php漏洞 wvs,建站之星sitestar v2.5文件包含漏洞利用及修复

该楼层疑似违规已被系统折叠 隐藏此楼查看此楼

无意间发现建站之星sitestar 的一鸡肋文件包含漏洞，WVS扫描一朋友的网站，发现提示有以下文件包含漏洞index.php?_a=fullist&_m=../../../../../../../../../../etc/passwd%00.jpgadmin/index.php?_a=admin_list&_m=../../../../../../../../../../etc/passwd%00.jpg测试改漏洞影响版本有建站之星sitestar v2.5、sitestar v2.6查看index.php文件，代码如下：<?php

define(‘IN_CONTEXT’, 1);

include_once(‘load.php’);

?>继续跟进load.php, 变量_m相关语句如下：$act =& ParamHolder::get(‘_m’);

switch ($act) {

case ‘mod_order’:

include_once(P_INC.’/china_ds_data.php’);

break;

case ‘mod_auth’:

case ‘mod_message’:

include_once(P_LIB.’/rand_math.php’);

break;

}继续跟进 ParamHolder::get是如何实现的，具体漏洞文件是在library\param.php，代码如下：193 class ParamHolder {

194 /**

195 * Retrieve parameter

196 *

197 * @access public

198 * @static

199 * @param string $key_path The context path for retrieving data

200 * @param mixed $value The default data as fallback

201 * @param int $scope The parameter context

202 * @return mixed

203 */

204 public static function &get($key_path, $default = false, $scope = PS_ALL) {

205 switch ($scope) {

206 case PS_GET:

207 $rs =& ParamParser::retrive($_GET, $key_path, $default); //可输入变量$_GET 可能存在安全威胁

208 break;

209 case PS_POST:

210 $rs =& ParamParser::retrive($_POST, $key_path, $default); //可输入变量$_POST 可能存在安全威胁

211 break;

212 case PS_COOKIE:

213 $rs =& ParamParser::retrive($_COOKIE, $key_path, $default); //可输入变量$_COOKIE 可能存在安全威胁

214 break;

215 case PS_FILES:

216 $rs =& ParamParser::retrive($_FILES, $key_path, $default); //可输入变量$_FILES 可能存在安全威胁

217 /**

218 * get upload file type

219 */

220 if (isset($rs["tmp_name"]) && !is_array($rs["tmp_name"]) && !empty($rs["tmp_name"])) {

221 $ftype = ParamParser::file_type($rs["tmp_name"]);

222 if ($ftype == ‘unknown’) die(__(‘Upload file type error,please retry!’));

223 }

224 break;

225 case PS_MANUAL:

226 $rs =& ManualParamHolder::get($key_path, $default);

227 break;

228 case PS_ALL:

229 if (ParamParser::has($_GET, $key_path)) { //可输入变量$_GET 可能存在安全威胁

230 $rs =& ParamParser::retrive($_GET, $key_path, $default); //可输入变量$_GET 可能存在安全威胁

231 } else if (ParamParser::has($_POST, $key_path)) { //可输入变量$_POST 可能存在安全威胁

232 $rs =& ParamParser::retrive($_POST, $key_path, $default); //可输入变量$_POST 可能存在安全威胁

233 } else if (ParamParser::has($_COOKIE, $key_path)) { //可输入变量$_COOKIE 可能存在安全威胁

234 $rs =& ParamParser::retrive($_COOKIE, $key_path, $default); //可输入变量$_COOKIE 可能存在安全威胁

235 } else if (ParamParser::has($_FILES, $key_path)) { //可输入变量$_FILES 可能存在安全威胁

236 $rs =& ParamParser::retrive($_FILES, $key_path, $default); //可输入变量$_FILES 可能存在安全威胁

237 } else if (ManualParamHolder::has($key_path)) {

238 $rs =& ManualParamHolder::get($key_path, $default);

239 } else {

240 $rs = $default;

241 }

242 break;

243 default:

244 $rs = $default;

245 }

246 return $rs;

247 }

248 }可以看到没有对输入变量做任何的过滤判断等，导致本地包含漏洞的出现。针对朋友网站的环境等修复方案如下：对$rs进行过滤,return $rs;前加如下代码：$rs = str_replace(“.”,”_”,$rs);return $rs;