HacKerQWQ的博客空间

TP5文件包含漏洞分析(5.0.0-5.0.18,5.1.0-5.1.10)

ThinkPHP 漏洞分析 代码审计
Word count: 466Reading time: 1 min
2021/09/26 Share

漏洞介绍

在fetch渲染模板的方法中，调用了File类的read方法中使用了extract方法造成了变量覆盖，覆盖掉了模板文件，造成文件包含漏洞

漏洞演示

现将图片马上传public目录(实际情况是文件上传上传图片马)

传入?cacheFile=hello.jpg进行文件包含

image-20210926230435288

漏洞分析

在application/index/controller/Index.php中添加如下代码触发漏洞

1
2
3
4
5
6
7
8
9
10
11
<?php
namespace app\index\controller;
use think\Controller;
class Index extends Controller
{
    public function index()
    {
        $this->assign(request()->get());
        return $this->fetch(); // 当前模块/默认视图目录/当前控制器（小写）/当前操作（小写）.html
    }
}

传入?cacheFile=hello.jpg之后，通过request()->get()获取GET变量，形式是cacheFile=>hello.jpg,然后跟进assign方法

image-20210926231122057

进入了thinkphp/library/think/Controller.php的assign方法

image-20210926231209792

再进入thinkphp/library/think/Controller.php的assign方法，通过array_merge将cacheFile变量整合到$this->data中，现在继续跟进到fetch方法

image-20210926231431199

调用了thinkphp/library/think/Controller.php类的fetch方法，接着调用thinkphp/library/think/View.php类的fetch方法

image-20210926231626993

关键在于，将$this->data中的值通过array_merge整合到$vars中，然后调用了$this->engine也就是think\view\drive\Think调用fetch方法

image-20210926232048935

通过parseTemplate获取默认的渲染文件application/index/view/index/index.html，否则抛出异常。接着调用$this->template也就是think\Template的fetch方法

image-20210926232538955

image-20210926232644774

进行了一些赋值和获取Template文件的操作之后就调用了think\template\driver\File类的read方法(这里的$cacheFile不是我们传入的cacheFile,是ThinkPHP的缓存文件)

image-20210926232939974

这里首先判断$vars和$vars是否是数组且不为空，然后直接对变量进行extract操作之后就include了$cacheFile文件，因此造成了文件包含

漏洞修复

image-20210926233458643

官方将$cacheFile直接赋值到$this->cacheFile中防止被变量覆盖，然后include $this->cacheFile避免bug出现

Author：HacKerQWQ

原文链接：https://hackerqwq.github.io/2021/09/26/TP5%E6%96%87%E4%BB%B6%E5%8C%85%E5%90%AB%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90-5-0-0-5-0-18-5-1-0-5-1-10/

发表日期：September 26th 2021, 10:04:05 pm

更新日期：November 14th 2021, 11:57:38 am

版权声明：本文采用知识共享署名-非商业性使用 4.0 国际许可协议进行许可

CATALOG
  1. 1. 漏洞介绍
  2. 2. 漏洞演示
  3. 3. 漏洞分析
  4. 4. 漏洞修复
Total : 163
2023
2022
2021
2020
ctf PHP反序列化 sql jwt 2021CISCN 文件上传 uncide欺骗 无列名注入 php反射类利用 2021红明谷 输入法取证 盲水印隐写 哈夫曼编码 流量分析 Android md5 shtml 2020CISCN png结构 CRC32 Crypto Java安全 intro 权限提升 Docker CVE Hash php_upload_progress_session hash长度拓展攻击 红蓝对抗 MySQL PHP代码审计 PHP 2021Nep 命令执行 PHP原生类 云函数 JAVA_WEB ThinkPHP 原型链污染 nodejs 源码泄露 SSTI 漏洞分析 渗透测试 代码审计 JAJA XML 漏洞 免杀 机器学习 XSS XXE 硬件安全 社工 编码漏洞 nginx常见文件位置 .htaccess利用 HTTP协议 内网渗透 横向移动 漏洞利用 metasploit 信息收集 CTF PHP伪协议 php pickle 逻辑漏洞 2019CISCN python 多线程 misc图像处理 Nginx LFI redis攻防 提权 C 代码执行 渗透 权限维持 bugs phar反序列化 变量覆盖漏洞 扫描软件 弱类型比较 Django rar伪加密 二维码 文件上传漏洞 文件包含 文件读取漏洞 无参数构造payload 神经网络 红队 SSRF url取反绕过 misc_zip create_function注入 零宽度字符