先來簡單說說前天thinkphp官方修復(fù)的一個getshell漏洞，框架對控制器沒有進行足夠的檢測導(dǎo)致的一處getshell

影響的范圍: 5.x < 5.1.31, <= 5.0.23

漏洞危害: 導(dǎo)致系統(tǒng)被提權(quán)(你懂的)

這里附上一個自己測試的 thinkphp的 鏈接  http://www.thinkphp.cn/download/1260.html  版本是5.0.22

先來講下,5.0 跟5.1的區(qū)別吧，tp5.1中引入了容器(Container)和門面(Facade)這兩個新的類  tp5.0是沒有這兩個新的類的，

漏洞原理

URL：http://192.168.188.141/public/index.php?s=index/\think\app/invokefunction

我們先來看看App類里的 exec函數(shù)里的執(zhí)行分層控制器的操作

我們這里是把controller 的調(diào)用信息跟配置信息全部傳到了 invokeFunction 這個 執(zhí)行函數(shù)里面去了

因為think\App是第二個入口，在tp運行的時候就會被加載 所以用think\App里面的分層控制器的執(zhí)行操作的時候,需要去調(diào)用invokeFunction這個函數(shù)。

這個函數(shù)有兩個參數(shù),如上圖所示，第一個是函數(shù)的名字，第二個參數(shù)數(shù)組，比如$function傳入BaiDu然后$vars傳入[12,555]就相當(dāng)于調(diào)用BaiDu(12,555)

此處我們把function傳入call_user_func_array然后vars[0]傳入我們要執(zhí)行的函數(shù)的名字vars[1]傳入要執(zhí)行函數(shù)的參數(shù)，因為vars是個數(shù)組 所以此處我們的get請求需要這樣寫

此處是利用php的數(shù)組注入

此時此刻就可以開始利用遠程代碼執(zhí)行漏洞了 比如我們要執(zhí)行system函數(shù) 他的參數(shù)是whoami

http://192.168.188.141/public/index.php?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=whoami

下面你懂的,作為一個接班人我們要做的就是修復(fù)他(為所欲為?)，當(dāng)然官方更新的最新版本是已經(jīng)修復(fù)了的

這里就代碼執(zhí)行成功，以下奉獻上tp不同版本的payload

以上就是本文的全部內(nèi)容，希望對大家的學(xué)習(xí)有所幫助，也希望大家多多支持17站長網(wǎng)。