index.php?s=a\/b\/c\/${code}\/d\/e\/f<\/p>

index.php?s=a\/b\/c\/d\/e\/${code}<\/pre><ul><li>由于ThinkPHP存在两种路由规则，如下所示：<\/span><ol><li>http://serverName/index.php/模块/控制器/操作/[参数名/参数值...]<\/span><\/li><li>如果不支持PATHINFO的服务器可以使用兼容模式访问如下：<\/span><\/li><li>http://serverName/index.php?s=/模块/控制器/操作/[参数名/参数值...]<\/span><\/li><\/ol><\/li><li>也可采用 index.php/a/b/c/$<\/span>{code}一下形式。4.2、ThinkPHP 5.x 远程代码执行漏洞14.2.1、漏洞概要漏洞名称：ThinkPHP 5.0.x-5.1.x 远程代码执行漏洞参考编号：无威胁等级：严重影响范围：ThinkPHP v5.0.x < 5.0.23,ThinkPHP v5.1.x < 5.0.31漏洞类型：远程代码执行利用难度：容易4.2.2、漏洞描述2018年12月10日，ThinkPHPv5系列发布安全更新，修复了一处可导致远程代码执行的严重漏洞。此次漏洞由ThinkPHP v5框架代码问题引起，其覆盖面广，且可直接远程执行任何代码和命令。电子商务行业、金融服务行业、互联网游戏行业等网站使用该ThinkPHP框架比较多，需要格外关注。由于ThinkPHP v5框架对控制器名没有进行足够的安全检测，导致在没有开启强制路由的情况下，黑客构造特定的请求，可直接进行远程的代码执行，进而获得服务器权限。4.2.3、漏洞分析本次ThinkPHP 5.0的安全更新主要是在library\/think\/APP.php文件中增加了对控制器名的限制，而ThinkPHP 5.1的安全更新主要是在library\/think\/route\/dispatch\/Module.php文件中增加了对控制器名的限制。从以上补丁更新可知，该漏洞的根源在于框架对控制器名没有进行足够的检测，从而会在未开启强制路由的情况下被引入恶意外部参数，造成远程代码执行漏洞。由ThinkPHP的架构可知，控制器（controller）是通过url中的路由进行外部传入的，即\/index.php?s=\/模块\/控制器\/操作\/[参数名\/参数值…]，控制器作为可控参数，经过library\/think\/APP.php文件进行处理，我们跟踪路由处理的逻辑，来完整看一下该漏洞的整体调用链：首先在run()主函数中，url传入后需要经过路由检查，如下代码所示：跟进 self::routeCheck 函数在 620行中调用 $request->path() 函数，该函数位于thinkphp/library/think/Request.php文件中,在该函数中跟进到本文件的$<\/span>this->pathinfo()函数，在该函数中，就进行url解析，获取路由中的各个部分内容。其中var_pathinfo参数即为系统默认参数，默认值为s，通过GET方法将获取到的var_pathinfo的值，即s=\/模块\/控制器\/操作\/[参数名\/参数值…]的内容送到routeCheck()函数中$path参数进行路由检查处理。<\/span><\/li><li>继续回到routeCheck()函数：<\/span><\/li><li><img class="ql-image" width="690" src="https:\/\/image.3001.net\/images\/20200909\/1599620106.png!small"\/><\/li><li>在初始化路由检查配置之后，就进行Route::check，由以上代码看出，若路由寻不到对应操作，即返回$<\/span>result=false，且开启了强制路由$must的情况下，就会抛出异常，并最终进入Route::parseUrl函数，进行$<\/span>path解析，以上就进入了我们的漏洞触发点：首先，在该函数中进行url解析，然后，进入到parseUrlPath函数，根据\/进行路由地址切割，通过数组返回：最终在parseUrl函数中，将返回的$path提取出路由，即module、controller、action，然后封装到$<\/span>route后返回：回到thinkphp\/library\/think\/App.php文件的run()函数：在完成RouteCheck后，进入到exec()函数中去：在该函数中，首先路由信息首先进入module()函数进行检验，该函数首先查看该路由中的模块信息是否存在且是否存在于禁止的模块类表中：模块存在的话，继续往下跟踪，分别将模块中的controller、actionName经过处理后赋值到$instance、$<\/span>action，最终$instance、$<\/span>action被赋值给了$call参数。<\/span><\/li><li><img class="ql-image" width="690" src="https:\/\/image.3001.net\/images\/20200909\/1599620275.png!small"\/><\/li><li><img class="ql-image" width="690" src="https:\/\/image.3001.net\/images\/20200909\/1599620290.png!small"\/><\/li><li>最终$<\/span>call参数进入了self::invokeMethod()进行处理：在函数中，通过反射ReflectionMethod获取controller(method[0])和action(method[1])对象下的方法，然后通过$args = self::bindParams($<\/span>reflect, \(vars);获取到传入参数。以上即为漏洞调用链。<\/span><\/li><li>我们根据Payload来进行最终攻击链的总结：<\/span><\/li><li>siteserver/public/index.php?s=index/thinkapp/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=whoami<\/span><\/li><li>根据上面的分析，我们将路由解析为：<\/span><\/li><li>module：index<\/span><\/li><li>controller：thinkapp<\/span><\/li><li>action：invokefunction<\/span><\/li><li>通过上述的利用链，最终通过反射ReflectionMethod进入到Think/app文件中的invokefunction方法中：<\/span><\/li><li><img class="ql-image" width="690" src="https:\/\/image.3001.net\/images\/20200909\/1599620343.png!small"\/><\/li><li>通过构造参数，最终即可执行任意代码。<\/span><\/li><\/ul><h3>4.3、ThinkPHP 5.x 远程代码执行漏洞2<\/strong><\/h3><ul><li>4.3.1、漏洞概要<\/span><\/li><\/ul><blockquote>漏洞名称：ThinkPHP 5.0.x-5.1.x远程代码执行漏洞<\/span><br\/>参考编号：无<\/span><br\/>威胁等级：严重<\/span><br\/>影响范围：ThinkPHP v5.0.x < 5.0.23,ThinkPHP v5.1.x < 5.0.31<\/span><br\/>漏洞类型：远程代码执行漏洞<\/span><br\/>利用难度：容易<\/span><\/blockquote><ul><li>4.3.2、漏洞描述<\/span><\/li><li>2019年1月11日，某安全团队公布了一篇ThinkPHP 5.0.远程代码执行漏洞文档，公布了一个ThinkPHP 5.0.远程代码执行漏洞。文章中的该漏洞与2018年12月的ThinkPHP 5.0.*远程代码执行漏洞原理相似，攻击者可利用该漏洞在一定条件下获取目标服务器的最高权限。后经研究，在一定条件下，ThinkPHP 5.1.x版本也存在该漏洞，在满足条件的情况下，攻击者可利用该漏洞执行任意代码。<\/span><\/li><li>4.3.3、漏洞分析<\/span><\/li><li>该漏洞的漏洞关键点存在于thinkphp/library/think/Request.php文件中：<\/span><\/li><li><img class="ql-image" width="690" src="https:\/\/image.3001.net\/images\/20200909\/1599620448.png!small"\/><\/li><li>从代码中可知：<\/span><\/li><li><img class="ql-image" width="690" src="https:\/\/image.3001.net\/images\/20200909\/1599620643.png!small"\/><\/li><li>method()函数主要用于请求方法的判断，var_method没有通过，为可控参数，通过外部传入，thinkphp支持配置“表单伪装变量”，var_method在在外部的可控参数表现为_method:<\/span><\/li><li><img class="ql-image" width="614" src="https:\/\/image.3001.net\/images\/20200909\/1599620667.png!small"\/><\/li><li>由于var_method没有做任何过滤，我们可以通过控制_method参数的值来动态调用Request类中的任意方法，通过控制\)<\/span>_POST的值来向调用的方法传递参数。由上可知，漏洞存在于method()函数中，我们就需要寻找该函数的调用链，来构造POC。第一个构造链在__construct()构造方法中，该方法如下：函数中对$option数组进行遍历，当$<\/span>option的键名为该类属性时，则将该类同名的属性赋值为$options中该键的对应值。因此可以构造请求如下，来实现对Request类属性值的覆盖，例如覆盖filter属性。filter属性保存了用于全局过滤的函数。<\/span><\/li><li>再上一个漏洞分析过程中，我们跟踪到了路由检查self::routeCheck 函数，在过程中，会进入到thinkphp/library/think/Route.php文件中的check()函数，函数中调用了method()方法，并将函数执行结果转换为小写后保存在$<\/span>method变量。在调用构造函数覆盖变量时，可以直接覆盖method，这样上面的$method = strtolower($<\/span>request->method()); 的$method最终的值就可以被控制了。在该函数中，调用了method()函数，在该函数中，就将进行变量覆盖：通过调用构造函数__construct(),最终将请求参数保存到input参数。在进行routecheck后，已完成了第一部分调用链，实现了变量覆盖，接下来就是要实现变量覆盖后的代码执行，具体调用链如下：返回到App.php文件中的run()函数，接着进入到exec()函数中，然后进入到module()函数中，最终进入到了invokeMethod()函数，从invokeMethod()函数中进入到bindParams()函数，然后进入到param()函数：然后最终调用到input()函数：最终我们根据array_walk_recursive()函数，进入到了filterValue()函数：最终，通过回调函数call_user_func执行了代码，整个调用链如上所示。转载：https:\/\/www.freebuf.com\/vuls\/249178.html<\/p>