[红日安全]代码审计Day5 - escapeshellarg与escapeshellcmd使用不当

最新推荐文章于 2023-01-09 15:02:59 发布

hongrisec

最新推荐文章于 2023-01-09 15:02:59 发布

阅读量753

点赞数

分类专栏：红日安全

本文链接：https://blog.csdn.net/hongrisec/article/details/105224663

版权

本文详细分析了PHP代码审计中遇到的escapeshellarg()和escapeshellcmd()函数使用不当导致的安全问题，通过实例展示了如何利用这些漏洞进行命令执行。文中以PHPMailer的CVE-2016-10033和CVE-2016-10045为例，解释了漏洞原理和利用方法，并给出了修复建议。

摘要由CSDN通过智能技术生成

点击订阅我们 和红日一起成长让安全如此精彩

红日安全出品|转载请注明来源

文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途以及盈利等目的，否则后果自行承担！（来源：红日安全）

本文由红日安全成员： l1nk3r 编写，如有不当，还望斧正。

前言

大家好，我们是红日安全-代码审计小组。最近我们小组正在做一个PHP代码审计的项目，供大家学习交流，我们给这个项目起了一个名字叫 PHP-Audit-Labs 。现在大家所看到的系列文章，属于项目 第一阶段 的内容，本阶段的内容题目均来自 PHP SECURITY CALENDAR 2017 。对于每一道题目，我们均给出对应的分析，并结合实际CMS进行解说。在文章的最后，我们还会留一道CTF题目，供大家练习，希望大家喜欢。下面是 第5篇 代码审计文章：

Day 5 - postcard

题目叫做明信片，代码如下：

漏洞解析 ：

这道题其实是考察由 php 内置函数 mail 所引发的命令执行漏洞。我们先看看 php 自带的 mail 函数的用法：

bool mail (    string $to ,    string $subject ,    string $message [,    string $additional_headers [,    string $additional_parameters ]])

其参数含义分别表示如下：

to，指定邮件接收者，即接收人

subject，邮件的标题

message，邮件的正文内容

additional_headers，指定邮件发送时其他的额外头部，如发送者From，抄送CC，隐藏抄送BCC

additional_parameters，指定传递给发送程序sendmail的额外参数。

在Linux系统上， php 的 mail 函数在底层中已经写好了，默认调用 Linux 的 sendmail 程序发送邮件。而在额外参数( additional_parameters )中， sendmail 主要支持的选项有以下三种：

-O option = value

QueueDirectory = queuedir 选择队列消息

-X logfile

这个参数可以指定一个目录来记录发送邮件时的详细日志情况。

-f from email

这个参数可以让我们指定我们发送邮件的邮箱地址。

举个简单例子方便理解:

上面这个样例中，我们使用 -X 参数指定日志文件，最终会在 /var/www/html/rce.php 中写入如下数据：

17220 <<< To: Alice@example.com 17220 <<< Subject: Hello Alice! 17220 <<< X-PHP-Originating-Script: 0:test.php 17220 <<< CC: somebodyelse@example.com 17220 <<< 17220 <<< <?php phpinfo(); ?> 17220 <<< [EOF]

当然这题如果只是这一个问题的话，会显的太简单了，我们继续往下看，在 第3行 有这样一串代码