搜索

[8485] 2014-12-10_代码安全审计：当file_exists遇上eval

文档创建者：s7ckTeam
浏览次数：27
最后更新：2025-01-17
2014-12-10_代码安全审计：当file_exists遇上eval 代 码 安 全 审 计 ： 当 f i l e _ e x i s t s 遇 上 e v a l c r s e c   F r e e B u f   2 0 1 4 - 1 2 - 1 0 起 因 起 因 昨 晚 有 人 在 一 Q Q 群 上 问 l c m s （ 一 款 网 站 C M S 系 统 ） 的 一 个 漏 洞 是 怎 么 形 成 的 ， 说 了 半 天 。 他 截 图 不 完 整 ， 于 是 叫 他 传 代 码 ， 下 载 回 来 找 到 r o u t e r . p h p 代 码 片 段 如 下 ： 这 里 我 们 先 来 看   g e t I n p u t S t r i n g （ ） 。 P r e g _ m a t a c h _ a l l   执 行 搜 索 $ f o r m a t   中 匹 配 / [ G | P | C | S | R | F ] /   的 数 据   返 回 一 个 数 组 $ m a t c h e s ， 这 样 默 认 的 也 就 是 返 回 了   G P C S   。 然 后 循 环 这 个 数 组 ， $ G L O B A L S   意 思 是 引 用 一 个 全 局 变 量 。 $ G L O B A L S   具 体 参 考 ： h t t p : / / p h p . n e t / m a n u a l / z h / r e s e r v e d . v a r i a b l e s . g l o b a l s . p h p 这 样 $ G L O B A L S [ $ f o r m a t _ d e f i n e s [ $ g l b ] ] [ $ n a m e ] 这 段 代 码 的 意 思 就 是   ， 先 取 到 $ f o r m a t _ d e f i n e s 数 组 里 面 的 一 个 值   如 _ G E T ， 再 用 g e t 方 法 获 取   n a m e 的 值 。 这 这 里 代 码 的 本 身 是 不 存 在 问 题 的 。 不 过 最 好 a d d s l a s h e s   ， a d d s l a s h e s 请 参 考 ： h t t p : / / w w w . w 3 s c h o o l . c o m . c n / p h p / f u n c _ s t r i n g _ a d d s l a s h e s . a s p
下 面 我 们 来 看 代 码 二   调 用 了 这 个 g e t I n p u t S t r i n g 函 数   而 这 个 函 数 并 未 做 任 何 过 滤 ， 判 断 了 一 下   c o r e / p l u g s / " . $ p l u g i n . " S t a r t e r . p h p   文 件 存 不 存 如 果 在 就 带 入 了   e v a l   。 e v a l 的 意 思 请 看 这 里 ： h t t p : / / w w w . w 3 s c h o o l . c o m . c n / p h p / f u n c _ m i s c _ e v a l . a s p 引 用 某 大 牛 的 一 句 话 “ 一 切 进 入 函 数 的 变 量 是 有 害 的 ” 。 并 且 这 里 的   $ p a g e 是 可 控 的 ， 也 就 是 说 当 提 交   ? p a g e = ’ ) ; p h p i n f o ( ) ; / /   语 句 就 变 成 这 样 了   e v a l   （ “ n e w   ” . $ p l u g i n . ” s t a r t e r ( ‘ ’ ) ; p h p i n f o ( ) ; / / ’ ) ” ） e v a l 里 面 双 斜 杠 代 表 注 释 的 意 思 ， 这 样 也 就 是 等 于 执 行 了   p h p i n f o ( ) ， 所 以 说 明 这 个 漏 洞 是 存 在 的 。 漏 洞 证 明 :
重 点 来 了 重 点 来 了 下 面 开 始 说 重 点 ， 群 里 某 牛 说 其 实 $ p l u g i n 也 能 p h p i n f o   本 人 研 究 了 半 天 ， 百 思 不 得 其 解 … … 过 了 许 久 就 大 牛 就 发 出 来 ， （ ? a = e c h o   1 ; / / . . / 1 ） ， 悲 剧 的 发 现 只 有 一 步 只 差 ， 很 感 谢 这 位 大 牛 的 指 点 ， 现 在 来 分 析 这 句 话 的 意 思 ， 于 是 写 了 个 1 . p h p , 代 码 如 下 ： < ? p h p     $ a c t = $ _ G E T [ ' a ' ] ; i f   ( f i l e _ e x i s t s ( ' t e s t / ' . $ a c t . ' 2 . p h p ' ) )   { e v a l ( " e c h o   ( ' 2 ' ) ; " . $ a c t ) ; } ? > 并 且 在 t e s t 文 件 下 建 立 一 个 名 为 1 2 . p h p 的 空 文 件 ， 这 也 就 是 指 的 f i l e _ e x i s t s 遇 上 e v a l 了 。   首 先 来 分 析   ， 代 码 的 意 思 是 ， 如 果 t e s t 下   存 在   * 2 . p h p 时 就 执 行 下 面 的 代 码 ， 正 常 提 交 的 应 该 是 1 . p h p ? a = 1   才 能 执 行 下 面 的 。 输 出   1 然 而 我 们 提 交 的 是   1 . p h p ? a = e c h o   1 ; / / . . / h t t p : / / l o c a l h o s t / 1 . p h p ? a = e c h o % 2 0 1 ; / / . . / 1 如 图 比 正 常 提 交 多 输 出 了 个   1   也 就 是 说   我 们 提 交 的   e c h o   1   执 行 了 。 把 提 交 内 容 写 进 代 码 上 也 就 是 i f   ( f i l e _ e x i s t s ( ' t e s t / e c h o   1 ; / / . . / 1 2 . p h p ' ) )
为 什 么 会 执 行 下 面 的 e v a l 呢 ？   可 能 是 f i l e _ e x i s t s 处 理 方 式 吧 。   把 e c h o   1 ; /   当 作 了 一 个 目 录 处 理   ， 然 后   / . . /   就 放 回 了 上 级 目 录 也 就 是 变 成 了   i f ( f i l e _ e x i s t s ( ' t e s t / 1 2 . p h p ' ) )   ， 然 而 我 我 们 t e s t 的 目 录 下 是 有 1 2 . p h p 。 所 以 这 个 判 断 放 回 了 t u r e ， 也 就 是 说 进 入 了 e v a l 。 E v a l 的 这 段 代 码   就 变 成 了   e v i l ( “ e c h o   ( ‘ 2 ’ ) ; e c h o   1 ; / / . . / 1 ” )   ， 上 面 提 到 过 / /   是 注 释 后 面 的 代 码 ， 所 以 就 输 出 了 图 上 的   2 1   。 总 结 总 结 尽 量 少 使 用 e v a l   ， 并 且 过 滤 能 控 制 的 变 量 。 这 个 C M S 系 统 的 修 补 方 式 是 写 一 个 函 数 过 滤 掉 ， $ p l u g i n   中 的   /   , 并 且 过 滤 $ p a g e   。 如 果 不 写 上 面 那 个 c s m 的 例 子 大 家 可 能 会 认 为 提 到 这 个 f i l e _ e x i s t s   遇 上   e v a l   不 怎 么 实 际 。 一 些 看 似 用 处 不 大 的 东 西 往 往 会 产 生 漏 洞 ， 代 码 安 全 审 计 最 重 要 的 就 是 ： 细 心 与 耐 心 ， 细 节 决 定 成 败 。 一 些 看 似 用 处 不 大 的 东 西 往 往 会 产 生 漏 洞 ， 代 码 安 全 审 计 最 重 要 的 就 是 ： 细 心 与 耐 心 ， 细 节 决 定 成 败 。 最 后 附 上 C M S 源 码 ： 链 接 :   h t t p : / / p a n . b a i d u . c o m / s / 1 v r i 8 Y   密 码 :   o k p q [ 本 文 作 者 c r s e c ， 本 文 属 于 F r e e B u f . C O M 独 家 发 布 文 章 ， 未 经 许 可 禁 止 转 载 ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理