搜索

[11945] 2017-10-28_Typecho反序列化漏洞导致前台getshell

文档创建者：s7ckTeam
浏览次数：42
最后更新：2025-01-18
2017-10-28_Typecho反序列化漏洞导致前台getshell T y p e c h o 反 序 列 化 漏 洞 导 致 前 台 g e t s h e l l V I P K I D   F r e e B u f   2 0 1 7 - 1 0 - 2 8 * 本 文 原 创 作 者 ： V I P K I D 安 全 团 队 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 最 早 知 道 这 个 漏 洞 是 在 一 个 微 信 群 里 ， 说 是 最 早 知 道 这 个 漏 洞 是 在 一 个 微 信 群 里 ， 说 是 文 件 里 面 有 个 后 门 ， 看 到 别 人 给 的 截 图 一 看 就 知 道 是 文 件 里 面 有 个 后 门 ， 看 到 别 人 给 的 截 图 一 看 就 知 道 是 个 个 P H P 反 序 列 化 漏 洞 ， 赶 紧 上 服 务 器 看 了 看 自 己 的 博 客 ， 发 现 自 己 也 中 招 了 ， 相 关 代 码 如 下 ： 反 序 列 化 漏 洞 ， 赶 紧 上 服 务 器 看 了 看 自 己 的 博 客 ， 发 现 自 己 也 中 招 了 ， 相 关 代 码 如 下 ： 然 后 果 断 在 文 件 第 一 行 加 上 了 d i e : 今 天 下 午 刚 好 空 闲 下 来 ， 就 赶 紧 拿 出 来 代 码 看 看 。 漏 洞 分 析 漏 洞 分 析 先 从 开 始 跟 ， 2 2 9 ~ 2 3 5 行 ： 要 让 代 码 执 行 到 这 里 需 要 满 足 一 些 条 件 ： i n s t a l l . p h p < ? p h p   d i e ( ' 4 0 4   N o t   F o u n d ! ' ) ;   ? > i n s t a l l . p h p
首 先 是 不 为 空 ， 其 次 是 需 要 是 本 站 ， 比 较 容 易 实 现 。 继 续 跟 反 序 列 化 的 地 方 ： 首 先 使 用 的 方 法 获 取 ， 方 法 如 下 ： 可 以 看 到 给 赋 值 这 一 行 ， 如 果 里 面 没 有 就 从 里 面 获 取 ， 所 以 我 们 测 试 漏 洞 的 时 候 直 接 P O S T 也 是 可 以 的 ， 不 用 每 次 设 置 C o o k i e 了 。 反 序 列 化 漏 洞 要 利 用 势 必 离 不 开 魔 术 方 法 ， 我 之 前 收 集 了 一 些 和 P H P 反 序 列 化 有 关 的 P H P 函 数 ： 下 面 这 一 行 中 ， 如 果 我 们 反 序 列 化 构 造 一 个 数 组 ， 其 中 设 置 为 一 个 类 ， 那 么 就 可 以 触 发 这 个 类 的 方 法 。 $ _ G E T [ ' f i n i s h ' ] r e f e r e r $ c o n f i g   =   u n s e r i a l i z e ( b a s e 6 4 _ d e c o d e ( T y p e c h o _ C o o k i e : : g e t ( ' _ _ t y p e c h o _ c o n f i g ' ) ) ) ; T y p e c h o _ C o o k i e g e t _ _ t y p e c h o _ c o n f i g g e t $ v a l u e $ _ C O O K I E $ _ P O S T a d a p t e r _ _ t o S t r i n g ( )
然 后 我 们 全 局 搜 索 方 法 ， 发 现 两 个 有 搞 头 的 文 件 ： 我 这 里 跟 一 下 ， 查 看 的 方 法 ， 其 中 第 2 9 0 行 ： 其 中 调 用 了 ， 是 的 f o r e a c h 循 环 出 来 的 ， 并 且 是 类 的 一 个 属 性 。 我 们 可 以 利 用 这 个 来 调 用 某 个 类 的 方 法 ， 上 面 说 过 方 法 是 用 于 从 不 可 访 问 的 属 性 读 取 数 据 ， 实 际 执 行 中 这 里 会 获 取 该 类 的 属 性 ， 如 果 我 们 给 设 置 的 类 中 没 有 就 会 执 行 该 类 的 方 法 ， 我 们 继 续 来 全 局 搜 索 一 下 方 法 。 发 现 中 的 方 法 如 下 ： 跟 进 方 法 如 下 ： 这 里 没 什 么 问 题 ， 但 最 后 一 行 ： 跟 进 一 下 发 现 ： _ _ t o S t r i n g ( ) / v a r / T y p e c h o / F e e d . p h p / v a r / T y p e c h o / D b / Q u e r y . p h p F e e d . p h p F e e d . p h p _ _ t o S t r i n g （ ） $ i t e m [ ' a u t h o r ' ] - > s c r e e n N a m e $ i t e m $ t h i s - > _ i t e m s $ t h i s - > _ i t e m s T y p e c h o _ F e e d p r i v a t e $ i t e m _ _ g e t ( ) _ _ g e t ( ) s c r e e n N a m e $ i t e m [ ' a u t h o r ' ] s c r e e n N a m e _ _ g e t ( ) _ _ g e t ( ) / v a r / T y p e c h o / R e q u e s t . p h p _ _ g e t ( ) p u b l i c   f u n c t i o n   _ _ g e t ( $ k e y ) {         r e t u r n   $ t h i s - > g e t ( $ k e y ) ; } $ t h i s - > g e t ( ) r e t u r n   $ t h i s - > _ a p p l y F i l t e r ( $ v a l u e ) ;
这 个 里 面 判 断 如 果 是 数 组 就 执 行 否 则 调 用 ， 这 俩 函 数 都 是 执 行 代 码 的 关 键 方 法 。 而 这 里 和 我 们 几 乎 都 是 可 以 间 接 控 制 的 ， 所 以 就 可 以 利 用 或 者 来 执 行 代 码 ， 比 如 我 们 设 置 为 数 组 ， 第 一 个 数 组 键 值 是 ， 设 置 p h p 代 码 ， 即 可 执 行 。 然 后 我 们 来 完 成 E x p l o i t 如 下 ： f o r e a c h $ v a l u e a r r a y _ m a p c a l l _ u s e r _ f u n c $ f i l t e r $ v a l u e c a l l _ u s e r _ f u n c a r r a y _ m a p $ f i l t e r a s s e r t $ v a l u e
然 后 运 行 该 p h p ， 使 用 输 出 的 p a y l o a d 访 问 ： 至 此 该 漏 洞 复 现 成 功 。 修 复 方 法 修 复 方 法 官 方 今 天 发 布 了 1 . 1 B e t a 版 本 修 复 了 该 漏 洞 ， 升 级 该 版 本 ， 链 接 ： h t t p : / / t y p e c h o . o r g / a r c h i v e s / 1 3 3 / 也 可 以 删 除 掉 i n s t a l l . p h p 和 i n s t a l l 目 录 。 * 本 文 原 创 作 者 ： V I P K I D 安 全 团 队 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理