通过数据库的插入延迟造成条件竞争下的命令执行-CSDN博客

好久没发博客了，补上之前学的一些东西

文章本人首发于t00ls

0x01

初学代码审计，前年找了一个小众cms挖了个命令执行，这次看见它更新后又审了一下之前出现漏洞的地方尝试绕过。上次出现问题的地方在于：

用户提交配置信息，后台把网站的配置信息存入数据库，写入配置文件的时候从数据库中取出配置信息，以"$变量=值"的方式粘贴成字符串后写入到php文件中作为配置文件。配置文件形式如下：

漏洞被修复后，代码如下，第6行-第11行：

 1 function WriteConfig() { global $dosql, $config_cache, $gourl;
 2 
 3 $str = '<?php    if(!defined(\'IN_PHPMYWIND\')) exit(\'Request Error!\');'."\r\n\r\n";
 4 $dosql->Execute("SELECT `varname`,`vartype`,`varvalue`,`vargroup` FROM `#@__webconfig` ORDER BY orderid ASC");
 5 while($row = $dosql->GetArray())
 6 {
 7     //强制去掉 '
 8     //强制去掉最后一位 /
 9     $vartmp = str_replace("'",'',$row['varvalue']);
10 
11     if(substr($vartmp, -1) == '\\')
12     {
13         $vartmp = substr($vartmp,1,-1);
14     }
15 
16     if($row['vartype'] == 'number')
17     {
18         if($row['varvalue'] == '')
19         {
20             $vartmp = 0;
21         }
22 
23         $str .= "\${$row['varname']} = ".$vartmp.";\r\n";
24     }
25     else
26     {
27         $str .= "\${$row['varname']} = '".$vartmp."';\r\n";
28     }
29 }
30 $str .= '?>';
31 
32 if(!Writef($config_cache,$str))
33 {
34     ShowMsg("变量成功保存，但由于 config.cache.php 无法写入，因此不能更新配置！", $gourl);
35     exit();
36 }
37 
38 RewriteURL();