Sine安全-网络安全背后的巨人,提供服务器安全_服务器维护_网站安全解决方案

对CodeIgniter源代码的安全审计 文件包含漏洞

在一个项目中,我提前拿到了网站的源代码,队里的师傅白盒审出了一个曲折的利用链,现在我再次重现并记录了这个链的挖掘过程。这条链牵涉到经典漏洞,包含:session伪造、任何文件上传、条件竞争、文件包含。每个漏洞都很经典,串在一起变成了bigboom。


前边的叙述:目标网站的使用框架结构是CodeIgniter,这篇文章旨在进行技术研究和思路共享,牵涉到目标网站的信息已经被隐藏,相关代码特征如变量、函数的命名也已被替换,但代码逻辑保存,仍然具有参考价值。找出上传点,检索一遍未发现明显的命令注入、代码注入。相反,找出上传或文件写入的漏洞,主要关注file_put_contentms和back_uploades_files等功能,在某个上传界面/uplaodController/uplaodMethod中,找出以下代码段:代码逻辑非常清晰:

从$_FILES中获取uploadesFile文件,保存上传时的文件名,移动到/tmp目录。


构建一个表格,其中imageFile参数是第一步移动的文件,然后与其他参数一起POST到另一个界面。经典的卸杀驴,删除刚移动的文件。然后即使是不稳定的文件上传点,路径也是/tmp/[上传文件名]。使用场景也是被迫的,让我们思考一下:我们需要一个文件来与上面代码中的unlink操作竞争,在文件被删除之前包含,以达到执行代码的效果。


寻找文件包含,目的是找到可以控制文件路径的包含点。这里找到了一个Meathods类别,包含一个method1方法来满足我们的需求。这部分逻辑也很清楚。is_ajax_rtequest()根据请求头HTTP_X_REQUESTED_WITH的值是否为“XMLHttpRequest”来判断是否是异步请求,否则返回json编码后的空数组。之后的漏洞使用过程中要注意这一点。


从post参数中获取要求的变量,如果没有,从get参数中获取。post()和get()两个函数的具体逻辑是根据$_POST和$_GET获取变量。(支持从post数据中获取参数的特性,可以为我们绕过waf提供更多选择)。获得相应的$class和$method后,isMethodAllowes()检查调用方法是否允许。调用框架结构定义的this->load->model方法加载相应类别。为了避免任何框架结构定义的限制,有必要看看this->load->model的逻辑。

分享: