Catfishcms漏洞复现

Catfishcms漏洞复现

环境搭建：

Catfishcms v4.8.54环境搭建

漏洞复现：

代码审计：

_method=__construct
Request类（catfish/library/think/Request.php）用于处理请求，函数method用于获取请求的类型

application/config.php 中定义了“表单请求类型伪装变量”:

 

POST请求参数 “ _method=__construct ”，将 __construct 传给了var_method ，在Request类的method函数中执行后，实现了对Request类的 __construct 构造函数的调用；并且将完整的POST参数传给了构造函数

method=*&filter[]=system
catfish/library/think/Request.php模块中的Request类的构造函数：

函数中循环取出参数，如果是本类中存在的参数，就取用户传入的值为其赋值，property_exists（

先判断该对象是否有这个属性，如果有则返回真。如果该对象没有有这个属性， 则继续判断该对象对应的类是否定义过这个属性，如果定义过仍然返回真，否则才返回假。）

_method=__construct 使得 method 函数调用了 __construct 构造函数， 并且将完整的POST参数传递过去。实现了对本类中的 $method 和 $filter 两个全局变量的覆盖

 

filter[]=system 的补充：
filter[]=system 或者 filter=system都可以，[]符号可有可无；system意为执行系统命令

Method=* 的补充：
method参数的取值限定为：catfish/library/think/Route.php 模块中定义的路由规则，如：GET、POST、PUT、* 等任何一个值都可以；如果值不在此表或为空，都会报错

 

s=whoami
application/config.php 中定义PATHINFO变量名为’ s ’，可用s传入需要执行的命令，如s=whoami

payload：

s=whoami&_method=__construct&method=&filter[]=system
_method=__construct 使得 Request类的method函数调用 __construct 构造函数，并且将完整的payload传递给构造函数；构造函数中对 method 和filter 两个全局变量进行覆盖，method=&filter[]=system ；参数s传入需要执行的系统命令 

这里没有复现出来，不知道问题出在哪里，希望大佬指出