目录
10.2.1 最初的phpcms头像上传getshell漏洞
10.3 怎么制造一个只能解压一半的压缩包(即解压到一半出错的)
十、文件上传漏洞
10.1 当php邂逅windows通用上传缺陷
- U-Mail邮件系统文件上传的地方代码是这样的
<?php if(ACTION == "attach-upload") { // 如果 ACTION 变量的值为 "attach-upload" if($_FILES) { // 检查是否有文件上传 // 获取上传文件的相关信息 $file_name = $_FILES['Filedata']['name']; // 文件名 $file_type = $_FILES['Filedata']['type']; // 文件类型 $file_size = $_FILES['Filedata']['size']; // 文件大小 $file_source = $_FILES['Filedata']['tmp_name']; // 临时文件路径 $file_suffix = getfilenamesuffix($file_name); // 获取文件后缀名 // 不允许上传的文件扩展名 $not_allow_ext = array("php", "phps", "php3", "exe", "bat"); // 如果文件后缀名在不允许的扩展名数组中 if (in_array($file_suffix, $not_allow_ext)) { // 返回 JSON 格式的错误信息 dump_json(array("status" => 0, "message" => el("不支持该扩展名文件上传", ""))); } // 获取用户缓存目录路径 $path_target = getusercachepath(); do { // 生成随机文件名 $file_id = makerandomname(); // 构造目标文件路径 $file_target = $path_target . $file_id . "." . $file_suffix; } while (file_exists($file_target)); // 如果目标文件路径已存在,则继续生成新的文件名 // 移动上传的文件到目标路径 if (move_uploaded_file($file_source, $file_target)) { // 如果移动文件失败,返回 JSON 格式的错误信息 dump_json(array("status" => 0, "message" => el("写入文件出错,请与管理员联系!", ""))); } // 将上传文件的相关信息存储到会话的 'attach_cache' 数组中 $_SESSION[SESSION_ID]['attach_cache'][] = array( "id" => $file_id, "name" => $file_name, "type" => "1", "path" => $file_target, "size" => $file_size ); // 返回 JSON 格式的成功信息 dump_json(array("status" => "1", "filename" => $file_name, "filesize" => $file_size, "file_id" => $file_id)); } else { // 如果没有文件上传,返回 JSON 格式的错误信息 dump_json(array("status" => "0", "message" => el("无法找到需要上传的文件!", ""))); } } ?>
- 我们注意到如下的代码
$not_allow_ext = array( "php", "phps", "php3", "exe", "bat" ); if (in_array($file_suffix, $not_allow_ext )){ dump_json( array( "status" => 0, "message" => el( "不支持该扩展名文件上传", "" ) ) ); }
- 非常明显,采用的是黑名单验证,虽然我们可以采用类似这样的文件后缀绕过程序的检测,如:bypass.phpX(这里的X代表空格%20或其他特殊字符{%80-%99}),但这并是今天我想要讲的内容。
- 今天,通过这个例子给大家讲解一种新型的文件上传方式,且听我娓娓道来..
代码poc实现
- 为了在本地测试方便,我们对上述代码进行简化,如下
<?php // U-Mail demo ... if(isset($_POST['submit'])) { // 检查表单是否已提交 $filename = $_POST['filename']; // 获取表单中 'filename' 的值 $filename = preg_replace("/[^\w]/i", "", $filename); // 去除 'filename' 中的非字母、数字字符 $upfile = $_FILES['file']['name']; // 获取上传文件的原始名称 $upfile = str_replace(';', "", $upfile); // 去除文件名中的分号 $upfile = preg_replace("/[^(\w|\:|\$|\.|\<|\>)]/i", "", $upfile); // 仅允许字母、数字、冒号、美元符号、点号、尖括号 $tempfile = $_FILES['file']['tmp_name']; // 获取上传文件的临时路径 $ext = trim(get_extension($upfile)); // 获取文件扩展名 if(in_array($ext, array('php', 'php3', 'php5'))) { // 检查文件扩展名是否在禁止列表中 die('Warning ! File type error..'); // 如果是禁止的扩展名,输出警告信息并终止执行 } // 如果文件扩展名属于以下类型,则将扩展名设置为 'file' if($ext == 'asp' || $ext == 'asa' || $ext == 'cer' || $ext == 'cdx' || $ext == 'aspx' || $ext == 'htaccess') { $ext = 'file'; } // 构造文件保存路径 $savefile = 'upload/' . $filename . "." . $ext; // 移动上传的文件到目标路径 if(move_uploaded_file($tempfile, $savefile)) { die('Success upload..path :' . $savefile); // 如果成功,输出成功信息和文件保存路径 } else { die('Upload failed..'); // 如果失败,输出失败信息 } } // 获取文件扩展名的函数 function get_extension($file) { return strtolower(substr($file, strrpos($file, '.') + 1)); // 提取文件扩展名并转为小写 } ?> <html> <body> <form method="post" action="upfile.php" enctype="multipart/form-data"> <input type="file" name="file" value=""/> <!-- 文件上传控件 --> <input type="hidden" name="filename" value="file"/> <!-- 隐藏字段,指定默认文件名 --> <input type="submit" name="submit" value="upload"/> <!-- 提交按钮 --> </form> </body> </html>
- 对于上述代码,虽然是通过黑名单进行文件名检测,但通过目前已知的上传方法,是没有办法成功上传php文件的(不考虑程序的Bug),因此可以说这段文件上传的代码是"安全"的,
细说故事
- 关于利用系统特性进行文件上传的知识点
- 这几行英文的意思大致是,在php+window+iis环境下:
双引号("“") <==> 点号(".")'; 大于符号(">") <==> 问号("?")'; 小于符号("<") <==> 星号("*")';
- 有这么好玩的东西,那不就可以做太多的事了?但事实并不是这样,通过一系列的测试发现,该特性只能用于文件上传时覆盖已知的文件,于是这个特性便略显鸡肋..
- 原因有二:
- 1)上传文件的目录一般我们都不可控;
- 2)同时,一般文件上传的目录不可能存在我们想要的任何php文件,因此没办法覆盖;
- 后来,经过反反复复的思考,终于找到了可以完美利用的办法..
- 思路如下:
- 首先我们先利用特殊办法生成一个php文件,然后再利用这个特性将文件覆盖..
- 可问题又来了,怎样生成php文件呢?如果可以直接生成php文件的话,干嘛还要利用那什么特性?
- 别急,办法总是有的..
- 我们都知道在文件上传时,我们往往会考虑到文件名截断,如%00 等..
- 对!有的人可能还会用冒号(":")去截断,如:bypass.php:jpg
- 但是冒号截断产生的文件是空白的,里面并不会有任何的内容,呵呵 说到这里 明白了没有? 虽然生成的php文件里面没有内容,但是php文件总生成了吧,所以 我们可以结合上面所说的特性完美成功利用..
冒号+特性成功利用
- 按照#3提供的思路,实现..
- 本地测试地址:http://localhost:8090/upfile.php 环境:Windows+IIS7.5
- 1)首先利用冒号生成我们将要覆盖的php文件,这里为:bypass.php,
- 但明显可以看出,php文件为空,我们需要覆盖。
- 2)利用上面的系统特性覆盖该文件
- 从上面已经知道"<" 就等于 "",而""代码任意字符,于是乎.. 我们可以这样修改上传的文件名,如下:
------WebKitFormBoundaryaaRARrn2LBvpvcwK Content-Disposition: form-data; name="file"; filename="bypass.<<<" Content-Type: image/jpeg //注意!文件名为:bypass.<<<
- 点击go..,即可成功覆盖bypass.php文件,如图
- 对比上面的两个图,bypass.php被我们成功的写入了内容..
特性二
- 首先来看看微软MSDN上面的一段话,如图
- 注意红色圈起来的英文
- The default data stream has no name. That is, the fully qualified name for the default stream for a file called "sample.txt" is "sample.txt::$DATA" since "sample.txt" is the name of the file and "$DATA" is the stream type
- 看不去不错哟,试试吧..
- 同样,我们可以这样修改上传的文件名,如下:
------WebKitFormBoundaryaaRARrn2LBvpvcwK Content-Disposition: form-data; name="file"; filename='DataStreamTest.php::$DATA' Content-Type: image/jpeg //注意!文件名为:DataStreamTest.php::$DATA
- 点击GO,奇迹出现了..
- 访问之...
漏洞证明
- U-Mail,具体利用方法,同上述的方法一样,为了简单快捷的话,可直接抓包修改文件名为:
- shell.php::$DATA 即可成功上传,这里不再演示
10.2 回忆phpcms头像上传漏洞以及后续影响
10.2.1 最初的phpcms头像上传getshell漏洞
- 不知道大家还记得phpcms曾经火极一时的头像上传漏洞不,因为这个漏洞,互联网上大量站点被黑,影响极为恶劣。简单来说phpcms对头像上传是这么处理:上传上去的zip文件,它先解压好,然后删除非图片文件。
- 在文件上传解压到被删除这个时间差里访问,就能在网站根目录下生成新的php文件,那么新生成的php文件是不会被删除的。
- 这就是一个竞争性上传漏洞,需要我们抓住这个时间差,在上传的php文件还没被删除前访问到它,就能够暴力getshell了。
10.2.2破程序员的小聪明,phpcms补丁的继续绕过
- 于是finecms意识到自己的问题,偷偷修补了这个安全问题。当时的他们是这样修复的:
<?php // 创建图片存储的临时文件夹 $temp = FCPATH.'cache/attach/'.md5(uniqid().rand(0, 9999)).'/'; // 生成一个唯一的临时目录路径 if (!file_exists($temp)) { // 检查临时目录是否已存在 mkdir($temp, 0777); // 如果不存在,则创建该目录,权限为0777 } $filename = $temp.'avatar.zip'; // 定义存储上传的 zip 文件的路径 file_put_contents($filename, $GLOBALS['HTTP_RAW_POST_DATA']); // 将上传的原始数据写入到指定的 zip 文件中 // 解压缩文件 $this->load->library('Pclzip'); // 加载 Pclzip 库,用于处理 zip 文件 $this->pclzip->PclFile($filename); // 初始化 Pclzip 对象,指定要处理的 zip 文件 if ($this->pclzip->extract(PCLZIP_OPT_PATH, $temp, PCLZIP_OPT_REPLACE_NEWER) == 0) { // 解压 zip 文件到临时目录中,覆盖更新的文件 exit($this->pclzip->zip(true)); // 如果解压失败,输出错误信息并退出 } @unlink($filename); // 删除原始的 zip 文件
- 说起来这也是phpcms曾经的修复方法,就是将压缩包放在一个随机命名的文件夹中再解压缩,这样你猜不到访问地址也就没法去暴力getshell了。
- 但是实质上这也只是解决了一个芝麻小的问题,而真正出现漏洞的点他们并未进行修复。
- 我们看到这段代码:
<?php if ($this->pclzip->extract(PCLZIP_OPT_PATH, $dir, PCLZIP_OPT_REPLACE_NEWER) == 0) { exit($this->pclzip->zip(true)); }
- 当解压发生失败时,就退出解压缩过程。
- 这也是一个很平常的思路,失败了肯定要报错并退出,因为后面的代码没法运行了。但是,程序员不会想到,有些压缩包能在解压到一半的时候出错。
- 什么意思,也就说我可以构造一个“出错”的压缩包,它可以解压出部分文件,但绝对会在解压未完成时出错。这是造成了一个状况:我上传的压缩包被解压了一半,webshell被解压出来了,但因为解压失败这里
exit($this->pclzip->zip(true));
退出了程序执行,后面一切的删除操作都没有了作用。- 首先构造一个解压会出错的压缩包,大家看下图,1-7.php都已经被成功解压了,但6.php解压出错,WinRAR弹出了出错信息:
- 发包的时候,将这个压缩包带上,会发现返回了500,出错信息:
- 但你的webshell已经解压完毕了。这个漏洞造成了finecms官网的沦陷
10.2.3 加了行代码就真的安全了吗?终极手段上!
- 过了半个月我看到了他们最新的代码:
<?php if (!isset($GLOBALS['HTTP_RAW_POST_DATA'])) { exit('环境不支持'); } // 创建用户上传文件夹 $dir = FCPATH . 'member/uploadfile/member/' . $this->uid . '/'; if (!file_exists($dir)) { mkdir($dir, 0777, true); } // 创建临时文件夹 $temp = FCPATH . 'cache/attach/' . md5(uniqid() . rand(0, 9999)) . '/'; if (!file_exists($temp)) { mkdir($temp, 0777, true); } $filename = $temp . 'avatar.zip'; // 临时存储 zip 文件 file_put_contents($filename, $GLOBALS['HTTP_RAW_POST_DATA']); // 保存上传的 zip 文件 // 解压缩文件 $this->load->library('Pclzip'); $this->pclzip->PclFile($filename); if ($this->pclzip->extract(PCLZIP_OPT_PATH, $temp, PCLZIP_OPT_REPLACE_NEWER) == 0) { @dr_dir_delete($temp); // 删除临时文件夹 exit($this->pclzip->zip(true)); // 输出错误信息并退出 } @unlink($filename); // 删除原始 zip 文件 ?>
- 加了行代码:
@dr_dir_delete($temp);
,解压出错后,在exit前将已经解压出来的内容删除了。确实避免了我在0×03中说到的安全问题。- 但finecms的开发者依旧是没有能看到真正造成这个漏洞的原因。
- 原因就出在解压压缩包的这个操作上。这个类你就把别人的代码拿来一抄就觉得完毕了,你知道这个类真正的用法么?大家猜猜我这次怎么绕过上诉补丁的。
- 压缩包中通常是不含有诸如“../”、“..”这种文件名的,但通常不含有不代表不能含有。我如果把压缩包中某文件名改成../../../../../index.php,是不是就能直接把你首页变成我的webshell呀?
- 这就是因为抄袭者并没有真正领悟zip这个类的使用方法,导致了这个安全问题。我在本地用notepad++即可修改、构造一个压缩包。
- 先把自己的shell改名字成aaaaaaaaaaaaaaaaaaaa.php
- 之所以起这个名字,就是预留一些空间,方便我之后将文件名改成../../../aaaaaaaaaaa.php而不用怕字符串长度不对。
- 把文件直接打包成zip,用notepad++打开:
- 将我画框的俩文件名的前9个字符改成../../../
- 然后就大功告成。
- 上传头像时抓包将刚才构造的压缩包贴进去:
- 然后,网站根目录下就会有你的shell了:aaaaaaaaaaa.php
- 通过这个方法,就能无限制地getshell
10.2.4 未完待续以及究竟怎么修复这个安全问题
- 究竟是什么原因造成了这个漏洞,究其根本还是以为你将用户不安全的POST数据写入了文件,并解压到web目录下了。
- 世界上有无数种方法可以避免这个问题,web目录下随便写文件真的好吗?为何你不把压缩包放进tmp目录里,如果上传、解压缩的操作都能在tmp目录里完成,再把我们需要的头像文件拷贝到web目录中,还会有这么麻烦的安全问题吗?
- phpcms已经彻底抛弃了解压缩的方式,直接在前端将图片处理完成后进行上传。但愚昧的finecms开发者还是抱着自己无知的思路,去用近乎“黑名单”的方式去解决这个问题,那就是黑客怎么日,他就怎么补,永远不知道下一步黑客会从哪里进入。这样的人永远只能落后挨打,这样的cms迟早会成为一个打满补丁的破布,每一个补丁都将付出无数速度与效率的代价。
10.3 怎么制造一个只能解压一半的压缩包(即解压到一半出错的)
这个问题其实需要看具体情况,看解压的那个程序的容忍程度,我这里就以两个解压的程序作为例子:
先说7zip。7zip的容忍度很低,只要压缩包中某一个文件的CRC校验码出错,就会报错退出。 如何修改压缩包里文件的CRC校验码呢?可以使用010editor。
我们先准备两个文件,一个PHP文件1.php,一个文本文件2.txt,其中1.php是webshell。然后将这两个文件压缩成shell.zip。 然后我们用010editor打开shell.zip,可以看到右下角有这个文件的格式信息,它被分成5部分,如图1。我们打开第4部分,其中有个deCrc,我们随便把值改成其他的值,然后保存。
图2。 此时用7zip解压就会出错,解压出的1.php是完好的,2.txt是一个空文件。
如图3。 我们再用PHP自带的ZipArchive库(代码如图4)测试这个zip,发现解压并没有出错,这也说明ZipArchive的容忍度比较高。 那么我们又如何让ZipArchive出错呢?最简单的方法,我们可以在文件名上下功夫。 比如,Windows下不允许文件名中包含冒号(:),我们就可以在010editor中将2.txt的deFileName属性的值改成“2.tx:”,如图5。此时解压就会出错,但1.php被保留了下来。
如图6。 在Linux下也有类似的方法,我们可以将文件名改成5个斜杠(/)
如图7,此时Linux下解压也会出错,但1.php被保留了下来,如图8。
......