CVE-2016-8870(Joomla 提权类漏洞 )

最新推荐文章于 2023-07-11 10:44:58 发布

FLy_鹏程万里

最新推荐文章于 2023-07-11 10:44:58 发布

阅读量1.5k

点赞数 1

本文链接：https://blog.csdn.net/Fly_hps/article/details/79573058

版权

【框架漏洞】同时被 3 个专栏收录

42 篇文章 5 订阅

订阅专栏

Joomal

2 篇文章 1 订阅

订阅专栏

【提权类漏洞】

2 篇文章 1 订阅

订阅专栏

前言

Joomla是一套全球知名的内容管理系统。Joomla是使用PHP语言加上MySQL数据库所开发的软件系统，可以在Linux、Windows、MacOSX等各种不同的平台上执行。目前是由OpenSourceMatters这个开放源码组织进行开发与支持。

漏洞编号

CVE-2016-8870

漏洞影响范围

joomal 3.4.4 ~3.6.3

漏洞分析

在存在漏洞的版本中有两个用户注册的方法：

（1）位于components/com_users/controllers/registration.php中的UserControllerRegistration::register()

public function register()
    {
        // Check for request forgeries.
        JSession::checkToken() or jexit(JText::_('JINVALID_TOKEN'));

        // If registration is disabled - Redirect to login page.
        if (JComponentHelper::getParams('com_users')->get('allowUserRegistration') == 0)
        {
            $this->setRedirect(JRoute::_('index.php?option=com_users&view=login', false));

            return false;
        }
        $app   = JFactory::getApplication();
        $model = $this->getModel('Registration', 'UsersModel');

        // Get the user data.
        $requestData = $this->input->post->get('jform', array(), 'array');

        // Validate the posted data.
        $form = $model->getForm();

        .......................................................
    }

（2）位于components/com_users/controllers/user.php中的UsersControllerUser::register()

public function register()
    {
        JSession::checkToken('post') or jexit(JText::_('JINVALID_TOKEN'));

        // Get the application
        $app = JFactory::getApplication();

        // Get the form data.
        $data = $this->input->post->get('user', array(), 'array');

        // Get the model and validate the data.
        $model  = $this->getModel('Registration', 'UsersModel');

        $form = $model->getForm();

        ............................
    }

可以通过对比UserControllerRegistration::register()和UsersControllerUser::register()发现，在

UsersControllerUser::register()缺少以下代码：

// If registration is disabled - Redirect to login page.
if (JComponentHelper::getParams('com_users')->get('allowUserRegistration') == 0)
{
    $this->setRedirect(JRoute::_('index.php?option=com_users&view=login', false));

    return false;
}

这几行代码是检查是否允许注册，也就是说如果我们可以用UsersControllerUser::register()这个方法来进行注册就可以绕过这个检测发送的请求参数task=registration.register能够知道这里默认注册是调用的register.php下UsersControllerRegistration类，但是我们想要调用的是user.php下UsersControllerUser

下面进行一个简单的提权的分析：

在利用注册的时候，我们使用的user.php下UsersControllerUser类的register方法的最后面有这样一句代码

$return = $model->register($data);

这句代码调用了components/com_users/models/registration.php下的register方法，我们可以在这里看一下这个方法：

public function regioter($tomp)
$parama 一JcomponentHolper getParamd ‘com_usero ’)
1Initlalise the table with JUser.
$uaer 一new JUaeri
$data- (array) $thia->getData( )1
"1Nerge in the registration data.
foreach ($temp ag $k -> $v)
$data[sk]- $vI
11Prepare the data for the userobject
$data['emall']- JStringPunycode temailroPunycode $data['emall 1' ]) ，
$data[' pasgword'] 一$datal'passwordl' ]1
$useractivation 一$params->get( ugeractivation )1
$eendpaseword 一$params->get( Bendpassword ，1) 1
11Check 1f the user needs to activate their account.
if (($useractivation -- 1) I1($useractivation - 2) )

$data参数分析

由下图可以看到其实我们这个$data实际还存在一个参数是groups的数组，而这个数组就决定了账户的权限。