PHP代码审计-某cms逻辑漏洞导致getshell

chenqiang

原文链接：PHP代码审计-某cms逻辑漏洞导致getshell

文章首发在：奇安信攻防社区

https://forum.butian.net/share/2142

前言 如果存在exec进行拼接的漏洞，该如何绕过 <mark>一黑俩匹配 </mark>？当前如果是拼接和编码这种手法就不说了，现在在看的师傅您是审计大牛的话，这文章可以忽略不看。黑名单...

前言

如果存在exec进行拼接的漏洞，该如何绕过 <mark>一黑俩匹配 </mark>？
当前如果是拼接和编码这种手法就不说了，现在在看的师傅您是审计大牛的话，这文章可以忽略不看。

黑名单

1. $_GET[
   
2. $_POST[
   
3. $_REQUEST[
   
4. $_COOKIE[
   
5. $_SESSION[
   
6. file_put_contents
   
7. file_get_contents
   
8. fwrite
   
9. phpinfo
   
10. base64
    
11. `
    
12. shell_exec
    
13. eval
    
14. assert
    
15. system
    
16. exec
    
17. passthru
    
18. pcntl_exec
    
19. popen
    
20. proc_open
    
21. print_r
    
22. print
    
23. urldecode
    
24. chr
    
25. include
    
26. request
    
27. __FILE__
    
28. __DIR__
    
29. copy
    
30. call_user_
    
31. preg_replace
    
32. array_map
    
33. array_reverse
    
34. array_filter
    
35. getallheaders
    
36. get_headers
    
37. decode_string
    
38. htmlspecialchars
    
39. session_id
    
40. strrev
    
41. substr
    
42. php.info

复制代码

第一个匹配：

1. /([\w]+)([\x00-\x1F\x7F\/\*\<\>\%\w\s\\\\]+)?\(/i
   

复制代码

第二个匹配：

这里不能有$符号，这里是重点 ,当然如果你想编码也可以，或者啥的手法都行，不过我在此之前没想到过，可以继续往下看

1. /\{pboot:if\(([^}^\$]+)\)\}([\s\S]*?)\{\/pboot:if\}/
   

复制代码

正文

先看效果

审计流程

通过审计工具半自动筛选出漏洞点。

跟进该漏洞点文件：apps/home/controller/ParserController.php

最终是通过了$matches[1][$i]进入到eval函数中。

第一个黑名单

接着往上看，这里有黑名单，如果$matches[1][$i]有黑名单就会跳出解析

<mark>这里的\\是社区编辑器默认加上防止转义，太多就懒得改了</mark>

1. // 过滤特殊字符串
   
2. 
   
3. if (preg\_match('/(\\(\[\\w\\s\\.\]+\\))|(\\$\_GET\\\[)|(\\$\_POST\\\[)|(\\$\_REQUEST\\\[)|(\\$\_COOKIE\\\[)|(\\$\_SESSION\\\[)|(file\_put\_contents)|(file\_get\_contents)|(fwrite)|(phpinfo)|(base64)|(\`)|(shell\_exec)|(eval)|(assert)|(system)|(exec)|(passthru)|(pcntl\_exec)|(popen)|(proc\_open)|(print\_r)|(print)|(urldecode)|(chr)|(include)|(request)|(\_\_FILE\_\_)|(\_\_DIR\_\_)|(copy)|(call\_user\_)|(preg\_replace)|(array\_map)|(array\_reverse)|(array\_filter)|(getallheaders)|(get\_headers)|(decode\_string)|(htmlspecialchars)|(session\_id)|(strrev)|(substr)|(php.info)/i', $matches\[1\]\[$i\])) {
   
4. 
   
5. $danger = true;
   
6. 
   
7. }
   
8. 
   
9. // 如果有危险函数，则不解析该IF
   
10. 
    
11. if ($danger) {
    
12. 
    
13. continue;
    
14. 
    
15. }

复制代码

黑名单分别是拦截以下内容：

1. $\_GET\[
   
2. 
   
3. $\_POST\[
   
4. 
   
5. $\_REQUEST\[
   
6. 
   
7. $\_COOKIE\[
   
8. 
   
9. $\_SESSION\[
   
10. 
    
11. file\_put\_contents
    
12. 
    
13. file\_get\_contents
    
14. 
    
15. fwrite
    
16. 
    
17. phpinfo
    
18. 
    
19. base64
    
20. 
    
21. \`
    
22. 
    
23. shell\_exec
    
24. 
    
25. eval
    
26. 
    
27. assert
    
28. 
    
29. system
    
30. 
    
31. exec
    
32. 
    
33. passthru
    
34. 
    
35. pcntl\_exec
    
36. 
    
37. popen
    
38. 
    
39. proc\_open
    
40. 
    
41. print\_r
    
42. 
    
43. print
    
44. 
    
45. urldecode
    
46. 
    
47. chr
    
48. 
    
49. include
    
50. 
    
51. request
    
52. 
    
53. \_\_FILE\_\_
    
54. 
    
55. \_\_DIR\_\_
    
56. 
    
57. copy
    
58. 
    
59. call\_user\_
    
60. 
    
61. preg\_replace
    
62. 
    
63. array\_map
    
64. 
    
65. array\_reverse
    
66. 
    
67. array\_filter
    
68. 
    
69. getallheaders
    
70. 
    
71. get\_headers
    
72. 
    
73. decode\_string
    
74. 
    
75. htmlspecialchars
    
76. 
    
77. session\_id
    
78. 
    
79. strrev
    
80. 
    
81. substr
    
82. 
    
83. php.info
    

复制代码

这可以看出过滤了好多函数，当然既然是黑名单就有绕过的方式，这里可以是加密形式绕过，不过加密后的密文做成payload就逆向解密不了了，因为是由特殊不可见数据流存在就会导致反解密会不到原来的明文。

这里可以用file和fputs函数绕过

第一个过滤

继续往上看，看到这个if判断，这里也是将$matches[1][$i]进行过滤，保证用户输入的字符串是无危害的，简单来说就是‘括号前面不能有字母、数字字符串’。

1. // 带有函数的条件语句进行安全校验
   
2. 
   
3. if (preg\_match\_all('/(\[\\w\]+)(\[\\x00-\\x1F\\x7F\\/\\\*\\<\\>\\%\\w\\s\\\\\\\\\]+)?\\(/i', $matches\[1\]\[$i\], $matches2)) {
   
4. 
   
5. foreach ($matches2\[1\] as $value) {
   
6. 
   
7. if (function\_exists(trim($value)) && ! in\_array($value, $white\_fun)) {
   
8. 
   
9. $danger = true;
   
10. 
    
11. break;
    
12. 
    
13. }
    
14. 
    
15. }
    
16. 
    
17. foreach ($matches2\[2\] as $value) {
    
18. 
    
19. if (function\_exists(trim($value)) && ! in\_array($value, $white\_fun)) {
    
20. 
    
21. $danger = true;
    
22. 
    
23. break;
    
24. 
    
25. }
    
26. 
    
27. }
    
28. 
    
29. }

复制代码

当然这里也是黑名单，直接/*--*/绕过

4.3. 第三个过滤

这个就比较好过了就是指定的标签语法，使用这个{pboot:if(312313)}(13123){/pboot:if}

4.3.1. 注意：

这里不能有$符号，这里是重点

1. $pattern = '/\\{pboot:if\\((\[^}^\\$\]+)\\)\\}(\[\\s\\S\]\*?)\\{\\/pboot:if\\}/';
   
2. 
   
3. if (preg\_match\_all($pattern, $content, $matches)) {
   
4. 
   
5. }

复制代码

构建payload

由于这里不能用美元符号”$“，前面第一个过滤说过，可用file函数绕过，如下图：

通过上面file函数获取的美元符号，并且通过fputs进行写文件，当然需要绝对路径才能读取美元符，这里就比较简单了，直接让cms报错就好了。


调用链

1. 
   
2. ParserController.php:84, app\\home\\controller\\ParserController->parserAfter()
   
3. 
   
4. TagController.php:47, app\\home\\controller\\TagController->index()
   
5. 
   
6. IndexController.php:50, app\\home\\controller\\IndexController->\_empty()
   
7. 
   
8. 2:2, core\\basic\\Kernel::axqjlxzuuxaapu328937ae1368b88e8bf79cb6b342866a()
   
9. 
   
10. 2:2, core\\basic\\Kernel::run()
    
11. 
    
12. start.php:17, require()
    
13. 
    
14. index.php:23, {main}()

复制代码

访问首页就会进入到apps/home/controller/IndexController.php的_empty()方法，需要get的参数带有tag就可进入该判断

跟进到apps/home/controller/TagController.php的inde()方法，跟进第47行并跟进到apps/home/controller/ParserController.phpparserAfter()方法，最后就会到84行的漏洞方法中。

目前新版本未发现有该处函数