当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(36) 关注此漏洞

缺陷编号: WooYun-2013-25356

漏洞标题: PHPCMS V9 任意文件包含漏洞

相关厂商: phpcms

漏洞作者: tenzy

提交时间: 2013-06-07 15:09

公开时间: 2013-06-12 15:10

漏洞类型: 文件包含

危害等级: 高

自评Rank: 10

漏洞状态: 漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 help@wooyun.org

Tags标签: 无

1人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-06-07: 细节已通知厂商并且等待厂商处理中
2013-06-12: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

某处考虑不严谨,有可能导致文件包含漏洞。
利用条件:register_global=ON

详细说明:

漏洞文件:/plugin.php

漏洞代码:22行

触发条件:register_global=ON

代码片段:15到22行

code 区域
if(isset($_GET['id'])) {
if(!preg_match("/^[a-z0-9_\-]+$/i",$_GET['id'])) showmessage((L('illegal_parameters')));
list($identification, $filename,$action) = explode('-', $_GET['id']);
$filename = !empty($filename) ? $filename : $identification;
$action = !empty($action) ? $action : 'init';
}

$cache = getcache($identification,'plugins');



因为只有if(isset($_GET['id']))的情况下,$identification变量才会被初始化,

因此请求时,不提交$_GET['id'],直接identification=./xxxx/xxxx/xxx.php%00

同时利用长文件名截断或%00截断,可以完美利用此漏洞、

神马?还不完美?不能包含木马文件?

好吧,我们再看回以前的一个漏洞: WooYun: PHPCMS V9 getwebshell漏洞

无需任意权限,此修复后依旧可以直接上传图片,此文件包含漏洞加上老的文件上传漏洞,还有什么做不到的。

漏洞证明:

漏洞文件:/plugin.php

漏洞代码:22行

触发条件:register_global=ON

代码片段:15到22行

code 区域
if(isset($_GET['id'])) {
if(!preg_match("/^[a-z0-9_\-]+$/i",$_GET['id'])) showmessage((L('illegal_parameters')));
list($identification, $filename,$action) = explode('-', $_GET['id']);
$filename = !empty($filename) ? $filename : $identification;
$action = !empty($action) ? $action : 'init';
}

$cache = getcache($identification,'plugins');

修复方案:

版权声明:转载请注明来源 tenzy@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2013-06-12 15:10

厂商回复:

最新状态:

暂无


漏洞评价:

对本漏洞信息进行评价,以更好的反馈信息的价值,包括信息客观性,内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):
登陆后才能进行评分

评价

  1. 2013-06-07 15:15 | 梧桐雨 认证白帽子 ( 核心白帽子 | Rank:1643 漏洞数:189 | 学无止境)
    0

    前排

  2. 2013-06-07 15:48 | lucky ( 普通白帽子 | Rank:409 漏洞数:84 | 三人行必有我师焉########################...)
    0

    前排

  3. 2013-06-07 15:50 | Aepl│恋爱 ( 实习白帽子 | Rank:45 漏洞数:15 | Forzen恋爱-不要做你的Guest 只想做的你adm...)
    0

    前排

  4. 2013-06-07 15:56 | Getshell ( 路人 | Rank:28 漏洞数:7 )
    0

    我爱你,大牛

  5. 2013-06-07 15:57 | Aepl│恋爱 ( 实习白帽子 | Rank:45 漏洞数:15 | Forzen恋爱-不要做你的Guest 只想做的你adm...)
    0

    @Getshell 脱离队伍 拉出去弹JJ10分钟

  6. 2013-06-07 16:00 | Finger 认证白帽子 ( 普通白帽子 | Rank:777 漏洞数:95 | 最近有人冒充该账号行骗,任何自称Finger并...)
    0

    mark

  7. 2013-06-07 16:11 | 温柔杀手 ( 路人 | Rank:2 漏洞数:1 | 这是个马甲,用来装比)
    0

    mark

  8. 2013-06-07 16:24 | 围剿 ( 路人 | Rank:17 漏洞数:5 | Evil decimal)
    0

    马克

  9. 2013-06-07 17:48 | msx2009 ( 路人 | Rank:5 漏洞数:7 | 信息安全 web开发)
    0

    马克

  10. 2013-06-07 19:38 | 0xTback ( 路人 | Rank:0 漏洞数:1 | 丫丫丫雅雅雅雅)
    0

    好像一般register_global都默认off

  11. 2013-06-07 21:51 | tenzy ( 普通白帽子 | Rank:176 漏洞数:21 | Need not to know)
    0

    @0xTback 否则我会发出来么。。。

  12. 2013-06-07 21:51 | 梧桐雨 认证白帽子 ( 核心白帽子 | Rank:1643 漏洞数:189 | 学无止境)
    0

    @tenzy 我信洞主!

  13. 2013-06-07 22:13 | Getshell ( 路人 | Rank:28 漏洞数:7 )
    0

    @Aepl│恋爱 呀么蝶,我下次不敢了,呜呜呜....

  14. 2013-06-08 09:53 | kimdle ( 路人 | Rank:0 漏洞数:1 | @kimdle)
    0

    前排!

  15. 2013-06-13 10:17 | wefgod ( 核心白帽子 | Rank:1829 漏洞数:183 | 力不从心)
    0

    什么情况?

  16. 2013-07-12 10:46 | 乌帽子 ( 路人 | Rank:29 漏洞数:3 | 学习黑客哪家强 | 中国山东找蓝翔 | sql...)
    0

    if(!$cache['disable'] || !preg_match("/^[a-z0-9_\-]+$/i", $identification) || $filename=='plugin_admin' || $filename=='hook') { showmessage(L('plugin_not_exist','','plugin')); } 23~26行的验证,可以绕过?求教。。

  17. 2013-11-18 20:17 | 廷廷 ( 路人 | Rank:0 漏洞数:1 | 有很强的好奇心,爱好广泛,求女女带走。。...)
    0

    register_global=ON 鸡肋啊!!

登录后才能发表评论,请先 登录