当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-025356

漏洞标题：PHPCMS V9 任意文件包含漏洞

相关厂商：phpcms

漏洞作者： tenzy

提交时间：2013-06-07 15:09

修复时间：2013-06-12 15:10

公开时间：2013-06-12 15:10

漏洞类型：文件包含

危害等级：高

自评Rank：10

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-06-07： 细节已通知厂商并且等待厂商处理中
2013-06-12： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

某处考虑不严谨，有可能导致文件包含漏洞。
利用条件：register_global=ON

详细说明：

漏洞文件：/plugin.php
漏洞代码：22行
触发条件：register_global=ON
代码片段：15到22行

if(isset($_GET['id'])) {
	if(!preg_match("/^[a-z0-9_\-]+$/i",$_GET['id'])) showmessage((L('illegal_parameters')));
	list($identification, $filename,$action) = explode('-', $_GET['id']);
	$filename = !empty($filename) ? $filename : $identification;
	$action = !empty($action) ? $action : 'init';
}
$cache = getcache($identification,'plugins');


因为只有if(isset($_GET['id']))的情况下，$identification变量才会被初始化，
因此请求时，不提交$_GET['id']，直接identification=./xxxx/xxxx/xxx.php%00
同时利用长文件名截断或%00截断，可以完美利用此漏洞、
神马？还不完美？不能包含木马文件？
好吧，我们再看回以前的一个漏洞： WooYun: PHPCMS V9 getwebshell漏洞
无需任意权限，此修复后依旧可以直接上传图片，此文件包含漏洞加上老的文件上传漏洞，还有什么做不到的。

漏洞证明：

漏洞文件：/plugin.php
漏洞代码：22行
触发条件：register_global=ON
代码片段：15到22行

if(isset($_GET['id'])) {
	if(!preg_match("/^[a-z0-9_\-]+$/i",$_GET['id'])) showmessage((L('illegal_parameters')));
	list($identification, $filename,$action) = explode('-', $_GET['id']);
	$filename = !empty($filename) ? $filename : $identification;
	$action = !empty($action) ? $action : 'init';
}
$cache = getcache($identification,'plugins');

修复方案：

无

版权声明：转载请注明来源 tenzy@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2013-06-12 15:10

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2013-06-07 15:15 | 梧桐雨 认证白帽子 ( 核心白帽子 | Rank:1576 漏洞数:184 | 关注技术与网络安全)

    前排

  2. 2013-06-07 15:48 | lucky ( 普通白帽子 | Rank:409 漏洞数:81 | 三人行必有我师焉########################...)

    前排

  3. 2013-06-07 15:50 | Aepl│恋爱 ( 实习白帽子 | Rank:45 漏洞数:15 | Forzen恋爱-不要做你的Guest 只想做的你adm...)

    前排

  4. 2013-06-07 15:56 | Getshell ( 路人 | Rank:12 漏洞数:2 )

    我爱你，大牛

  5. 2013-06-07 15:57 | Aepl│恋爱 ( 实习白帽子 | Rank:45 漏洞数:15 | Forzen恋爱-不要做你的Guest 只想做的你adm...)

    @Getshell 脱离队伍 拉出去弹JJ10分钟

  6. 2013-06-07 16:00 | Finger 认证白帽子 ( 普通白帽子 | Rank:777 漏洞数:95 | 最近有人冒充该账号行骗，任何自称Finger并...)

    mark

  7. 2013-06-07 16:11 | 温柔杀手 ( 路人 | Rank:2 漏洞数:1 | 这是个马甲，用来装比)

    mark

  8. 2013-06-07 16:24 | 围剿 ( 路人 | Rank:17 漏洞数:5 | Evil decimal)

    马克

  9. 2013-06-07 17:48 | msx2009 ( 路人 | Rank:5 漏洞数:7 | 信息安全 web开发)

    马克

  10. 2013-06-07 19:38 | 0xTback ( 路人 | Rank:0 漏洞数:1 | 初入江湖，请多多关照~！！！)

    好像一般register_global都默认off

  11. 2013-06-07 21:51 | tenzy ( 普通白帽子 | Rank:176 漏洞数:21 | Need not to know)

    @0xTback 否则我会发出来么。。。

  12. 2013-06-07 21:51 | 梧桐雨 认证白帽子 ( 核心白帽子 | Rank:1576 漏洞数:184 | 关注技术与网络安全)

    @tenzy 我信洞主！

  13. 2013-06-07 22:13 | Getshell ( 路人 | Rank:12 漏洞数:2 )

    @Aepl│恋爱 呀么蝶，我下次不敢了，呜呜呜....

  14. 2013-06-08 09:53 | kimdle ( 路人 | Rank:0 漏洞数:1 | @kimdle)

    前排！

  15. 2013-06-13 10:17 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:170 | 力不从心)

    什么情况？

  16. 2013-07-12 10:46 | 乌帽子 ( 路人 | Rank:29 漏洞数:3 | 学习黑客哪家强 | 中国山东找蓝翔 | sql...)

    if(!$cache['disable'] || !preg_match("/^[a-z0-9_\-]+$/i", $identification) || $filename=='plugin_admin' || $filename=='hook') { showmessage(L('plugin_not_exist','','plugin'));}23~26行的验证，可以绕过？求教。。

  17. 2013-11-18 20:17 | 廷廷 ( 路人 | Rank:0 漏洞数:1 | 有很强的好奇心，爱好广泛，求女女带走。。...)

    register_global=ON 鸡肋啊！！