phpwind 7.5出现严重安全漏洞

SiMen.K.

来源：转载  发布时间：2010-1-11 0:39:45  

    近日，国内知名的社区PHPWIND又现严重漏洞，程序中有部分变量没有过滤导致任意包含本地文件,

从而可以执行任意PHP命令，官方针对这个漏洞已经做出了修补。

phpwind 7.5 Multiple Include Vulnerabilities  author: 80vulteam:

http://www.80vul.com一.api/class_base.php本地包含漏洞

1.描叙
api/class_base.php文件里callback函数里$mode变量没有过滤导致任意包含本地文件,

从而可以执行任意PHP命令.2. 具体分析api/class_base.php文件里:

1. 
   
2.         function callback($mode, $method, $params) {
   
3.                 if (!isset($this->classdb[$mode])) {
   
4.                         if (!file_exists(R_P.'api/class_' . $mode . '.php')) {
   
5.                                 return new ErrorMsg(API_MODE_NOT_EXISTS, "Class($mode) Not Exists");
   
6.                         }
   
7.                         require_once(R_P.'api/class_' . $mode . '.php'); //这里
   
8.                         $this->classdb[$mode] = new $mode($this);
   
9.                 }
   
10.                 if (!method_exists($this->classdb[$mode], $method)) {
    
11.                         return new ErrorMsg(API_METHOD_NOT_EXISTS, "Method($method of $mode) Not Exists");
    
12.                 }
    
13.                 !is_array($params) && $params = array();
    
14.                 return @call_user_func_array(array(&$this->classdb[$mode], $method), $params);
    
15.         }
    

复制代码

我们继续跟一下具体变量传递的过程. 上面的函数在run()里有调用:

1. 
   
2.         function run($request) {
   
3.                 $request = $this->strips($request);
   
4.                 if (isset($request['type']) && $request['type'] == 'uc') {
   
5.                         $this->type                = 'uc';
   
6.                         $this->apikey        = $GLOBALS['uc_key'];//注意变量是该漏洞关键
   
7.                 } else {
   
8.                         $this->type                = 'app';
   
9.                         $this->apikey        = $GLOBALS['db_siteownerid'];
   
10.             $this->siteappkey = $GLOBALS['db_siteappkey'];
    
11.                 }
    
12.                 /***
    
13.                 if ($this->type == 'app' && !$GLOBALS['o_appifopen']) {
    
14.                         return new ErrorMsg(API_CLOSED, 'App Closed');
    
15.                 }
    
16.                 ***/
    
17.                 ksort($request);
    
18.                 reset($request);
    
19.                 $arg = '';
    
20.                 foreach ($request as $key => $value) {
    
21.                         if ($value && $key != 'sig') {
    
22.                                 $arg .= "$key=$value&";
    
23.                         }
    
24.                 }
    
25.                 if (md5($arg . $this->apikey) != $request['sig']) {
    
26. //注意这个判断,需要绕过它.上面的代码可以看的出来
    
27. //$this->apikey        = $GLOBALS['uc_key'],和$request['sig']我们
    
28. //都可以控制,那么很容易绕过它
    
29.                         return new ErrorMsg(API_SIGN_ERROR, 'Error Sign');
    
30.                 }
    
31.                 $mode        = $request['mode']; //取$mode 没有过滤直接进入下面的callback()
    
32.                 $method        = $request['method'];
    
33.                 $params = isset($request['params']) ? unserialize($request['params']) : array();
    
34.         if (isset($params['appthreads'])) {
    
35.             if (PHP_VERSION < 5.2) {
    
36.                 require_once(R_P.'api/class_json.php');
    
37.                 $json = new Services_JSON(true);
    
38.                 $params['appthreads'] = $json->decode(@gzuncompress($params['appthreads']));
    
39.             } else {
    
40.                 $params['appthreads'] = json_decode(@gzuncompress($params['appthreads']),true);
    
41.             }
    
42.         }
    
43.                 if ($params && isset($request['charset'])) {
    
44.                         $params = pwConvert($params, $this->charset, $request['charset']);
    
45.                 }
    
46.                 return $this->callback($mode, $method, $params); //调用callback ()
    
47.         }
    

复制代码

我们继续看看run()函数的调用:在pw_api.php文件里:

1. 
   
2. $api = new api_client();
   
3. $response = $api->run($_POST + $_GET);//直接run了$_POST , $_GET提交的变量.
   

复制代码

上面的分析是逆行分析了整个漏洞变量提交的过程,其实我们这个漏洞还包含一次编码与
解码的问:require_once(R_P.'api/class_' . $mode . '.php');这个需要绕过魔术引号才可以
包含容易文件.我们注意看run()的第一句        

1. 
   
2. $request = $this->strips($request);
   
3. 
   
4. strips() //的代码:
   
5. 
   
6.         function strips($param) {
   
7.                 if (is_array($param)) {
   
8.                         foreach ($param as $key => $value) {
   
9.                                 $param[$key] = $this->strips($value);
   
10.                         }
    
11.                 } else {
    
12.                         $param = stripslashes($param);
    
13. //变量直接使用了stripslashes,那么我们可以直接绕过魔术引号了 :)
    
14.                 }
    
15.                 return $param;
    
16.         }
    

复制代码

3.POC/EXP  缺4.FIX由于漏洞信息的外泄,官方针对这个漏洞已经做出了修补:
http://www.phpwind.net/read-htm-tid-914851.html具体代码:

1. 
   
2. require_once Pcv(R_P.'api/class_' . $mode . '.php');
   
3. 
   
4. function Pcv($filename,$ifcheck=1){
   
5.         $tmpname = strtolower($filename);
   
6.         $tmparray = array(' http://',"\0"); //过滤了http:// \0 意思是不让远程 不让截断
   
7.         $ifcheck && $tmparray[] = '..';    //过滤了.. 意思是不让转跳目录
   
8.         if (str_replace($tmparray,'',$tmpname)!=$tmpname) {
   
9.                 exit('Forbidden');
   
10.         }
    
11.         return $filename;
    
12. }
    

复制代码

从Pcv()可以看出来phpwind的补丁风格是很猥琐的,单从这个pcv来看 还有很多的逻辑问题,
比如http://这个过滤很搞笑,人家就不可以用ftp://? ...二.apps/share/index.php远程包含漏洞1.

描叙apps/share/index.php 里$route和$basePath变量没有初始化,导致远程包含或者本地包含
php文件,导致执行任意php代码2.具体分析

1. 
   
2. <?php
   
3. if ($route == "share") {
   
4.         require_once $basePath . '/action/m_share.php';
   
5. } elseif ($route == "sharelink") {
   
6.         require_once $basePath . '/action/m_sharelink.php';
   
7. }
   
8. ?>
   

复制代码

这个漏洞好象不太需要分析!!!! 我建议写这个代码的人应该扣除年终奖...
3.POC/EXP    缺
4.FIX已经在这个补丁的同时'修补'了http://www.phpwind.net/read-htm-tid-914851.html

1. 
   
2. <?php
   
3. !function_exists('readover') && exit('Forbidden');
   
4. if ($route == "share") {
   
5.         require_once $basePath . '/action/m_share.php';
   
6. } elseif ($route == "sharelink") {
   
7.         require_once $basePath . '/action/m_sharelink.php';
   
8. }
   
9. ?>
   

复制代码

三.apps/groups/index.php远程包含漏洞1.描叙apps/groups/index.php
里$route和$basePath变量没有初始化,导致远程包含或者本地包含php文件,导致执行
任意php代码
2.具体分析

1. 
   
2. <?phpif ($route == "groups") {require_once $basePath . '/action/m_groups.php';} elseif ($route == "group") {require_once $basePath . '/action/m_group.php';} elseif ($route == "galbum") {require_once $basePath . '/action/m_galbum.php';}
   

复制代码

这个漏洞好象不太需要分析!!!! 我建议写这个代码的人应该扣除年终奖...3.POC/EXP   
缺4.FIX已经在这个补丁的同时'修补'了http://www.phpwind.net/read-htm-tid-914851.html

1. 
   
2. <?php
   
3. !function_exists('readover') && exit('Forbidden');
   
4. if ($route == "groups") {
   
5. require_once $basePath . '/action/m_groups.php';
   
6. } elseif ($route == "group") {
   
7. require_once $basePath . '/action/m_group.php';
   
8. } elseif ($route == "galbum") {
   
9. require_once $basePath . '/action/m_galbum.php';
   
10. }
    
11. ?>
    

复制代码

Jackey.lia

黑客强势插入

Pepent

看不懂强势围观.

MaMaMiYa

LZ你要把本版块往IT新闻版块发展?

119366686

强势断后···

Miracle.jack

强势垫底

527482773

强势回帖