搜索

[13988] 2019-04-14_某CMS不顺畅的XXE漏洞

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2019-04-14_某CMS不顺畅的XXE漏洞 某 C M S 不 顺 畅 的 X X E 漏 洞 s j y 9 3 8 1 2   F r e e B u f   2 0 1 9 - 0 4 - 1 4 C M S   介 绍 介 绍 P H P S H E   商 城 系 统 是 将 商 品 管 理 、 品 牌 管 理 、 规 格 管 理 、 促 销 管 理 、 优 惠 券 管 理 、 在 线 购 物 、 订 单 管 理 、 支 付 商 城 系 统 是 将 商 品 管 理 、 品 牌 管 理 、 规 格 管 理 、 促 销 管 理 、 优 惠 券 管 理 、 在 线 购 物 、 订 单 管 理 、 支 付 管 理 、 文 章 管 理 、 会 员 管 理 、 权 限 管 理 、 通 知 管 理 、 咨 询 评 价 、 数 据 统 计 等 功 能 相 结 合 ， 并 提 供 了 简 易 的 操 管 理 、 文 章 管 理 、 会 员 管 理 、 权 限 管 理 、 通 知 管 理 、 咨 询 评 价 、 数 据 统 计 等 功 能 相 结 合 ， 并 提 供 了 简 易 的 操 作 、 实 用 的 功 能 ， 快 速 让 用 户 建 立 独 立 个 性 化 的 网 上 商 店 ， 为 用 户 提 供 了 一 个 低 成 本 、 高 效 率 的 网 上 商 城 建 设 作 、 实 用 的 功 能 ， 快 速 让 用 户 建 立 独 立 个 性 化 的 网 上 商 店 ， 为 用 户 提 供 了 一 个 低 成 本 、 高 效 率 的 网 上 商 城 建 设 方 案 。 方 案 。 偶 然 间 在 看   s e e b u g   平 台 时 ， 发 现 了 一 个 叫 做   p h p s h e   的 c m s   的 一 个   X X E   漏 洞 。 开 发 语 言 为   P H P   因 为 好 久 没 有 在   P H P   上 看 到   X X E   漏 洞 了 ， 所 以   d o w n   了 一 份 源 码 下 来 看 了 看 。 结 果 过 程 相 当 曲 折 。 开 始 分 析 ： 开 始 分 析 ： 因 为 漏 洞 详 情 并 没 有 开 放 。 也 没 有 其 他 的 描 述 。 并 且 这 里 的 评 级 是 高 危 。 我 一 开 始 以 为 这 里 应 该 是 无 条 件 的   X X E   漏 洞 。 结 果 发 现 并 不 是 这 样 的 。 我 在 本 地 安 装 完 成 之 后 ， 大 概 看 了 一 下 代 码 。 代 码 并 不 是 很 多 ， 既 然 是   X X E   漏 洞 ， 那 就 好 说 了 。 直 接 找 和   x m l   有 关 的 代 码 段 分 析 就 好 了 。 大 概 翻 了 几 个 文 件 ， 找 到 这 么 一 个 文 件   i h o o k / w e c h a t . h o o k . p h p 。 这 个 文 件 的 主 要 作 用 先 看 一 下 。 看 了 一 下 这 个 文 件 的 内 容 ， 就 是 封 装 了 一 堆 用 于 处 理   x m l   数 据 的 函 数 。 很 好 ， 这 里 肯 定 会 用 得 到 ， 先 记 录 一 下 。 在   P H P   语 言 中 如 果 存 在   X X E   漏 洞 ， 我 们 首 先 要 关 注 的 就 是 触 发 漏 洞 的 函 数 。 我 们 先 定 位 到 一 个 函 数 上 ， 比 如 下 面 的 这 个 函 数 。
这 个 函 数 的 作 用 是 很 明 显 的 ， 就 是 对   x m l   数 据 进 行 处 理 。 如 果 你 不 是 针 对 一 个 特 定 的 漏 洞 分 析 ， 想 发 现 更 多 漏 洞 的 话 就 每 个 文 件 都 翻 阅 一 下 ， 说 不 定 就 会 有 意 外 的 收 获 。 我 打 算 看 一 下 这 个   C M S   的 逻 辑 就 接 着 往 下 翻 ， 又 找 到 一 个 文 件   i n c l u d e / p l u g i n / p a y m e n t / w e c h a t / n o t i f y _ u r l . p h p 。 打 开 看 一 下 ， 这 里 调 用 到 了 之 前 我 们 找 到 的 处 理   x m l   数 据 的 函 数 ， 大 概 率 漏 洞 就 是 在 这 里 了 。 以 这 里 为 入 口 开 始 跟 进 程 序 。 首 先 跟 进 这 个 函 数 。 这 里 又 调 用 了 另 外 一 个 函 数 ， 接 着 往 下 。 好 了 ， 这 里 我 们 看 到 一 个 经 常 出 现 漏 洞 的 函 数   s i m p l e x m l ， 既 然 用 到 这 个 函 数 ， 这 里 就 顺 带 说 一 下 这 个 函 数 的 作 用 。 s i m p l e x m l _ l o a d _ s t r i n g ( )   函 数 就 是 转 换 形 式 良 好 的   X M L   字 符 串 为   S i m p l e X M L E l e m e n t   对 象 。
再 看 这 段 代 码 ， 这 里 从 前 端 接 收 数 据 ， 并 且 没 有 做 任 何 处 理 。 那 么 问 题 应 该 就 是 这 里 了 。 然 后 开 始 复 现 漏 洞 。 开 始 踩 坑 开 始 踩 坑 3 . 1 ， 这 里 我 直 接 去 访 问 这 个 路 径 。 空 白 什 么 都 没 有 ， 正 常 ， 我 们 直 接 去 看 数 据 包 。 看 起 来 没 什 么 毛 病 。 既 然 问 题 出 在 这 里 ， 直 接 扔 一 个   p a y l o a d   过 来 试 一 试 毕 竟 是 高 危 应 该 利 用 起 来 不 会 太 复 杂 。 这 里 构 造 一 个 向 指 定 服 务 器 发 送   H T T P   请 求 的   p a y l o a d 。 结 果 很 意 外 ， 漏 洞 没 有 被 触 发 。 此 时 心 情 相 当 的 复 杂 ， 返 回 又 看 了 一 眼 代 码 。 发 现 了 一 个 问 题 ， 这 里 对 前 端 传 入 的 数 据 并 不 是 使 用 的 常 见 的   G E T   或
者 是   P O S T   请 求 。 而 是 使 用 的   f i l e _ g e t _ c o n t e n t s ， 当 使 用   f i l e _ g e t _ c o n t e n t s ( “ p h p : / / i n p u t ” )   来 获 取 前 端 传 入 的 数 据 时 ， 会 对   C o n t e n t - T y p e   有 一 些 要 求 ， 不 能 是   m u l t i p a r t / f o r m - d a t a 。 这 些 情 况 下 都 是 不 能 获 取 的 。 我 猜 想 应 该 是 这 里 的 问 题 ， 然 后 更 改   C o n t e n t - T y p e :   t e x t / x m l 。 依 然 没 有 成 功 。 3 . 2   成 功 复 现 成 功 复 现 此 时 我 处 在 要 抓 头 发 的 临 界 点 ， 我 又 去 咨 询 了 一 下 大 佬 们 ， 以 为 是 我 的   p a y l o a d   的 原 因 ， 扔 给 我 了 几 个 在 别 的 地 方 实 测 有 效 的   p a y l o a d 。 然 后 试 了 一 下 ， 依 然 如 此 ， 无 法 成 功 的 触 发 漏 洞 。 就 在 我 要 放 弃 的 时 候 ， 突 然 想 起 来 会 不 会 和   P H P   的 版 本 有 关 系 。 果 然 ， 在 我 降 低 了 几 个   P H P   的 版 本 之 后 神 奇 的 事 情 发 生 了 ， 漏 洞 触 发 了 。 然 后 去 找 了 一 下 原 因 ， 这 个 漏 洞 主 要 是 因 为   s i m p l e x m l _ l o a d _ s t r i n g   这 个 函 数 导 致 的 。 这 个 是   P H P   的 内 置 函 数 。 相 关 的 依 赖 包 是   l i b x m l 。       在 高 版 本 的   P H P   中 这 个 函 数 的 底 层 对   X X E   进 行 了 修 复 ， 但 是 在 低 版 本 的   P H P   中 ， 这 个 问 题 依 然 存 在 。 大 概 在   l i b x m l 2 . 8   之 下 的 版 本 。 会 成 功 的 触 发 这 个 漏 洞 。 总 结 总 结 漏 洞 利 用 条 件 ： P H P S H E   1 . 7   版 本 无 需 登 录 X X E   漏 洞 （ l i b x m l   < 2 . 9 . 0 ） 漏 洞 修 复 ： 对 于   X X E   漏 洞 ， 可 以 升 级   l i b x m l 2   库 至   2 . 9 . 0   或 以 上 版 本 ， 或 者 在   p e _ g e t x m l ( )   函 数 中 加
上   l i b x m l _ d i s a b l e _ e n t i t y _ l o a d e r ( t r u e ) 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： s j y 9 3 8 1 2 ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 推 荐 阅 读 推 荐 阅 读 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理