[送0day]代码审计就该这么来 Mlecms Getshell【系列一】【转】

本文原创作者:索马里的海贼,本文属i春秋原创奖励计划,未经许可禁止转载!

前言
看了版主 jing0102 的{代码审计思路} (通读+审计) Mlecms(中危漏洞/不简单)
感觉挺有意思 于是也回去下了一套代码看看
不得不说小众CMS的开发能力、安全意识跟大厂商还是有不少差距的 限于篇幅 不是关键部分就不贴代码了

一、发现隐患
拿到一套源码 首先得找到下手的地方,不管是不是新手 我都建议从index.php开始。
index.php做为固定主页面,里面肯定包含了整套系统的配置读取,初始化等内容,跟随这些包含的内容或者文件 就能大致了解整套系统的处理框架 流程等信息 这些信息在审计中都是非常重要的。经常有刚入门的审计同学不知道怎么才能加载某个文件,或者明明发现某个地方存在问题,却不知道如何访问去触发,这都是对流程不熟悉的结果。
感觉说的废话都能出一本书了,接下来直接来看看今天的主角mlecms
index.php中包含了一个inc/include/目录下的header.php
而header.php又包含了common.inc.php
common.inc.php又包含了globals.php
这3个文件都是用来初始化站点的数据,在看到globals.php的时候 发现有这么一段

[PHP] 纯文本查看 复制代码
1
2
3
4
5
foreach(array('_GET','_POST','_COOKIE') as $_request){
    foreach($$_request as $i => &$n){
        ${$i} = daddslashes($n);
    }
}


接触过代码审计的人应该很熟悉,这是一段伪全局的代码。很多流行cms都会用,也出过不少问题,dz dedecms都在伪全局上吃过苦头。
这里并没有对变量名进行判断就直接用双$初始化了变量,还记得DEDECMS的覆盖$GBLOBAS超全局变量导致的getshell么
好在这套系统并没有用$GBLOABS来做什么文章,而且变量的值都经过了daddslashes做了转义。那如果是$_FILES呢~

二、从隐患开始
正常的流程中$_FILES变量是当产生用户上传动作时一个系统初始化的数组

[PHP] 纯文本查看 复制代码
1
2
3
4
5
$_FILES['userfile']['name'] //客户端机器文件的原名称。
$_FILES['userfile']['type'] //文件的 MIME 类型,如果浏览器提供此信息的话。一个例子是“image/gif”。不过此 MIME 类型在 PHP 端并不检查,因此不要想当然认为有这个值。
$_FILES['userfile']['size'] //已上传文件的大小,单位为字节。
$_FILES['userfile']['tmp_name'] //文件被上传后在服务端储存的临时文件名。
$_FILES['userfile']['error'] //和该文件上传相关的错误代码。此项目是在 PHP 4.2.0 版本中增加的。


当正常上传的时候 数组中的tmp_name值是不可控的,但因为上面的提到隐患,$_FILES变量可以通过GPC提交来覆盖了。
当然$_FILES可控在严谨的上传流程里也不一定能造成很大的危害  我们就来看看这套系统的上传流程
搜索$_FILES 有4个文件使用了这个变量 去掉后台功能和ckeditor 找到了inc/class/avatar.class.php
看名字应该是跟头像上传有关,来看看具体内容
inc/class/avatar.class.php 行34

[PHP] 纯文本查看 复制代码
01
02
03
04
05
06
07
08
09
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
    
//这里的注释等下回来看
public function onuploadavatar() {
        @header("Expires: 0");
        @header("Cache-Control: private, post-check=0, pre-check=0, max-age=0", FALSE);
        @header("Pragma: no-cache");
        $this->init_input($_GET['agent']);
        $uid = $this->input['uid'];  //uid来自input数组 input数组来自init_input()函数
        if(empty($uid)) {
            return -1;
        }
        if(empty($_FILES['Filedata'])) {
            return -3;
        }
        list($width, $height, $type, $attr) = getimagesize($_FILES['Filedata']['tmp_name']); //这里调用getimagesize函数来检查文件内容
        $imgtype = array(1 => '.gif', 2 => '.jpg', 3 => '.png');
        $filetype = $imgtype[$type]; //限定了文件后缀来自$imgtype数组
        $tmpavatar = MLEINC.'/tmp/other/member_'.$uid.$filetype; //临时保存文件名 [固定]+uid+文件后缀
        file_exists($tmpavatar) && @unlink($tmpavatar); // 如果已经存在 先删除
        if(@copy($_FILES['Filedata']['tmp_name'], $tmpavatar) || @move_uploaded_file($_FILES['Filedata']['tmp_name'], $tmpavatar)) {
            @unlink($_FILES['Filedata']['tmp_name']); //如果移动成功 就删了原文件
            list($width, $height, $type, $attr) = getimagesize($tmpavatar); //再次调用getimagesize函数检查移动后的文件
            if($width < 10 || $height < 10 || $type == 4) { //如果长度宽度不符合要求 或者$type=4(我记得是swf文件好像)  就删掉目标文件
                @unlink($tmpavatar);
                return -2;
            }
        } else {
            @unlink($_FILES['Filedata']['tmp_name']); //移动失败  也删掉原文件
            return -4;
        }
        global $config;
        $avatarurl = $config['url'].'inc/tmp/other/member_'.$uid.$filetype;
        return $avatarurl;
    }


看到了这句

[PHP] 纯文本查看 复制代码
1
if(@copy($_FILES['Filedata']['tmp_name'], $tmpavatar) || @move_uploaded_file($_FILES['Filedata']['tmp_name'], $tmpavatar)) {


move_upload_file函数会在移动文件之前检查文件是否为合法的上传临时文件,如果想搞事,伪造的tmp_name是不会通过函数检查的
但copy就不一样了 不管你来源 不管你目的  直接给你怼过去。
再看看上面这句 两个函数都尝试了
所以如果我们伪造$_FILES[‘Filedata’][‘tmp_name’]=/etc/passwd 就是一个妥妥的任意文件读取了
更进一步 如果伪造
$_FILES[‘Filedata’][‘tmp_name’]=http://xxx.com/shell.txt 是不是就能getshell了呢
来看看程序的流程(减少篇幅 回去看上面代码段的注释)
可以看到 不管哪个流程 最终都会删掉原文件(也就是我们伪造的
$_FILES[‘Filedata’][‘tmp_name’])你应该不想读了个数据库配置信息导致整个网站瘫痪吧。而且这里保存的文件后缀来自数组 并不能随意伪造来getshell。
到这里  真的没办法了吗?

三、真的没办法了吗?
真的没办法了吗?当然不,代码审计就是要有死磕的精神,你拦我绕,你堵我怼。来看看怎么怼。
先总结一下目前的状况 由于伪全局未过滤,导致$_FILES变量覆盖
又由于使用了copy函数来进行文件移动  不会检查文件是否合法 可能导致任意文件读取和getshell的问题
问题是 不管走哪个流程 都会unlink原文件 读取关键配置会导致关键配置文件被删  站点直接瘫痪
一个一个来解决
关于文件读取 有没有办法 能让copy(src,dst)成功 而unlink(src)失败呢
答案是有的 就是神奇的php://filter  这里限于篇幅 不再细说这个schema 百度一下有几位前辈早已写过有关的文章
利用php://filter/resource=路径/文件名  就可以达到我们想要的效果 copy成功 unlink失败,虽然copy成功之后
第二个getimagesize检查后面的unlink没办法bypass 不过已经生成了 那我读不读就由不得你了。时间竞争大家应该不陌生,
我赶在你生成和删除中间的一瞬间读到不就行了,时间竞争的关键一点就是,目标要明确,如果我不知道你文件名
胡乱去猜的话 这个时间间隔肯定是不够的,但是文件名我们是已知的(
[固定]+uid+文件后缀),所以多试几次 肯定能成功。
好了 现在任意文件读取这个漏洞已经拿下了,那贪心一点 能getshell么?
答案当然也是能。
来看看保存的文件名格式

[PHP] 纯文本查看 复制代码
1
2
3
4
[/size][/size][/size][/size][/color][/size][/font][/size][/font][/color][color=#ff0000][font=宋体][size=14.0pt][font=微软雅黑][size=2][color=Black][size=4][size=3][size=4][size=3][color=#ff0000][font=宋体][size=14.0pt][font=微软雅黑][size=2][color=Black][size=4][size=3]list($width, $height, $type, $attr) = getimagesize($_FILES['Filedata']['tmp_name']); //这里调用getimagesize函数来检查文件内容
        $imgtype = array(1 => '.gif', 2 => '.jpg', 3 => '.png');
        $filetype = $imgtype[$type]; //限定了文件后缀来自$imgtype数组
        $tmpavatar = MLEINC.'/tmp/other/member_'.$uid.$filetype; //临时保存文件名 [固定]+uid+文件后缀[/size][/size][/color][/size][/font][/size][/font][/color]


为了getshell 这里需要让getimagesize()失败 这样$type就不会被初始化

[PHP] 纯文本查看 复制代码
1
$filetype=$imgtype[$type];


文件后缀就变成null了
接下来如果能控制$uid=xx.php的话 就能getshell了
$uid来自

[PHP] 纯文本查看 复制代码
1
2
$this->init_input($_GET['agent']);
$uid = $this->input['uid'];  //uid来自input数组 input数组来自init_input()函数


看看init_input函数

[PHP] 纯文本查看 复制代码
01
02
03
04
05
06
07
08
09
10
11
12
13
14
15
16
public function init_input($getagent = '') {
        $input = $_GET['input'];
        if($input) {
            $input = encryption($input,'DECODE',WEBKEY);
            parse_str($input,$this->input);
            $agent = $getagent ? $getagent : $this->input['agent'];
            if(($getagent && $getagent != $this->input['agent']) || (!$getagent && md5($_SERVER['HTTP_USER_AGENT']) != $agent)) {
                exit('Access denied for agent changed');
            } elseif($this->time - $this->input['time'] > 3600) {
                exit('Authorization has expired');
            }
        }
        if(empty($this->input)) {
            exit('Invalid input');
        }
    }


从$_GET[‘input’];中解密并用parse_str赋值给了$this->input数组
这里用的加解密函数encryption()其实就是dz的authcode函数,还是比较安全的。密钥WEBKEY来自inc/config/version.config.php
如果我们能知道密钥WEBKEY 就能伪造uid=.php的input值来getshell
怎么得到这个WEBKEY值呢,别忘了上面的任意文件读取哦~

四、利用
毕竟还是个0day 危害也比较大 这里就不公开具体的getshell代码了  主要是分享一个从拿到cms开始发现安全隐患 到如何利用安全隐患 再遇到困难 解决困难最终成功利用的过程。

总结
写文章比看代码累多了。。。
代码审计 靠的其实就是对编程语言的理解。怎么去快速发现问题,怎么去绕坑,都需要不断的积累。
最后祝大家0day多多

此条目发表在经验技术分类目录。将固定链接加入收藏夹。

发表评论