Thinkphp缓存RCE

2023-08-26 13:45:40

5.0.0<=ThinkPHP5<=5.0.10 。

漏洞利用条件：

1.基于tp5开发的代码中使用了Cache::set 进行缓存

2.在利用版本范围内

3.runtime目录可以访问

扩展:

1.不可访问，可以考虑包含。前提要找到包含处。//Tp有一个Cache一个包含

2.利用缓存，做一个长期的shell动态生成。

漏洞原因：缓存名，可以预测，缓存内容用户可控。

造成漏洞代码

<?php

namespace app\index\controller;

use think\Cache;

class Index

{

public function index()

{

Cache::set("name",input("get.username"));

return 'Cache success';

}

use think\Cache; 跟到think\Cache.php

think\Cache.php 文件内容

use think\cache\Driver;

set 方法

缓存写入次数

return self::init()->set($name, $value, $expire);

自动缓存

在init 方法里

Config：：get('cache.type')

默认为File类型

程序获取cache type 以后

这样就加载了 \think\cache\driver\File.php

return self::init()->set($name, $value, $expire);

通过Init（）调用file 下的set方法

if (is_null($expire)) {

									$expire = $this->options['expire'];

}

那么$expire=0

目录名以及文件名：


						protected function getCacheKey($name, $auto = false)
{

														$name = md5($name);
if ($this->options['cache_subdir']) { 
// 使用子目录
$name = substr($name, 0, 2) . DS . substr($name, 2); //目录名取md5（$name）的前2位，文件名为后30位
    }
if ($this->options['prefix']) {

																																					$name = $this->options['prefix'] . DS . $name;
    }

																																																	$filename = $this->options['path'] . $name . '.php';

																																																													$dir      = dirname($filename);

if ($auto && !is_dir($dir)) {
mkdir($dir, 0755, true);
    }
return $filename;
}