代码审计

msEasy前台无限制GetShell

字号+ 作者:阿里先知 来源:转载 2016-12-24 14:16 我要评论( )

来源:阿里先知(安全情报) 简要描述 CMSEasy官方在2016-10-12发布了一个补丁,描述只有两句话 前台getshell漏洞修正; 命令执行漏洞修正; 我们就根据补丁来分析......

来源:阿里先知(安全情报)

t01eb2af9f0f953435b

简要描述


CMSEasy官方在2016-10-12发布了一个补丁,描述只有两句话

前台getshell漏洞修正;

命令执行漏洞修正;

我们就根据补丁来分析一下这个前台Getshell漏洞。
漏洞详情


在补丁页面http://www.cmseasy.cn/patch/show_1116.html下载补丁CmsEasy_for_Uploads_20161012.zip

修改的文件不多,通过diff发现补丁中lib/default/tool_act.php 392行的cut_image_action()函数被注释了。

来看看这个函数

看保存文件名的生成

不过这里利用需要一点技巧 直接用了$_POST[‘pic’]的后缀做为新文件的扩展名,应该就是这里导致的getshell。

1、图片会经过php的图像库处理,如何在处理后仍然保留shell语句

2、远程加载图片需要通过file_exists函数的验证(要知道http(s)对于file_exists来说会固定返回false)

在正常图片中插入shell并无视图像库的处理 这个freebuf有介绍 国外也有不少分析,当然直接拿freebuf的方法应该是不成功的 需要一点小小的调整
关于file_exits()函数 ftp://协议就可以绕过 wrappers中有介绍

t012bdbca2b40510d28

这里构造payload还有一点需要注意的5.0.0以上 就支持file_exists()了

 

所以构造的时候 如果站点不是放在根目录 则需要在前面补位strlen(base_url)+2 如果放在根目录 也需要补上1位(’/’的长度)。如果$_POST[‘pic’]开头4个字符不是http的话,就认为是本站的文件,会从前面抽取掉baseurl(等 于返回文件相对路径)。

POC


 

本地测试截图

t01200ea955ae02661a


本文来自: 蜗蜗侠's Blog-关注网络安全 http://blog.icxun.cn/hack/Code/477.html

1.本站遵循行业规范,任何转载的稿件都会明确标注作者和来源;2.本站的原创文章,请转载时务必注明文章作者和来源,不尊重原创的行为我们将追究责任;3.作者投稿可能会经我们编辑修改或补充。

相关文章
网友点评
暂时未开启评论功能~