搜索

[19161] 2017-11-24_【动手实验】PhpCollab2.5.1漏洞分析与利用

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2017-11-24_【动手实验】PhpCollab2.5.1漏洞分析与利用 【 动 手 实 验 】 P h p C o l l a b   2 . 5 . 1 漏 洞 分 析 与 利 用 i 春 秋   2 0 1 7 - 1 1 - 2 4 P h p c o l l a b 是 一 个 开 源 协 作 项 目 管 理 系 统 ， 用 户 可 通 过 网 络 访 问 系 统 对 项 目 以 及 任 务 进 行 发 布 和 管 理 。 近 期 , 有 安 全 研 究 员 发 现 其 中 存 在 S Q L 注 入 以 及 文 件 上 传 漏 洞 。 C o m m o n V u l n e r a b i l i t i e s a n d E x p o s u r e s （ C V E ） 组 织 披 露 P h p c o l l a b 存 在 可 上 传 任 意 文 件 ， 导 致 任 意 代 码 执 行 ， 并 且 允 许 远 程 恶 意 访 问 者 执 行 任 意 的 S Q L 指 令 。 漏 洞 C V E 编 号 分 别 为 ( C V E - 2 0 1 7 - 6 0 9 0 ) 、 ( C V E - 2 0 1 7 - 6 0 8 9 ) 。 利 用 该 漏 洞 ， 安 全 研 究 员 可 构 造 的 恶 意 请 求 ， 上 传 包 含 恶 意 代 码 的 文 件 ， 从 而 执 行 任 意 代 码 ， 获 取 服 务 器 敏 感 信 息 。 鉴 于 项 目 管 理 系 统 的 特 殊 性 ， 一 旦 项 目 信 息 泄 露 ， 可 能 造 成 重 大 损 失 ， 使 用 者 需 要 对 漏 洞 系 统 做 紧 急 处 理 ， 避 免 造 成 损 失 。 让 我 们 亲 自 动 手 进 行 漏 洞 修 复 的 实 验 吧 ！ 一 一 实 验 环 境 实 验 环 境 操 作 机 ： W i n d o w s   X P I P ： 1 7 2 . 1 6 . 1 1 . 2 目 标 网 址 ： h t t p : / / t e s t . i c h u n q i u . c o m / p h p c o l l a b / 工 具 下 载 地 址 ： f i l e . i c h u n q i u . c o m / a w e d 3 5 7 9 本 实 验 仅 做 安 全 漏 洞 研 究 ， 请 勿 对 未 授 权 网 站 进 行 恶 意 破 坏 。 本 实 验 仅 做 安 全 漏 洞 研 究 ， 请 勿 对 未 授 权 网 站 进 行 恶 意 破 坏 。 二 实 验 目 的 实 验 目 的 了 解 P h p c o l l a b 漏 洞 的 危 害 学 习 漏 洞 代 码 的 审 计 分 析 掌 握 P h p c o l l a b 漏 洞 的 验 证 三 三 实 验 工 具 实 验 工 具 S e a y 源 代 码 审 计 系 统 : 审 计 P H P 源 代 码 的 工 具 集 成 。 高 精 确 度 自 动 白 盒 审 计 、 m y s q l 数 据 库 管 理 、 黑 盒 敏 感 信 息 泄 露 一 键 审 计 、 自 定 义 插 件 扩 展 功 能 等 等 。 实 验 漏 洞 实 验 漏 洞 P h p c o l l a b S Q l 注 入 漏 洞
在 p h p c o l l a b   2 . 5 . 1 以 及 更 早 版 本 中 存 有 S Q L 注 入 漏 洞 ， 允 许 远 程 恶 意 访 问 者 执 行 任 意 的 S Q L 命 令 。 漏 洞 存 在 于 t o p i c s / d e l e t e t o p i c s . p h p 中 p r o j e c t 参 数 和 i d 参 数 ， b o o k m a r k s / d e l e t e b o o k m a r k s . p h p 中 的 i d 参 数 。 漏 洞 C V E 编 号 为 （ C V E - 2 0 1 7 - 6 0 8 9 ） 。 P h p c o l l a b 文 件 上 传 漏 洞 文 件 c l i e n t s / e d i t c l i e n t . p h p 存 在 任 意 文 件 上 传 漏 洞 ， 允 许 已 认 证 的 用 户 上 传 一 个 可 被 W e b 服 务 器 解 析 执 行 的 文 件 ， 通 过 访 问 l o g o s _ c l i e n t s 目 录 下 对 应 的 文 件 ， 执 行 命 令 ， 漏 洞 C V E 编 号 为 （ C V E - 2 0 1 7 - 6 0 9 0 ） 。 影 响 版 本 影 响 版 本 版 本 号   < =   2 . 5 . 1 四 四 实 验 步 骤 实 验 步 骤 步 骤 步 骤 1 ： ：   p r o j e c t 参 数 注 入 分 析 参 数 注 入 分 析 首 先 ， 打 开 桌 面 的 S e a y 源 代 码 审 计 系 统 ， 新 建 项 目 ， 选 择 本 次 审 计 的 代 码 路 径 （ C : p h p S t u d y w w w p h p c o l l a b ） , 确 定 。 系 统 会 自 动 列 出 所 选 目 录 下 的 文 件 结 构 。 我 们 找 到 本 次 漏 洞 的 源 码 文 件   t o p i c s / d e l e t e t o p i c s . p h p ， 点 击 打 开 源 码 界 面 。 在 函 数 列 表 中 选 择 $ p r o j e c t , 右 侧 的 代 码 会 自 动 跳 转 到 包 含 该 函 数 的 代 码 处
我 们 查 看 代 码 2 7 ~ 3 4 行 ， 代 码 如 下 ： i f ( $ _ G E T [ ' p r o j e c t ' ] ) { $ p r o j e c t   =   $ _ G E T [ ' p r o j e c t ' ] ; }   e l s e   {         u n s e t ( $ p r o j e c t ) ; } $ t m p q u e r y   =     " W H E R E   p r o . i d   =   ' $ p r o j e c t ' " ; $ p r o j e c t D e t a i l   =     n e w   r e q u e s t ( ) ; $ p r o j e c t D e t a i l - > o p e n P r o j e c t s ( $ t m p q u e r y ) ; $ _ G E T 从 U R L 中 获 取 变 量 p r o j e c t 的 值 ， u n s e t 表 示 若 无 该 变 量 值 则 不 设 置 ， t m p q u e r y 将 变 量 带 入 数 据 库 查 询 ， 在 代 码 执 行 查 询 过 程 中 ， 并 未 对 变 量 做 安 全 处 理 。 步 骤 步 骤 2 ： ：   p r o j e c t 参 数 注 入 验 证 参 数 注 入 验 证 首 先 使 用 浏 览 器 访 问 h t t p : / / f i l e . i c h u n q i u . c o m / a w e d 3 5 7 9 / 打 开 本 次 实 验 的 P O C ， 内 容 如 下 ： 随 后 开 始 访 问 目 标 网 站 ： h t t p : / / t e s t . i c h u n q i u . c o m / p h p c o l l a b / t o p i c s / d e l e t e t o p i c s . p h p 使 用 a d m i n 、 a d m i n 等 录 测 试 账 户 。 返 回 的 u r l 中 会 存 有 一 段 P H P S E S S I D 值 ( 每 次 登 陆 值 可 能 不 一 样 ) ， 记 住 该 值 ， 我 们 点 击   我 的 讨 论 - - 》 话 题 - - 》 删 除 ， 成 功 访 问 漏 洞 页 面 。
在 p r o j e c t = 1 后 加 上 ' ( 单 引 号 ) 访 问 ， 简 单 判 断 S Q L 注 入
使 用 P O C 中 的 第 一 条 语 句 ， 结 合 本 次 实 验 的 P H P S E S S I O N ， 组 成 新 的 P O C 链 接 并 访 问 . 针 对 参 数 p r o j e c t 的 注 入 语 句 如 下 ： ( S E L E C T + S L E E P ( 5 ) + F R O M + m e m b e r s + w h e r e + l o g i n + l i k e + 0 x 6 1 6 4 6 d 6 9 6 e ) 这 条 语 句 从 m e m b e r s 列 中 查 询 0 x 6 1 6 4 6 d 6 9 6 e （ a d m i n 的 1 6 进 制 ） 用 户 的 登 陆 ， 查 询 成 功 后 数 据 库 s l e e p 5 秒 网 站 执 行 的 结 果 从 上 图 可 以 看 出 ， 确 实 加 载 了 几 秒 钟 。 为 了 验 证 确 实 是 数 据 库 执 行 了 语 句 导 致 的 加 载 ， 我 们 可 以 直 接 在 数 据 库 中 执 行 上 述 语 句 做 对 比 。 打 开 桌 面 上 的 p h p s t u d y ， 点 击 M y s q l 管 理 器 ， 选 择 M y s q l - F r o n t ， 登 陆 l o c a l h o s t ， 找 到 p h p c o l l b 表 ， 使 用 S Q L 编 辑 器 执 行 上 述 语 句 （ 注 意 数 据 库 不 支 持 + , 所 以 需 去 除 + 号 执 行 ） ， 右 击 执 行 。
可 以 看 见 语 句 起 作 用 后 ， 效 果 与 网 页 加 载 类 似 ， 漏 洞 验 证 成 功 步 骤 步 骤 3 :   i d 参 数 注 入 分 析 参 数 注 入 分 析 我 们 回 到 S e a y 源 代 码 审 计 系 统 ， 找 到 本 次 漏 洞 的 源 码 文 件   t o p i c s / d e l e t e t o p i c s . p h p ， 点 击 打 开 源 码 界 面 ， 在 函 数 列 表 中 选 择 $ i d , 右 侧 的 代 码 会 自 动 跳 转 到 包 含 该 函 数 的 代 码 处 。
源 代 码 9 ～ 1 8 行 对 应 了 i d 参 数 的 漏 洞 点 i f   ( $ a c t i o n   = =     " d e l e t e " )   { $ i d   =     s t r _ r e p l a c e ( " * * " , " , " , $ i d ) ;         / / $ t m p q u e r y 1   =   " D E L E T E   F R O M   " . $ t a b l e C o l l a b [ " t o p i c s " ] . "   W H E R E   i d   I N ( $ i d ) " ; $ t m p q u e r y 1   =     " D E L E T E   F R O M     " . $ t a b l e C o l l a b [ " t o p i c s " ] . "   W H E R E   i d   =   $ i d " ;         / / $ t m p q u e r y 2   =   " D E L E T E   F R O M   " . $ t a b l e C o l l a b [ " p o s t s " ] . "   W H E R E   t o p i c   I N ( $ i d ) " ; $ t m p q u e r y 2   =     " D E L E T E   F R O M     " . $ t a b l e C o l l a b [ " p o s t s " ] . "   W H E R E   t o p i c   =   $ i d " ; $ p i e c e s   =     e x p l o d e ( " , " , $ i d ) ; $ n u m   =   c o u n t ( $ p i e c e s ) ;         c o n n e c t S q l ( " $ t m p q u e r y 1 " ) ;         c o n n e c t S q l ( " $ t m p q u e r y 2 " ) ; s t r _ r e p l a c e 函 数 将 参 数 中 的 * * ( 星 号 ) 替 换 为 ， ( 逗 号 ) ， t m p q u e r y 1 拼 接 字 符 串 组 成 查 询 语 句 ， c o n n e c t S q l 执 行 S Q L 语 句 ，   这 段 代 码 在 判 定 执 行 d e l e t e 操 作 之 后 ， 首 先 对 i d 参 数 中 出 现 的 星 号 替 换 为 逗 号 ， 随 后 将 字 符 串 组 合 形 成 查 询 语 句 ， 最 后 通 过 c o n n e c t S q l 函 数 执 行 两 个 S Q L 语 句 ， 在 代 码 执 行 过 程 中 ， 并 没 有 对 变 量 i d 做 任 何 安 全 处 理 。 步 骤 步 骤 4 ： ： i d 参 数 注 入 验 证 参 数 注 入 验 证 我 们 继 续 使 用 审 计 系 统 ， 本 次 验 证 选 择 一 个 不 同 的 p h p 页 面 去 验 证 ， 在 d e l e t e t o p i c s . p h p 源 码 页 面 中 ， 选 中 $ i d   =   s t r _ r e p l a c e ( " * * " , " , " , $ i d ) ; 这 一 段 代 码 ， 右 击 选 择 全 局 搜 索 ， 即 可 发 现 其 他 文 件 中 包 含 一 样 的 代 码 的 文 件 。
我 们 选 择 d e l e t e b o o k m a r k s . p h p , 可 以 看 见 导 致 漏 洞 的 代 码 原 理 一 样 我 们 使 用 P O C 中 的 第 二 条 语 句 ， 结 合 实 验 的 u r l 和 P H P S E S S I O N S ， 得 到 本 次 实 验 的 P O C （ 温 馨 提 示 ： 构 造 p o c 时 ， 可 以 使 用 h a c k b a r 的 s p l i t U R L 将 不 同 参 数 分 隔 开 来 ） ， 访 问 后 查 看 运 行 结 果 如 下 ：
验 证 成 功 ！ 其 实 通 过 源 代 码 审 计 系 统 的 全 局 搜 索 看 ， 还 存 在 很 多 类 似 的 代 码 ， 不 再 一 一 验 证 步 骤 步 骤 5 ： 文 件 上 传 漏 洞 分 析 ： 文 件 上 传 漏 洞 分 析 这 个 漏 洞 点 存 在 于 / p h p c o l l a b / c l i e n t s / e d i t c l i e n t . p h p 文 件 的 第 6 3 ~ 7 0 行 ， 使 用 上 述 打 开 漏 洞 页 面 代 码 同 样 的 步 骤 ， 打 开 该 文 件   ， 漏 洞 代 码 如 下 ： s t r t o l o w e r ( )   函 数 把 字 符 串 转 换 为 小 写 s u b s t r ( )   函 数 返 回 字 符 串 的 一 部 分 s t r r c h r ( )   函 数 查 找 字 符 在 指 定 字 符 串 中 从 左 面 开 始 的 最 后 一 次 出 现 的 位 置 这 里 代 码 通 过 对 文 件 名 的 字 符 串 操 作 ， 取 得 了 小 写 的 后 缀 名 。 值 得 注 意 的 是 ， m o v e _ u p l o a d e d _ f i l e   完 成 上 传 动 作 后 ， 新 文 件 的 名 称 . . / l o g o s _ c l i e n t s / " . $ i d . " . $ e x t e n s i o n ， 也 就 是 保 存 到 l o g o s _ c l i e n t s 文 件 夹 下 ， 文 件 名 为 $ i d 对 应 的 值 ， 并 且 后 缀 名 不 变 。 这 块 是 上 传 l o g o 的 位 置 ， 并 对 制 后 缀 名 未 做 限 制 ， 所 以 导 致 漏 洞 的 出 现 。 步 骤 步 骤 6 ： 文 件 上 传 漏 洞 验 证 ： 文 件 上 传 漏 洞 验 证 我 们 访 问 目 标 地 址 h t t p : / / t e s t . i c h u n q i u . c o m / p h p c o l l a b / ( 可 能 需 要 登 录 ) ， 点 击 " 客 户 “ ， 选 择 下 面 的 加 号 ， 添 加 新 的 客 户 组 织 。
填 写 相 关 信 息 后 ， 在 " 标 志 " 处 点 击 浏 览 ， 选 择 一 个 构 建 好 的 p h p i n f o 文 件 （ C : p h p s t u d y w w w p h p i n f o . p h p ） , 确 定 保 存 。   这 个 时 候 我 们 可 以 访 问 以 下 l o g o s _ c l i e n t s / p h p i n f o . p h p 页 面 ， 查 看 是 否 成 功 可 以 看 见 并 没 有 文 件 ， 页 面 返 回 4 0 4 ， 不 存 在 。 这 可 以 证 明 文 件 上 传 漏 洞 并 不 是 在 第 一 次 新 增 客 户 时 触 发 的 。 这 里 我 们 回 到 客 户 组 织 页 面 ， 点 击 编 辑 图 标 ， 编 辑 我 们 刚 刚 新 建 的 " 客 户 "
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理