CVE-2020-25540：ThinkAdmin两个漏洞复现

1、列目录分析

函数node()

public function node(){    $this->success('获取文件列表成功！', InstallService::instance()->getList(        json_decode($this->request->post('rules', '[]', ''), true),        json_decode($this->request->post('ignore', '[]', ''), true)    ));}



读一下函数是把post传过来的rules和ignore参数给getlist()函数



看注释猜getlist()就是一个循环遍历目录读文件和目录信息的，动调跟一下，结合着poc看先传个[“./”]给rules







然后进到getlist()，循环读取改目录下的所有文件







然后就返回出来了








2、任意文件读取分析
函数get()
public function get(){    if (file_exists($file = $this->app->getRootPath() . decode(input('encode', '0')))) {        $this->success('读取文件成功！', ['content' => base64_encode(file_get_contents($file))]);    } else {        $this->error('读取文件内容失败！');    }}



这里就是一个获取encode参数作为文件名在thinkadmin根目录下读文件，只不过加了个密。跟一下解密函数。顺便一提，上文用的加密函数就在这个函数上边
 



2位2位的取字符串中的数据，由36进制转为10进制，当作ASCII码转字符，然后就是返回到get()函数上读完返回。




0x07 修复建议







1.升级到2020.08.03.01之后的版本
2.官方给的临时解决办法

https://github.com/zoujingli/ThinkAdmin/issues/244









0x08 总结







1、整体而言很简洁的漏洞，主要问题在于admin的api没有身份验证，敏感功能函数未加严格过滤。
2、在升级，安装这种功能里使用的函数都比较敏感，未加正确的过滤和验证就容易造成漏洞。
3、在fork里翻老版本的时候搞得有点蛋疼，索性搓了个爬虫。可以根据fork的时间快速找到目标版本。







代码如下：




import randomimport requestsimport timefrom lxml.html import etreefrom selenium import webdriveruri = 'https://github.com/zoujingli/ThinkAdmin/network/members'

def get_time(uri):    browser = webdriver.Chrome()    # print(uri)    browser.get(uri)    browser.get(uri)    time.sleep(1)    time1 = browser.find_element_by_xpath("//relative-time").get_attribute('datetime')    browser.close()    return time1

if __name__ == '__main__':    uri_time = []    response = requests.get(uri).text    obj = etree.HTML(response)    urls = obj.xpath('//*[@id="network"]/div/a[3]/@href')    for i in urls:        tmp = ['https://github.com'+i]        tmp_time = get_time('https://github.com'+i)        tmp.append(tmp_time)        print(tmp)        uri_time.append(tmp)
    print(uri_time)



参考链接：
https://github.com/zoujingli/ThinkAdmin/issues/244





















阅读原文看更多复现文章

Timeline Sec 团队

安全路上，与你并肩前行