搜索

[2089] 2018-12-12_Thinkphp5.xgetshell漏洞分析

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2018-12-12_Thinkphp5.xgetshell漏洞分析 T h i n k p h p   5 . x   g e t s h e l l 漏 洞 分 析 原 创   i c e m a t c h a   d o t N e t 安 全 研 究 僧   2 0 1 8 - 1 2 - 1 2 0 x 0 0 .   漏 洞 简 介 漏 洞 简 介 近 日 ， t h i n k p h p 官 方 发 布 了 5 . x 版 本 一 处 安 全 更 新 ， 修 复 了 路 由 中 c o n t r o l l e r 部 分 过 滤 不 严 从 而 导 致 g e t s h e l l 的 安 全 漏 洞 。 漏 洞 影 响 范 围 ： < 5 . 1 . 3 1   或 5 . 0 . x -   5 . 0 . 2 3 。 0 x 0 1 .   漏 洞 分 析 漏 洞 分 析 本 文 以 5 . 1 . 2 9 版 本 进 行 漏 洞 跟 进 。 关 键 代 码 t h i n k p h p l i b r a r y t h i n k r o u t e d i s p a t c h M o d u l e . p h p : 8 4 此 处 实 现 了 父 类 D i s p a t c h 的 e x e c ( ) 抽 象 方 法 ， 对 传 入 的 控 制 器 进 行 实 例 化 ， 返 回 一 个 实 例 ， 并 通 过 反 射 的 方 式 调 用 其 操 作 方 法 。 跟 踪 $ t h i s - > c o n t r o l l e r 变 量 ， t h i n k p h p l i b r a r y t h i n k r o u t e d i s p a t c h M o d u l e . p h p : 7 0 可 以 看 到 $ c o n t r o l l e r 变 量 的 值 在 $ r e s u l t [ 1 ] 不 为 空 的 条 件 下 来 自 于 $ r e s u l t 数 组 。 并 且 此 处 对 从 路 由 中 取 出 的 控 制 器 参 数 除 了 做 小 写 转 化 没 做 任 何 过 滤 操 作 。 继 续 跟 进 $ r e s u l t 数 组 ： t h i n k p h p l i b r a r y t h i n k r o u t e d i s p a t c h M o d u l e . p h p : 3 1 $ r e s u l t 来 自 父 类 D i s p a t c h 的 $ t h i s - > d i s p a t c h 属 性 ， 当 $ r e s u l t 为 字 符 串 的 时 候 ， 利 用 ‘ / ’ 切 割 为 数 组 。 跟 踪 $ t h i s - > d i s p a t c h 属 性 ， 来 到 t h i n k p h p l i b r a r y t h i n k A p p . p h p : 6 0 4
其 中 的 $ p a t h 参 数 来 自 于 U R L 中 的 p a t h i n f o ， t h i n k p h p l i b r a r y t h i n k R e q u e s t . p h p ： 6 7 8 而 默 认 c o n f i g [ ' v a r _ p a t h i n f o ' ] 为 s ， 所 以 根 据 t h i n k p h p 的 路 由 规 则 ， 应 该 这 样 构 造 u r l : 跟 进 $ t h i s - > r o u t e - > c h e c k ( ) 方 法 ， t p 5 . 1 . 2 9 t h i n k p h p l i b r a r y t h i n k R o u t e . p h p ： 8 7 7 此 处 非 强 制 路 由 和 域 名 路 由 ， 所 以 走 默 认 路 由 解 析 ， 继 续 跟 进 U r l D i s p a t c h 类 ， 也 就 是 u r l 类 ： t h i n k p h p l i b r a r y t h i n k r o u t e d i s p a t c h U r l . p h p : 1 8 此 处 调 用 p a r s e u r l ( ) 函 数 对 传 入 的 $ u r l 进 行 解 析 ， 进 一 步 跟 进 p a r s e u r l ( ) ： t h i n k p h p l i b r a r y t h i n k r o u t e d i s p a t c h U r l . p h p : 3 7
p a r s e u r l ( ) 调 用 了 p a r s e U r l P a t h ( ) 进 行 u r l 的 解 析 ， 整 个 解 析 过 程 同 样 只 是 简 单 的 利 用 ‘ / ’ 进 行 分 割 ， 没 有 做 任 何 过 滤 ： t h i n k p h p l i b r a r y t h i n k r o u t e d i s p a t c h U r l . p h p : 9 4 7 最 终 将 分 割 好 的 $ p a t h 封 装 成 路 由 返 回 :
接 着 将 其 作 为 属 性 传 入 M o d u l e 类 中 并 新 建 对 象 和 初 始 化 后 ， 最 后 回 到 A p p 类 中 继 续 执 行 : 接 下 来 的 调 用 栈 如 下 ： 也 就 回 到 开 头 的 关 键 代 码 处 。   至 此 ， 整 个 流 程 分 析 完 成 ， 可 以 得 出 ： m o u d l e 类 中 r e s u l t 属 性 来 自 于 u r l 中 p a t h i n f o ， p a t h i n f o 用 户 可 控 ， 并 且 代 码 对 其 没 有 任 何 过 滤 操 作 ， 也 就 是 说 待 实 例 化 的 $ t h i s - > c o n t r o l l e r 以 及 其 调 用 $ t h i s - > a c t i o n N a m e 用 户 完 全 可 控 。 那 么 通 过 引 入 ‘ ’ ， 利 用 命 名 空 间 的 特 性 ， 就 可 以 实 例 化 t h i n k p h p 中 的 任 意 一 个 类 ， 并 调 用 其 任 意 方 法 ， 所 以 找 到 存 在 利 用 点 的 类 及 其 方 法 就 可 以 完 成 漏 洞 利 用 。 0 x 0 3 . 漏 洞 利 用 。 漏 洞 利 用 。 目 前 存 在 多 个 可 以 利 用 的 类 及 其 方 法 : t h i n k r e q u e s t - > i n p u t ( ) t h i n k r e q u e s t - > c a c h e ( ) t h i n k a p p - > i n v o k e f u n c t i o n ( ) t h i n k c o n t a i n e r - > i n v o k e f u n c t i o n ( ) 这 里 用 其 中 一 个 完 成 R C E 的 利 用 ： X s s 的 利 用 : 0 x 0 4 . 修 复 建 议 修 复 建 议 官 方 已 提 供 相 应 补 丁 ， 及 时 升 级 到 官 方 最 新 版 本 即 可 。 0 x 0 5 . 参 考 链 接 参 考 链 接 h t t p s : / / b l o g . t h i n k p h p . c n / 8 6 9 0 7 5
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理