[代码审计]Lvyecms任意文件删除&&后台拿shell方法分析

###0x00 前言：
  首先本地搭建环境，我所使用的是Windows PHPstudy集成环境。使用起来非常方便。特别是审计的时候。可以任意切换PHP版本。

###0x01 CMS简介：
  基于ThinkPHP最新版本ThinkPHP 3.2.3。 模块化：全新的架构和模块化的开发机制，便于灵活扩展和二次开发。 内容模型：通过建立不同的内容模型可以实现差异化的功能需求，轻松实现诸如资讯、下载、讨论和图片等功能。 安全稳健：提供稳健的安全策略，包括备份恢复、容错、防止恶意攻击登录，网页防篡改等多项安全管理功能，保证系统安全，可靠、稳定的运行。

###0x02 正文：
  首先我们查看一下入口文件Index.php。
```
<?php

// +----------------------------------------------------------------------
// | LvyeCMS
// +----------------------------------------------------------------------
// | Copyright (c) 2012-2015 http://www.lvyecms.com, All rights reserved.
// +----------------------------------------------------------------------
// | Author: 旅烨集团 <web@alvye.cn>
// +----------------------------------------------------------------------
// 检测PHP环境
if (version_compare(PHP_VERSION, '5.3.0', '<')) {
    header("Content-type: text/html; charset=utf-8");
    die('PHP环境不支持，使用本系统需要 PHP > 5.3.0 版本才可以~ !');
}
//当前目录路径
define('SITE_PATH', getcwd() . '/');
//项目路径
define('PROJECT_PATH', SITE_PATH . 'lvyecms/');
// 开启调试模式 建议开发阶段开启 部署阶段注释或者设为false
define('APP_DEBUG', false);
// 应用公共目录
define('COMMON_PATH', PROJECT_PATH . 'Common/');
// 定义应用目录
define('APP_PATH', PROJECT_PATH . 'Application/');
//应用运行缓存目录
define("RUNTIME_PATH", SITE_PATH . "#runtime/");
//模板存放路径
define('TEMPLATE_PATH', PROJECT_PATH . 'Template/');
// 引入ThinkPHP入口文件
require PROJECT_PATH . 'Core/ThinkPHP.php';
```
可以清楚看到。公共目录。程序目录。模版目录等配置信息。
我们再来看看目录结构：
![1.png][1]

通过这些我们可以清楚的定位到我们需要的文件在哪个地方。了解一个程序最快的方法就是清楚它的整个结构。哪个地方放什么。这样子找到问题后就可以快速定位到指定位置。

接下来直接进入主题。

任意文件删除：
漏洞所在处：/Application/Template/Controller/StyleController.class.php
漏洞所在行：即为以下代码的内容 
```
<?php
    //删除模板
    public function delete() {
        //取得目录路径
        $dir = isset($_GET['dir']) && trim($_GET['dir']) ? str_replace(array('..\\', '../', './', '.\\'), '', urldecode(trim($_GET['dir']))) : '';
        $dir = str_replace("-", "/", $dir);        
        $file = isset($_GET['file']) && trim($_GET['file']) ? trim($_GET['file']) : '';
        $path = TEMPLATE_PATH . $dir . "/" . $file;

$path = str_replace(array("//"), array("/"), $path);
        //检查文件是否可写
        if (!is_writable($path)) {
            $this->error("文件 {$path} 不可写！");
        }
        if (file_exists($path)) {
            if (unlink($path)) {
                $this->success("删除成功！");
            } else {
                $this->error("删除失败，请检查模板文件权限是否设置为可写！");
            }
        } else {
            $this->error("文件 {$path} 不存在，无需删除！");
        }
    }
```
看到第五行这里是获取目录路径，也是可控的。很多朋友可能看到一个字符串替换，将替换掉了../，./等。可能就觉得没有机会造成任意文件的删除了。其实并不是这样的。这个是得靠慢慢的实验才能知道的结果的。我们来分析一下：        
$dir = isset($_GET['dir']) && trim($_GET['dir']) ? str_replace(array('..\\', '../', './', '.\\'), '', urldecode(trim($_GET['dir']))) : '';
首先判断get传过来的dir存在以及移除字符串两侧的空白字符或其他预定义的字符成功的话那么就使用字符串替换将../，./替换成空。我们来研究下这个字符串替换。主要我们就看../以及./，..\和.\就不看了。因为一样的。
如果我们在dir输入../以及./肯定会直接被替换掉。换个思路如果我们输入"..../"呢？我们来测试下。
![2.png][2]

结果为两个点。出来这个顿时我就感觉有戏了。因为完全可以进行绕过的。为什么两个点呢。因为它将"..../"中的最后三位"../"直接替换掉了。所以剩下"../"如果我们用"....//"呢？
![3.png][3]

直接就变成一个点了。为什么呢？
我们来拆分看 "....//"。
首先字符串将"....//"替换掉了变成了"../"
接下来又将"../"替换掉了变成了"."。
所以规律出来了。如果我们需要上级目录的话，只要在加多一个"."以及"/"就可以了。
最后为".....///"。试试。
![4.png][4]

成功的出来了"../"。那么我们只要输入".....///.....///"那么就可以得出"../../"出来。
为什么会这样呢。因为呢str_replace将".....///"当作一整句来看的。首先从左开始,第一个先匹配到了"../"直接替换变成了"...//"。然后继续往后走匹配到了"./"存在就替换变成了"../"。然后整句就结束了。就留下了"../"（有些朋友可能感觉有点不理解，多看几遍就好。毕竟是文字描述可能描述不了太多内容,比较抽象）。

既然目录已经变成可控的，那么我们就已经成功一大半了。看到7行是接收文件名字。

然后第八行直接将"TEMPLATE_PATH"与目录和文件名拼接起来。
我们来看看默认的"TEMPLATE_PATH"常量内容是什么。我们开头给大家看的Index.php。

```
<?php
//当前目录路径
define('SITE_PATH', getcwd() . '/');
//项目路径
define('PROJECT_PATH', SITE_PATH . 'lvyecms/');
/*省略中间代码*/
//模板存放路径
define('TEMPLATE_PATH', PROJECT_PATH . 'Template/');
```
可以清楚得到"TEMPLATE_PATH"内容为：当前目录下的lvyecms下的Template目录。
然后15-17行判断文件是否存在。如果存在就执行删除操作。我们来尝试install.lock吧
![5.png][5]
最后的dir为：.....///Application/Install/。file为:install.lock
http://www.xxx.com/index.php?g=Template&m=Style&a=delete&dir=.....///Application/Install/&file=install.lock
![6.png][6]
![7.png][7]
直接在访问install看是不是可以重装。
![8.png][8]
成功删除鸟。

后台拿shell：
漏洞所在处：/Application/Template/Controller/StyleController.class.php
漏洞所在行：即为以下代码的内容
```
<?php
    //添加模板
    public function add() {
        if (IS_POST) {
            //取得文件名
            $file = pathinfo(I('post.file'));
            $file = $file['filename'] . C("TMPL_TEMPLATE_SUFFIX");

//模板内容
            $content = \Input::getVar(I('post.content', '', ''));

//目录
            $dir = TEMPLATE_PATH . I('post.dir', '', '');
            $dir = str_replace(array("//"), array("/"), $dir);

//检查目录是否存在
            if (!file_exists($dir)) {
                $this->error("该目录不存在！");
            }
            //检查目录是否可写
            if (!is_writable($dir)) {
                $this->error('目录 ' . $dir . ' 不可写！');
            }

//完整新增文件路径
            $filepath = $dir . $file;
            if (file_exists($filepath)) {
                $this->error("该文件已经存在！");
            }
            //写入文件
            $status = file_put_contents($filepath, htmlspecialchars_decode(stripslashes($content)));
            if ($status) {
                $this->success("保存成功！", U("Template/Style/index"));
            } else {
                $this->error("保存失败，请检查模板文件权限是否设置为可写！");
            }
        } else {
            //取得目录路径
            $dir = isset($_GET['dir']) && trim($_GET['dir']) ? str_replace(array('..\\', '../', './', '.\\', '.',), '', trim(urldecode($_GET['dir']))) : '';
            $dir = str_replace("-", "/", $dir);
            if (!file_exists(TEMPLATE_PATH . $dir)) {
                $this->error('该目录不存在！');
            }
            $this->assign('dir', $dir);
            $this->display();
        }
    }
```
首先我们看第四行。这里使用了IS_POST，在TP内代表着如果的为：是否为POST请求。如果为POST请求那么就走进真区间。漏洞所在处主要在于6-10行。接收了参数。并未对文件名以及文件路径目录做限制。从而导致了写入任意代码。
我们来从头到尾分析一遍。首先第六行。是以POST形式接收的file参数并且用pathinfo函数将这个参数内容以数组的形式返回文件路径的信息。如果file参数为："test01"，那这个函数最后将其转换成数组格式为：array("dirname"=>".","basename"="test01","filename"=>"test01")。如果file传过去的参数为"test01.php"带有后缀的话。该函数还会加一个后缀的键值。并且basename的值就变成了test01.php。看到第七行：$file = $file['filename'] . C("TMPL_TEMPLATE_SUFFIX"); 取的是filename，就是代表它只要文件名。然后拼接了一个全局定义的配置。我们来看看"TMPL_TEMPLATE_SUFFIX"是什么内容。

文件地址：/lvyecms/Common/Conf/config.php
所在行数：111行
内容：'TMPL_TEMPLATE_SUFFIX' => '.php', // 默认模板文件后缀
可以看到。默认是PHP。那么就是说它拼接的就是一个后缀，即为php。最后的结果就是为：test01.php。
接下来就到了非常重要的地方。第10行。就是模版内容了。如果这个地方做了过滤处理的话。那么就白整了。可以看到这个地方调用了Input类的静态方法getVar。我们追上去看一下。
```
<?php
    static public function stripSlashes($string) {
        if (get_magic_quotes_gpc()) {
            $string = stripslashes($string);
        }
        return $string;
    }
```
看到这个代码，我也就放心了。因为对我们拿shell。并没有什么影响。只是判断了如果开启gpc那么就使用stripslashes函数进行删除反斜杠的处理。

继续往下走。13-14行。13行:使用"TEMPLATE_PATH"拼接上post传过来的dir参数。也是可控的。既然可控的就非常好玩了。也就是说我们可以在任意的一个目录写进一个任意内容的php文件。
我们来看看默认的"TEMPLATE_PATH"常量内容是什么。我们开头给大家看的Index.php。
```
<?php
//当前目录路径
define('SITE_PATH', getcwd() . '/');
//项目路径
define('PROJECT_PATH', SITE_PATH . 'lvyecms/');
/*省略中间代码*/
//模板存放路径
define('TEMPLATE_PATH', PROJECT_PATH . 'Template/');
```
可以清楚得到"TEMPLATE_PATH"内容为：当前目录下的lvyecms下的Template目录。

14行刚开始瞟的第一眼以为有什么处理。结果一看。发现是如果dir有两个斜杠就替换成一个。也不影响我们的拿shell。

看到17-23行。判断目录是否存在，目录是否可写。目录是否存在肯定是满足的。因为对于目录我们是可控的，既然可控那么这个条件必须可以满足的。

26-31行。明显的展现了：可控的目录路径+可控的文件名+可控的文件内容。从而简单的导致后台拿shell。
我们直接来尝试一下。
那么接下来我们只要把dir传入：../../，file传入：文件名，content传入：写入的内容。就可以直接在根目录写一个shell了。
可能有些朋友奇怪了。为什么知道../../就是根目录了，因为它跳两级就是根目录了。如果感觉有点抽象的话，那么你就需要翻到最上面开始的时候所写的目录结构那块去看了。
![9.png][9]
提示保存成功。我们看一下是否真的在根目录下创建了一个test01.php的文件
![10.png][10]
![11.png][11]
在该文件下还有edit方法。也与以上方法相同。

> **PS：本着以交流分享。如果有好的方法或者思路以及上文讲述不正确的地方欢迎指出。谢谢！如果有什么语句不通的话望指出。可能是在写文章的时候没太注意。**
  [1]: http://www.bugsafe.cn/usr/uploads/2017/12/2644013582.png
  [2]: http://www.bugsafe.cn/usr/uploads/2017/12/4172513050.png
  [3]: http://www.bugsafe.cn/usr/uploads/2017/12/1020347311.png
  [4]: http://www.bugsafe.cn/usr/uploads/2017/12/2988053642.png
  [5]: http://www.bugsafe.cn/usr/uploads/2017/12/3405859521.png
  [6]: http://www.bugsafe.cn/usr/uploads/2017/12/3213197070.png
  [7]: http://www.bugsafe.cn/usr/uploads/2017/12/1590776810.png
  [8]: http://www.bugsafe.cn/usr/uploads/2017/12/1941877839.png
  [9]: http://www.bugsafe.cn/usr/uploads/2017/12/621904319.png
  [10]: http://www.bugsafe.cn/usr/uploads/2017/12/539840470.png
  [11]: http://www.bugsafe.cn/usr/uploads/2017/12/710023295.png

Poacher's Blog

信息安全梦开始的地方,一个菜鸡#

[代码审计]Lvyecms任意文件删除&&后台拿shell方法分析

添加新评论

最新文章