Drupal 远程代码执行漏洞 （CVE-2019-6339）漏洞分析

简介

Drupal core是Drupal社区所维护的一套用PHP语言开发的免费、开源的内容管理系统。

漏洞概述

Drupal core 7.62之前的7.x版本、8.6.6之前的8.6.x版本和8.5.9之前的8.5.x版本中的内置phar stream wrapper（PHP）存在远程代码执行漏洞。远程攻击者可利用该漏洞执行任意的php代码。

 

在Drupal的机制中，有一个规则：如果出现同名文件，就会在文件名后面加上_0，_1，并且会递增。

例如：

 

phar stream wrapper（PHP）：通过phar://协议对一个phar文件进行文件操作，如file_get_contents，就可以触发反序列化，从而达成RCE的效果。

具体链接：https://blog.zsxsoft.com/post/38

所以这是这个漏洞产生的主要的原因，复现过程大家再百度一下就行了