搜索

[13192] 2018-09-16_一处代码执行引发的思考

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2018-09-16_一处代码执行引发的思考 一 处 代 码 执 行 引 发 的 思 考 s j y 9 3 8 1 2   F r e e B u f   2 0 1 8 - 0 9 - 1 6 前 言 前 言 Y C C M S 是 一 款 是 一 款 P H P 版 轻 量 级 版 轻 量 级 C M S 建 站 系 统 ， 程 序 页 面 设 计 简 洁 ， 生 成 静 态 建 站 系 统 ， 程 序 页 面 设 计 简 洁 ， 生 成 静 态 h t m l ， 后 台 功 能 强 大 ， 利 于 优 化 、 ， 后 台 功 能 强 大 ， 利 于 优 化 、 超 强 收 录 、 超 强 排 名 ， 适 合 做 关 键 词 排 名 、 淘 宝 客 程 序 ， 是 个 人 、 企 业 建 站 的 理 想 选 择 。 最 近 偶 然 间 在 互 联 网 超 强 收 录 、 超 强 排 名 ， 适 合 做 关 键 词 排 名 、 淘 宝 客 程 序 ， 是 个 人 、 企 业 建 站 的 理 想 选 择 。 最 近 偶 然 间 在 互 联 网 上 看 到 了 一 个 关 于 上 看 到 了 一 个 关 于 Y C C M S 代 码 执 行 的 漏 洞 ， 详 情 并 没 有 公 开 ， 因 为 有 前 段 时 间 代 码 执 行 的 漏 洞 ， 详 情 并 没 有 公 开 ， 因 为 有 前 段 时 间 E c h s o p 代 码 执 行 的 事 件 ， 让 我 代 码 执 行 的 事 件 ， 让 我 对 代 码 执 行 的 成 因 很 感 兴 趣 ， 所 以 我 就 下 载 了 代 码 看 了 看 。 因 为 这 个 对 代 码 执 行 的 成 因 很 感 兴 趣 ， 所 以 我 就 下 载 了 代 码 看 了 看 。 因 为 这 个 c m s 比 较 小 众 影 响 并 不 会 大 ， 所 以 这 里 直 比 较 小 众 影 响 并 不 会 大 ， 所 以 这 里 直 接 把 漏 洞 详 情 就 写 出 来 了 。 接 把 漏 洞 详 情 就 写 出 来 了 。 漏 洞 解 构 漏 洞 解 构 如 果 想 做 实 验 请 在 网 上 自 行 下 载 Y C C M S 3 . 3 也 就 是 最 新 版 。 搭 建 好 环 境 之 后 ， 访 问 一 下 首 页 看 看 它 加 载 了 哪 些 页 面 顺 便 看 一 下 入 口 。 在 这 里 可 以 看 到 你 访 问 首 页 的 时 候 ， 其 实 直 接 跳 到 了 c o u n t . p h p 文 件 中 执 行 代 码 了 ， 这 里 我 们 直 接 去 看 这 个 文 件 。 这 个 文 件 起 到 了 一 个 中 转 站 的 作 用 ， 按 照 指 引 进 入 r u n . i n c . p h p 文 件 中 。 这 里 使 用 了 魔 术 方 法 ， 在 运 行 文 件 的 时 候 自 动 将 项 目 中 的 类 进 行 了 加 载 ， 并 且 执 行 了 圆 圈 中 的 类 里 的 方 法 ， 进 入 这 个 文 件 中 看 一 下 。
这 里 首 先 调 用 了 一 个 内 部 函 数 ， 看 一 下 这 个 函 数 的 作 用 。 这 里 再 回 到 上 一 个 函 数 中 。 圈 中 的 部 分 作 用 不 是 很 大 ， 唯 一 的 作 用 就 是 将 这 个 漏 洞 限 制 在 了 a d m i n 这 里 面 ， 不 然 的 话 a 这 个 参 数 将 变 成 不 可 控 的 。 再 接 下 来 ， 就 到 了 重 点 了 ， 这 里 使 用 了 f i l e _ e x i s t s 这 个 函 数 判 断 一 个 文 件 存 不 存 在 ， 不 存 在 的 话 就 执 行 a = i n d e x 的 操 作 ， 接 下 来 就 直 接 将 用 户 可 控 的 变 量 传 入 了 e v a l 函 数 中 。 这 里 没 有 进 行 过 滤 ， 如 果 能 绕 过 f i l e _ e x i s t s 函 数 就 能 达 到 命 令 执 行 的 效 果 了 。 看 一 下 f i l e _ e x i s t s 函 数 ： 返 回 值 是 布 尔 值 。 这 个 函 数 允 许 传 入 的 路 径 中 含 有 特 殊 符 号 。 具 体 来 看 一 下 。 这 里 在 c e s h i 1 目 录 下 有 一 个 文 件 ：
访 问 测 试 路 径 ， 证 明 文 件 存 在 。 h t t p : / / 1 2 7 . 0 . 0 . 1 / t e s t . p h p ? a = c e s h i 1 / 1 ; / . . / 2 4 4 9 . h t m l 这 里 加 入 特 殊 字 符 依 然 可 以 识 别 。 再 加 入 一 点 符 号 ： 这 里 证 明 这 个 函 数 会 识 别 一 个 规 则 就 是 遇 到 类 似 / . . / 这 种 结 构 时 ， 会 将 第 一 个 斜 线 前 面 的 内 容 当 作 一 个 目 录 名 来 处 理 。
这 里 也 就 是 说 分 号 、 斜 线 这 种 是 可 以 在 这 个 函 数 中 逃 逸 出 来 的 。 也 就 是 说 这 里 可 以 任 意 构 造 类 似 于 x x x / . . / b b b 这 种 结 构 的 路 径 ， 这 里 b b b 可 以 是 圆 圈 中 任 意 一 个 单 词 。 接 下 来 就 是 进 入 了 e v a l 这 个 函 数 。 可 以 看 到 这 个 函 数 可 以 直 接 执 行 p h p 代 码 ， 还 一 个 隐 藏 属 性 就 是 可 以 执 行 多 条 语 句 只 要 以 分 号 间 隔 开 就 可 以 了 ， 那 么 这 里 就 出 现 问 题 了 。 本 地 测 试 ：
回 到 这 个 c m s 中 我 们 将 a 构 造 成 这 种 形 式 f a c t o r y ( ) ; e c h o % 2 0 1 ; / / . . / 。 那 么 就 可 以 执 行 任 意 的 语 句 了 ， 这 里 解 释 一 下 ： F a c t o r y ( ) 这 个 是 用 来 闭 合 前 面 的 实 例 化 对 象 用 的 ， 不 闭 合 的 话 这 里 会 直 接 报 错 ， 导 致 后 面 的 语 句 无 法 执 行 。 分 号 结 束 然 后 就 是 执 行 了 我 们 自 定 义 的 代 码 ， 然 后 再 以 分 号 结 束 。 然 后 就 是 返 回 上 级 目 录 为 了 满 足 文 件 存 在 的 要 求 。 最 终 的 执 行 效 果 ： * 本 文 作 者 ： 本 文 作 者 ： s j y 9 3 8 1 2 ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理