专栏首页安恒信息漏洞报告 | ThinkPHP配置不当可导致远程代码执行

漏洞报告 | ThinkPHP配置不当可导致远程代码执行

ThinkPHP配置不当可导致远程代码执行

漏洞分析报告

1. 漏洞描述

ThinkPHP是一款国内流行的开源PHP框架,近日被爆出存在可能的远程代码执行漏洞,攻击者可向缓存文件内写入PHP代码,导致远程代码执行。虽然该漏洞利用需要有几个前提条件,但鉴于国内使用ThinkPHP框架的站点数量之多,该漏洞还是存在一定的影响范围。

2. 漏洞危害

攻击者可通过该漏洞获取网站的控制权限,可修改页面,导致数据泄漏等问题。

3. 影响版本

ThinkPHP 3、ThinkPHP 5

4. 漏洞利用前置条件

缓存名已知(使用了开源程序/源码泄漏等情况),或者缓存名可猜测(使用了常见的名词,如user, news, goods等)。

/runtime/目录下的文件可通过Web访问。

缓存内容可控或部分可控,可带入PHP代码。

5. 风险等级

高危

6. 漏洞分析

以ThinkPHP 3.2.3为例:

这是一个简单的新闻管理页面,首页调用index方法,列出系统内已有的新闻标题。addnews方法用于插入一条新的新闻数据。detail方法通过获取新闻的tid号查询出新闻的详细内容。

由于新闻的内容较多,查询较慢,通常采用缓存的方式提高访问速度。在这时,如果采用数据缓存的方式,就会产生安全隐患。

这里的逻辑是如果能查到缓存,则直接读取缓存数据,否则从数据库里查出数据,并调用S函数进行缓存。S函数的实现:

首先实例化一个Think\Cache类,然后调用该类的set方法。首先看一下实例化操作:

实例化了Cache类,并调用Connect方法:

可以在ThinkPHP/Conf/convention.php中找到DATA_CACHE_TYPE的默认值为File:

$class=’Think\\Cache\\Driver\\File’,所以S函数的操作为实例化File类并调用其set方法:

在这里可以看到$value的值只是被序列化之后就传入//注释后,而//注释符只是一个单行注释,只需传入换行符就能绕过防御。在137行,$data数据被写入文件,文件名在125行被赋值,跟进一下filename这个函数:

$name = md5(C(‘DATA_CACHE_KEY’).$name) 而DATA_CACHE_KEY在配置文件中默认为空:

于是当访问http://127.0.0.1/thinkphp323/home/news/detail?tid=1时管理页面会去寻找缓存目录下md5(new_1)= b00e5c9873c2a37766a94d11c19131e8.php 这个文件。

下图是访问http://127.0.0.1/thinkphp323/home/news/detail?tid=1的结果:

缓存文件的内容:

按照上面的分析,通过addnews方法插入一段恶意的代码:

然后用detail方法查看tid为2的记录触发数据缓存:

利用上述计算方法,此时产生的缓存文件名为md5(new_2)= 04f886bf57f9070935c4a0f972032380.php。内容如下:

直接在浏览器访问:

可以发现输入的恶意代码已经被执行了。

修复建议

在查阅相关资料过程中,发现有文章指出用如下代码进行防御:$data=str_replace(PHP_EOL, '', $data); 经过分析和测试,该防御方式存在绕过方式,而且会影响程序的缓存功能。

新版的ThinkPHP中已经有对缓存的内容进行一定的防护,但是依然可以绕过防护,写入PHP代码。因此主要还是要依靠用户进行安全的配置,为了避免该漏洞产生,安恒应急响应中心建议:

1. 用户在部署程序时勿将ThinkPHP中/public/目录之外的其它目录(尤其是/runtime/)放置到Web目录下。

2. 开发者在程序安装完成后使程序随机生成DATA_CACHE_KEY(在convention.php文件中),以免缓存文件名被猜测出来。

对于已经在使用ThinkPHP框架的用户,可以按下面方法加固站点:

* 进行修改之前请提前备份好数据!

1. 检查Web目录下是否存在/runtime/(/Runtime/)目录,或 /application/(/Application/)目录,如果存在这两个目录,则极有可能未正确部署程序。

修改HTTP服务配置,将Wen路径修改到ThinkPHP的./public目录。

2. 添加缓存文件名前缀

在ThinkPHP3中:将convention.php文件中的DATA_CACHE_KEY设置为随机字符串。

参考:https://www.kancloud.cn/manual/thinkphp/1835

在ThinkPHP5中:在缓存初始化操作之前,设置文件前缀

```

$options = [

// 缓存类型为File

'type' => 'File',

// 缓存有效期为永久有效

'expire'=> 0,

//缓存前缀

'prefix'=> 'think',

// 指定缓存目录

'path' => APP_PATH.'runtime/cache/',

];

Cache::connect($options);

```

- END -

本文分享自微信公众号 - 安恒信息(DBAPP2013)

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2017-08-16

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 2017年度浙江省互联网发展报告出炉

    有网友戏称,中国有了“新四大发明”,分别是:高铁、网购、支付宝、共享单车,而就在这四项中,网购和支付宝两项均诞生于浙江。不得不说,中国互联网的发展,浙江有着不可...

    安恒信息
  • 安恒信息范渊:守护网安之门,助力山东新旧动能转换

    创富新时代、创领新动能。8月6日-8日,青年企业家创新发展国际峰会2018(以下简称“峰会”)在山东济南召开。安恒信息董事长兼总裁范渊参加此次峰会,并围绕“科技...

    安恒信息
  • 2017云博会 | 中国云安全联盟正式成立

    11月1日至3日,2017中国手机创新周和第六届中国(惠州)物联网·云计算技术应用博览会(以下简称“云博会”)在广东惠州举行。本届云博会由中国产学研促进会主办,...

    安恒信息
  • 高并发请求的缓存设计策略

    前几天,我司出了个篓子。当时正值某喜闻乐见的关键比赛结束,一堆人打开我司app准备看点东西,结果从来没有感受到过这么多关注量的该功能瞬间幸福到眩晕,触发了熔断,...

    老白
  • 后端技能清单(草稿)

    昨天也顺手整理了一下我所需要的后端技能清单。不过,由于我离非常有经验的后端开发者有点距离,希望大家可以给点意见哈。 入门 HTML / CSS 编程语言:Ja...

    Phodal
  • 从前端角度理解缓存缓存是怎么回事缓存的类型缓存存储在哪薄荷应用CDN缓存如何合理应用缓存

    前端发送请求主要经历以下三个过程,请求->处理->响应。 如果有多次请求就需要重复执行这个过程。

    用户2356368
  • [译] HTTP 缓存头部 - 完全指南

    原文: http://cncc.bingj.com/cache.aspx?q=max-age+expires+Last-Modified&d=499745815...

    江米小枣
  • Java高并发缓存架构,缓存雪崩、缓存穿透之谜

    了解什么是 redis 的雪崩、穿透和击穿?redis 崩溃之后会怎么样?系统该如何应对这种情况?如何处理 redis 的穿透?

    李红
  • Spring Boot2(二):使用Spring Boot2集成Mybatis缓存机制

    学习SpringBoot集成Mybatis的第二章,了解到Mybatis自带的缓存机制,在部署的时候踩过了一些坑。在此记录和分享一下Mybatis的缓存作用。

    鸟不拉屎
  • 技术 | 小白都能看懂的缓存入门

    缓存是程序员必须了解的技术,无论是前端、后端还是客户端,大到复杂的系统架构,小到 CPU 或是芯片,都少不了缓存的影子。

    程序员鱼皮

扫码关注云+社区

领取腾讯云代金券