搜索

[19491] 2019-06-04_ThinkPHP5丨远程代码执行漏洞-动态分析

文档创建者：s7ckTeam
浏览次数：48
最后更新：2025-01-18
2019-06-04_ThinkPHP5丨远程代码执行漏洞-动态分析 T h i n k P H P 5 丨 远 程 代 码 执 行 漏 洞 - 动 态 分 析 i 春 秋   2 0 1 9 - 0 6 - 0 4 T h i n k P H P 是 为 了 简 化 企 业 级 应 用 开 发 和 敏 捷 W E B 应 用 开 发 而 诞 生 的 ， 在 保 持 出 色 的 性 能 和 至 简 代 码 的 同 时 ， 也 注 重 易 用 性 。 但 是 简 洁 易 操 作 也 会 出 现 漏 洞 ， 之 前 T h i n k P H P 官 方 修 复 了 一 个 严 重 的 远 程 代 码 执 行 漏 洞 。 这 个 漏 洞 的 主 要 原 因 是 由 于 框 架 对 控 制 器 名 没 有 进 行 足 够 的 校 验 导 致 在 没 有 开 启 强 制 路 由 的 情 况 下 可 以 构 造 恶 意 语 句 执 行 远 程 命 令 ， 受 影 响 的 版 本 包 括 5 . 0 和 5 . 1 版 本 。 那 么 今 天 i 春 秋 用 动 态 分 析 法 来 介 绍 远 程 代 码 执 行 ， 同 时 还 能 快 速 了 解 整 个 执 行 过 程 和 一 些 变 量 参 数 ， 文 章 阅 读 用 时 约 7 分 钟 。 0 1 环 境 环 境 程 序 源 码 下 载 ： h t t p : / / w w w . t h i n k p h p . c n / d o w n l o a d / 9 6 7 . h t m l W e b 环 境 ： W i n d o w s   1 0   x 6 4 + P H P S t u d y   2 0 0 1 8
调 试 工 具 ： p h p s t o r m + x d e b u g ( 用 v s c o d e 也 可 以 ， 我 比 较 习 惯 用 p h p s t o r m ) 因 为 我 是 从 头 分 析 到 尾 ， 所 以 要 在 设 置 里 面 勾 上 B r e a k   a t   f i r s t   l i n e   i n   P H P   s c r i p t 搭 建 就 不 多 说 了 ， 放 源 码 在 根 目 录 然 后 p h p s t u d y 启 动 ！ 0 2 漏 洞 复 现 漏 洞 复 现
其 实 有 很 多 利 用 的 地 方 ， 到 后 面 分 析 完 再 说 。 0 3 漏 洞 分 析 漏 洞 分 析 因 为 是 从 开 始 分 析 ， 也 比 较 适 合 新 手 ， 就 不 演 示 去 下 某 个 断 点 了 ， 如 果 有 不 懂 的 你 们 也 可 以 在 不 懂 的 地 方 下 一 个 断 点 然 后 继 续 分 析 （ 记 得 去 掉 B r e a k   a t   f i r s t   l i n e   i n   P H P   s c r i p t 再 下 断 点 ） 。 有 些 不 是 重 点 的 直 接 F 7 或 者 F 8 走 下 去 ， F 7 跟 进 F a c a d e ： 到 A p p . p h p 初 始 化 的 地 方 ， 继 续 F 8 往 下 面 走 ：
到 r o u t e C h e c k F 7 跟 进 去 ： 到 这 里 F 7 继 续 跟 进 去 ：
有 些 没 有 必 要 的 函 数 就 直 接 F 8 跳 过 去 , 到 p a t h i n f o (   ) 这 里 F 7 跟 进 去 ： 我 们 可 以 分 析 一 下 这 个 · p a t h i n f o 函 数 的 代 码 $ t h i s - > c o n f i g - > g e t ( ' v a r _ p a t h i n f o ' ) 这 一 句 是 从 配 置 文 件 c o n f i g / a p p . p h p 获 取 的 值 ：
当 请 求 报 文 包 含 $ _ G E T [ ' s ' ] ， 就 取 其 值 作 为 p a t h i n f o ， 并 返 回 p a t h i n f o 给 调 用 函 数 ， 所 以 我 们 可 利 用 $ _ G E T [ ' s ' ] 来 传 递 路 由 信 息 。 可 以 看 到 r e t u r n   $ t h i s - > p a t h i n f o ; 返 回 的 内 容 ：         p u b l i c   f u n c t i o n   p a t h i n f o ( )         {                 i f   ( i s _ n u l l ( $ t h i s - > p a t h i n f o ) )   {                         i f   ( i s s e t ( $ _ G E T [ $ t h i s - > c o n f i g - > g e t ( ' v a r _ p a t h i n f o ' ) ] ) )   {                                 / /   判 断 U R L 里 面 是 否 有 兼 容 模 式 参 数                                 $ _ S E R V E R [ ' P A T H _ I N F O ' ]   =   $ _ G E T [ $ t h i s - > c o n f i g - > g e t ( ' v a r _ p a t h i n f o ' ) ] ;                                 u n s e t ( $ _ G E T [ $ t h i s - > c o n f i g - > g e t ( ' v a r _ p a t h i n f o ' ) ] ) ;                         }   e l s e i f   ( $ t h i s - > i s C l i ( ) )   {                                 / /   C L I 模 式 下   i n d e x . p h p   m o d u l e / c o n t r o l l e r / a c t i o n / p a r a m s / . . .                                 $ _ S E R V E R [ ' P A T H _ I N F O ' ]   =   i s s e t ( $ _ S E R V E R [ ' a r g v ' ] [ 1 ] )   ?   $ _ S E R V E R [ ' a r g v ' ] [ 1 ]   :   ' ' ;                         }                         / /   分 析 P A T H I N F O 信 息                         i f   ( ! i s s e t ( $ _ S E R V E R [ ' P A T H _ I N F O ' ] ) )   {                                 f o r e a c h   ( $ t h i s - > c o n f i g - > g e t ( ' p a t h i n f o _ f e t c h ' )   a s   $ t y p e )   {                                         i f   ( ! e m p t y ( $ _ S E R V E R [ $ t y p e ] ) )   {                                                 $ _ S E R V E R [ ' P A T H _ I N F O ' ]   =   ( 0   = = =   s t r p o s ( $ _ S E R V E R [ $ t y p e ] ,   $ _ S E R V E R [ ' S C R I P T _ N A M E ' ] ) )   ?                                                 s u b s t r ( $ _ S E R V E R [ $ t y p e ] ,   s t r l e n ( $ _ S E R V E R [ ' S C R I P T _ N A M E ' ] ) )   :   $ _ S E R V E R [ $ t y p e ] ;                                                 b r e a k ;                                         }                                 }                         }                         $ t h i s - > p a t h i n f o   =   e m p t y ( $ _ S E R V E R [ ' P A T H _ I N F O ' ] )   ?   ' / '   :   l t r i m ( $ _ S E R V E R [ ' P A T H _ I N F O ' ] ,   ' / ' ) ;                 }                 r e t u r n   $ t h i s - > p a t h i n f o ;         }
F 7 走 ， 可 以 看 到 $ p a t h i n f o 赋 值 给 $ t h i s - > p a t h ： F 7 走 到 c h e c k 的 函 数 ， 如 果 开 启 了 强 制 路 由 则 会 抛 出 异 常 ， 也 就 是 说 该 漏 洞 在 开 启 强 制 路 由 的 情 况 下 不 受 影 响 ， 但 是 默 认 是 不 开 启 的 。 后 面 看 到 实 例 化 了 U r l D i s p a t c h 对 象 ， 将 $ u r l 传 递 给 了 构 造 函 数 。 再 继 续 分 析 下 去 ， 中 间 有 些 不 必 要 的 直 接 F 8 走 过 就 行 了 。 可 以 看 到 将 $ u r l 传 递 给 了 $ a c t i o n 。
F 7 走 下 去 ， 跳 回 了 A p p . p h p ， 可 以 看 到 $ d i s p a t c h 返 回 来 的 值 代 入 d i s p a t c h 方 法 。 F 7 走 进 去 ， 可 以 看 到 传 入 的 $ d i s p a t c h 赋 值 给 了 $ t h i s - > d i s p a t c h , 不 过 现 在 分 析 这 个 版 本 是 有 改 动 的 ， 有 些 版 本 是 在 这 里 用 d i s p a t c h 代 入 下 面 会 分 析 到 的 p a r s e U r l 方 法 ， 这 个 版 本 的 是 用 $ t h i s - > a c t i o n 来 p a r s e U r l 方 法 的 ， 继 续 分 析 下 去 ， 下 面 会 分 析 到 的 。
F 7 又 返 回 了 A p p . p h p 的 文 件 , 可 以 看 到 执 行 调 度 这 里 $ d a t a   =   $ d i s p a t c h - > r u n (   ) ; ， 我 们 F 7 跟 进 去 。 这 里 就 是 上 面 所 说 的 , $ u r l 是 由 t h i n k p h p / l i b r a r y / t h i n k / r o u t e / D i s p a t c h . p h p 里 面 的 $ t h i s - > a c t i o n   =   $ a c t i o n ; 传 过 来 的 。
我 们 F 7 继 续 分 析 p a r s e U r l 方 法 ， 然 后 F 8 走 到 这 里 。 F 7 进 到 这 个 p a r s e U r l P a t h 方 法 里 面 , 用 / 来 分 割 [ 模 块 / 控 制 器 / 操 作 ] 并 存 到 $ p a t h 数 组 里 面 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理