ThinkPHP3.x/5.x框架任意文件包含

  • A+
所属分类:moonsec_com
摘要

ThinkPHP3.x/5.x框架任意文件包含
ThinkPHP是一个快速、兼容而且简单的轻量级国产PHP开发框架,诞生于2006年初,原名FCS,2007年元旦正式更名为 ThinkPHP ,遵循Apache 2开源协议发布,从Struts结构移植过来并做了改进和完善,同时也借鉴了国外很多优秀的框架和模式,使用面向对象的开发结构和MVC模式,融合了Struts的思想和TagLib(标签库)、RoR的ORM映射和 ActiveRecord 模式。

ThinkPHP3.x/5.x框架任意文件包含

ThinkPHP是一个快速、兼容而且简单的轻量级国产PHP开发框架,诞生于2006年初,原名FCS,2007年元旦正式更名为ThinkPHP,遵循Apache2开源协议发布,从Struts结构移植过来并做了改进和完善,同时也借鉴了国外很多优秀的框架和模式,使用面向对象的开发结构和MVC模式,融合了Struts的思想和TagLib(标签库)、RoR的ORM映射和ActiveRecord模式。

漏洞简述

ThinkPHP在加载模版解析变量时存在变量覆盖的问题,且没有对 $cacheFile 进行相应的消毒处理,导致模板文件的路径可以被覆盖,从而导致任意文件包含漏洞的发生。

环境准备

下载thinkphp框架在 “thinkphp/library/think/Controller.php” 文件中写入如下代码:

ThinkPHP3.x/5.x框架任意文件包含

在 “application/index/view/index” 目录下建立一个 index.html 文件,不建立会出现 模板文件不存在 错误。

至于其他配置数据库连接文件以及thinkphp框架结构,可参考文章:代码审计 | ThinkPHP5.0.x框架SQL注⼊

漏洞分析

攻击者可以通过POST方式访问链接:

http://192.168.1.8/thinkphp/public/index.php/index/index/index ,

POST的数据为:cacheFile=../phpinfo.php ,这个 cacheFile 变量就是可以被攻击者覆盖的变量。

ThinkPHP3.x/5.x框架任意文件包含

程序在一开始会调用 “thinkphp/library/think/Controller.php” 文件中的 assign 方法,并传入 POST 数组数据, assign 方法代码如下:

ThinkPHP3.x/5.x框架任意文件包含

assign 方法又调用了视图类中的 assign 方法, assign 方法在 “thinkphp/library/think/View.php” 文件中。可以看到该方法用 array_merge 方法将 POST 数组数据合并到 $this->data 中,代码如下:

ThinkPHP3.x/5.x框架任意文件包含

我们再来看 fetch 方法,该方法用于输出模板内容,代码定义在 “thinkphp/library/think/Controller.php”文件中,该方法同样调用的是视图类中的 fetch 方法,代码如下:

ThinkPHP3.x/5.x框架任意文件包含

查看 “thinkphp/library/think/View.php” 文件中的 fetch 方法,这里注代码$this->engine->$method($template, $vars, $config);

ThinkPHP3.x/5.x框架任意文件包含

在默认情况下 $method 的值为 fetch ,也就是说调用了视图引擎中的 fetch 方法,该方法在thinkphp/library/think/view/driver/Think.php” 文件中,代码如下:

ThinkPHP3.x/5.x框架任意文件包含

视图引擎的 fetch 方法又调用了模板类的fetch 方法,继续跟进 。我们注意到 “thinkphp/library/think/Template.php” 文件中语句:$this->storage->read($cacheFile, $this->data); 这是用于读取编译存储,此时 $cacheFile 的值类似于 runtime/temp/md5(×××).php

ThinkPHP3.x/5.x框架任意文件包含

我们跟进该 read 方法,在“thinkphp/library/think/template/driver/File.php” 文件中,我们看到程序使用 extract 方法,并用了 EXTR_OVERWRITE 参数,该参数的作用是:如果有冲突,则覆盖已有的变量。 extract 方法将 $vars 数组中的数据元素注册成变量,而 $vars 数组又包含了 POST 数组数据,这也就是导致变量覆盖的原因。然后程序在最后包含了 $cacheFile 文件,最终导致了任意文件包含。具体代码如下:

ThinkPHP3.x/5.x框架任意文件包含

如果目标站点开启了 allow_url_include ,攻击者甚至可以执行任意代码,攻击方法如下:

ThinkPHP3.x/5.x框架任意文件包含

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: