MetInfo 任意文件读取漏洞的修复与绕过

作者:Badcode@知道创宇404实验室

时间:2018年8月20日

404实验室内部的WAM(Web应用监控程序,文末有关于WAM的介绍)监控到 MetInfo 版本更新,并且自动diff了文件,从diff上来看,应该是修复了一个任意文件读取漏洞,但是没有修复完全,导致还可以被绕过,本文就是记录这个漏洞的修复与绕过的过程。

漏 洞 简 介

MetInfo是一套使用PHP和Mysql开发的内容管理系统。 MetInfo 6.0.0~6.1.0版本中的 old_thumb.class.php文件存在任意文件读取漏洞。攻击者可利用漏洞读取网站上的敏感文件。

漏 洞 影 响

  • MetInfo 6.0.0
  • MetInfo 6.1.0

漏 洞 分 析

看到 \MetInfo6\app\system\include\module\old_thumb.class.php

<?php# MetInfo Enterprise Content Management System# Copyright (C) MetInfo Co.,Ltd (http://www.metinfo.cn). All rights reserved.defined('IN_MET') or exit('No permission');load::sys_class('web');class old_thumb extends web{ public function doshow(){ global $_M; $dir = str_replace('../', '', $_GET['dir']); if(strstr(str_replace($_M['url']['site'], '', $dir), 'http')){ header("Content-type: image/jpeg"); ob_start(); readfile($dir); ob_flush(); flush(); die; }......

从代码中可以看到,$dir直接由$_GET['dir']传递进来,并将../置空。目标是进入到第一个 if 里面的readfile($dir);,读取文件。看看 if 语句的条件,里面的是将$dir中包含$_M['url']['site']的部分置空,这里可以不用管。外面是一个strstr函数,判断$dir中http字符串的首次出现位置,也就是说,要进入到这个 if 语句里面,$dir中包含http字符串即可。

从上面的分析可以构造出 payload,只要$dir里包含http字符串就可以进入到readfile函数从而读取任意函数,然后可以使用..././来进行目录跳转,因为../会被置空,所以最终payload 如下

?dir=..././http/..././config/config_db.php

对于这个任意文件读取漏洞,官方一直没补好,导致被绕过了几次。以下几种绕过方式均已提交CNVD,由CNVD通报厂商。

第一次绕过

根据WAM的监测记录,官方5月份的时候补了这个漏洞,但是没补完全。

看下diff

可以看到,之前的只是把../置空,而补丁是把../和./都置空了。但是这里还是可以绕过。可以使用.....///来跳转目录,.....///经过str_replace置空,正好剩下../,可以跳转。所以payload是

?dir=.....///http/.....///config/config_db.php

第二次绕过

在提交第一种绕过方式给CNVD之后,MetInfo没多久就更新了,来看下官方的修复方式。

diff

这里加了一个判断,$dir要以http开头,变换一下之前的payload就可以继续绕过了。

?dir=http/.....///.....///config/config_db.php

第三次绕过

再次提交之后,官方知悉该绕过方式,又补了一次了。

看下diff

看到补丁,又多加了一个判断条件,使用strpos函数查找./首次出现的位置,也就是说不能有./。没了./,在Windows下还可以用..\来跳转目录。所以payload

?dir=http\..\..\config\config_db.php

遗憾的是,这个只能在Windows环境下面才可以。

最终

目前在官网供下载的最新的6.1.0版本中,old_thumb.class.php这个文件已经被删除。

总 结

一次次的修补,一次次的绕过,感觉开发者应该是没有理解到漏洞利用的原理,一直以类黑名单的形式在修复,而黑名单的形式总是容易被绕过。除了删除文件外,根据实际功能,可以考虑使用白名单方式修复,例如限定所能读取的文件类型为图片类型。

关于 WAM

WAM 应用监控:通过监控互联网开源 Web 应用的版本更新,自动化 Diff 审计源代码,发送漏洞告警邮件,第一时间发现漏洞及后门植入。

功能特性

  • 目前已支持150种 Web 应用的版本源码监控
  • 支持监控 Web 应用历史版本源码包下载
  • 监控 Web 应用版本发布页面自动下载更新
  • 自动 Diff 版本,比较文件更新,高亮显示,自动审计可疑漏洞或后门
  • 自动邮件告警可以漏洞/后门审计结果

好消息来了,黑哥计划在 2018 KCon 大会上直接将 WAM 开源发布。

原文发布于微信公众号 - Seebug漏洞平台(seebug_org)

原文发表时间:2018-08-21

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏杨建荣的学习笔记

批量部署zabbix agent (r6笔记第55天)

zabbix作为系统级的监控还是非常给力,它总是在后台孜孜不倦的进行反反复复的检查和校验,然后通过邮件,短信,图形等方式来把系统的预警表达出来。 zabbix ...

3085
来自专栏古时的风筝

说一说几种常用的登录认证方式,你用的哪种

登录认证几乎是任何一个系统的标配,web 系统、APP、PC 客户端等,好多都需要注册、登录、授权认证。 场景说明 以一个电商系统,假设淘宝为例,如果我们想要...

52211
来自专栏北京马哥教育

25个必须记住的SSH命令

OpenSSH是SSH连接工具的免费版本。telnet,rlogin和ftp用户可能还没意识到他们在互联网上传输的密码是未加密的,但SSH是加密的,OpenSS...

3915
来自专栏黑白安全

常见的爬虫的攻防策略

从网络开始的那一刻起,爬虫就肩负了她的使命,数据收集!尤其是大数据时代的到来,越来越多的企业认识到数据的重要性,数据成了一个企业的重要资产,数据的多样性给了爬虫...

882
来自专栏黑白安全

信息搜集阶段可快速getshell的一些方式

2、各远程执行类漏洞,如,Struts2,iis,tomcat,proftp,elasticsearch...

1473
来自专栏极客生活

基于python flask详述 OAuth 2.0 的运作流程

OAuth2 对于我来说是一个神秘的东西,我想初步的弄懂中间的整个流程,于是就去google搜索相关的文档资料。

1994
来自专栏FreeBuf

某开源框架从注入到Getshell

0x00 前言 SemCms是一套开源外贸企业网站管理系统,主要用于外贸企业,兼容IE、Firefox 等主流浏览器。SemCms使用vbscript语言编写,...

2116
来自专栏程序员的酒和故事

Golang中使用echo框架、MongoDB、JWT搭建REST API

生命不止,继续go go go !!! 之前介绍过golang中restful api的博客,是使用redis作为持久化,httprouter作为框架: Go...

6415
来自专栏开源优测

2000行代码,再不学习就老了

2055
来自专栏王亚昌的专栏

进程访问外部接口的超时设置

    早上发现WEB SRV上的FCGI进程全部挂住了,查看日志才发现是访问一个外部接口的时候因为失败率比较高,导致FCGI进程都堵在接收回包上了,因为超时设...

911

扫码关注云+社区

领取腾讯云代金券