 之 后 保 存 编 辑 ， 然 后 到 待 审 音 乐 点 击 刚 上 传 的 音 乐 。 跳 到 下 面 页 面 之 后 点 击 下 面 的 ” 下 载 L R C 歌 词 ” ， 即 可 下 载 我 们 的 配 置 文 件 了 。
* 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： d a v i c h i 8 2 8 2 ， 属 于 ， 属 于 F r e e B u f 漏 洞 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 漏 洞 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理