然之协同系统6.4.1 SQL注入导致getshell
前言
先知上一个大佬挖的洞，也有了简单的分析
https://xianzhi.aliyun.com/forum/topic/2135
我自己复现分析过程，漏洞的原理比较简单，但是漏洞的利用方式对我而言则是一种新的利用方式。本文对分析过程做一个记录。
正文
分析软件运行的流程
拿到一个需要分析的 php 程序，首先看看客户端的 http 请求是如何对应到程序中的代码的。
首先得找一个分析的开始点，就以 触发漏洞 的 请求为示例把。
GET /cash/block-printTradeBlock.html?param=eyJvcmRlckJ5IjoiaWQgbGltaXQgMCwxO3NlbGVjdCBpZigxPTIsMSxzbGVlcCgyKSkjIiB9 HTTP/1.1
Host: hack.ranzhi.top
Pragma: no-cache
Cache-Control: no-cache
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/64.0.3282.186 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: PHPSESSID=2c17fafndhnfle6j4r9dskopk3; lang=zh-cn; theme=default; rid=kcvhkos22q574sqdjiha39icl5; keepLogin=false; XDEBUG_SESSION=14822
Connection: close
安装系统时我们设置 www 目录为虚拟主机目录， 所以当我们访问 /cash/block-printTradeBlock.html 时，实际上访问的是 www/cash/block-printTradeBlock.html， 但是 cash 目录中并没有相关的文件
不过该目录下有 .htaccess 文件，通过该文件可以重写 url, 根据规则我们知道，如果访问 cash 目录下不存在的文件，会把请求交给 index.php 处理。
.htaccess 文件参考
http://t.cn/REFVyCJ
https://www.zybuluo.com/phper/note/73726
那下面就分析 index.php 即可，下好断点，然后发送数据包
f7 跟进 loader.php, 首先加载了一些基础类。
然后做一些初始化的操作，实例化一些基础对象，后面用来加载程序的主体
然后是设置路由方式
$app->parseRequest();
会对 处理后 url 按 - 分割，第一项作为 module_name 第二项作为 method_name. 以上面的数据包为例。执行完后的结果如下。
此时我们已经设置好了 模块名 和 方法名， 下面回到 loader.php。
$common->checkPriv(); # 权限校验
$app->loadModule(); # 加载相关模块的方法
进入 loadModule 方法
public function loadModule()
{
$appName = $this->appName;
$moduleName = $this->moduleName;
$methodName = $this->methodName;
/*
* 设置control的类名。
* Set the class name of the control.
**/
$className = class_exists("my$moduleName") ? "my$moduleName" : $moduleName;
/*
* 创建control类的实例。
* 根据 `$app->parseRequest()` 设置好的 模块名 实例化对应的类
* Create a instance of the control.
**/
$module = new $className();
$this->control = $module;
/*
* 使用反射机制获取函数参数的默认值
* 通过反射获取 函数的参数名称，
* 通过 `php` 的反射机制 ， 获取参数名， 并且初始化好
*
* */
$defaultParams = array();
$methodReflect = new reflectionMethod($className, $methodName);
foreach($methodReflect->getParameters() as $param)
{
$name = $param->getName();
$default = '_NOT_SET';
if(isset($paramDefaultValue[$appName][$className][$methodName][$name]))
{
$default = $paramDefaultValue[$appName][$className][$methodName][$name];
}
elseif(isset($paramDefaultValue[$className][$methodName][$name]))
{
$default = $paramDefaultValue[$className][$methodName][$name];
}
elseif($param->isDefaultValueAvailable())
{
$default = $param->getDefaultValue();
}
$defaultParams[$name] = $default; # 组成一个由 defaultParams[参数名] = "" 构成的字典
}
/**
* 根据PATH_INFO或者GET方式设置请求的参数。
* 根据请求方式， 从请求数据包中获取需要的参数信息。
*/
if($this->config->requestType != 'GET')
{
$this->setParamsByPathInfo($defaultParams);
}
else
{
$this->setParamsByGET($defaultParams);
}
# 过滤数据
if($this->config->framework->filterParam == 2)
{
$_GET = validater::filterParam($_GET, 'get');
$_COOKIE = validater::filterParam($_COOKIE, 'cookie');
}
/* 调用方法，并传入参数 */
call_user_func_array(array($module, $methodName), $this->params);
return $module;
}
该函数的流程为
- 根据
$app->parseRequest()设置好的 模块名 实例化对应的类 - 通过
php的反射机制 ， 获取方法参数名， 并且初始化好 - 根据请求方式， 从请求包中获取需要的参数信息到
$defaultParams。 - 过滤数据
- 调用方法，并传入参数
看一看设置参数的方式
按照 - 分割 url格式为
module_name-method_name-param1-param2
所以在该程序中 www 和 app 目录是相互对应的。
当我们请求
/dir_name/module_name-method_name-param-...-paramN.html
最后会调用 app 目录下 module_name 中的 control.php 的
module_name->method_name(param1,....,paramN)
比如
/cash/block-printTradeBlock.html
实际就是调用 app 目录下 cash 中的 control.php 的
block->printTradeBlock()
SQL 注入分析
漏洞出现在 lib/base/dao/dao.class.php
这里只对 $order 部分进行了校验， 而没有对 limit 后面的部分进行校验。
看到 printTradeBlock
在 $this->processParams() 中设置好 $this->params
可以看到 $this->params 就是 json_decode(base64_decode($_GET['param']))
然后又会调用
orderBy($this->params->orderBy)
所以我们可以控制 limit 后面的部分， SQL注入。
这套程序中还会执行 sql 语句,用的是 Pdo用的是 $pdo->query(), 这个函数可以一次执行多条 sql 语句。
/**
* 执行SQL语句，返回PDOStatement结果集。
* Query the sql, return the statement object.
*
* @access public
* @return object the PDOStatement object.
*/
public function query($sql = '')
{
/* 如果有错误，返回一个空的PDOStatement对象，确保后续方法能够执行。*/
/* If any error, return an empty statement object to make sure the remain method to execute. */
if(!empty(dao::$errors)) return new PDOStatement();
if($sql)
{
$sql = trim($sql);
$sqlMethod = strtolower(substr($sql, 0, strpos($sql, ' ')));
$this->setMethod($sqlMethod);
$this->sqlobj = new sql();
$this->sqlobj->sql = $sql;
}
else
{
$sql = $this->processSQL(); // 大概就是获取 sql 语句
}
$key = md5($sql);
try
{
$method = $this->method;
$this->reset();
if($this->slaveDBH and $method == 'select')
{
if(isset(dao::$cache[$key])) return dao::$cache[$key];
$result = $this->slaveDBH->query($sql);
dao::$cache[$key] = $result;
return $result;
}
else
{
if($this->method == 'select')
{
if(isset(dao::$cache[$key])) return dao::$cache[$key];
$result = $this->slaveDBH->query($sql);
dao::$cache[$key] = $result;
return $result;
}
return $this->dbh->query($sql);
}
}
catch (PDOException $e)
{
$this->sqlError($e);
}
}
这样我们的利用方式就简单了。
- 闭合 limit 语句，用
;连接多条语句 - 没有回显， 使用 时间盲注
poc
任意文件下载 && 任意文件删除
由于可以一次执行多条 sql 语句 ，我们实质上已经可以控制数据库了。
在 app/sys/file/control.php ,有两个函数 delete 和 download, 分别用于删除文件和下载文件。
以 delete 为例
$this->file->getById($fileID) 时间就是在 表前缀sys_file 中查找对应 id 相对应的 路径。
利用 sql 注入修改为目标路径（用 ../ 进行目录跳转），然后选择相应 id 即可删除指定文件。下载文件也是类似。
getshell
删除 my.php 后 会要求我们重新安装系统。
在重装系统的最后一步，会直接使用 POST 中的值，来设置 my.php 的内容，同时 , 访问 install.php 时，是不会调用参数过滤的函数的
所以可以注入 php 代码，getshell
