WooYun.org

漏洞文件： /addons/widget/FeedListWidget/FeedlistWidget.class.php


漏洞函数： getData()





getData函数位于/addons/widget/FeedListWidget/FeedlistWidget.class.php


在第262行处调用renderFile函数进行渲染模版。





    private function getData($var, $tpl = 'FeedList.html') {


        $var['feed_key'] = t($var['feed_key']);


        $var['cancomment'] = isset($var['cancomment']) ? $var['cancomment'] : 1;


        //$var['cancomment_old_type'] = array('post','repost','postimage','postfile');


        $var['cancomment_old_type'] = array('post','repost','postimage','postfile','weiba_post','weiba_repost');


        // 获取微博配置


        $weiboSet = model('Xdata')->get('admin_Config:feed');


        $var = array_merge($var, $weiboSet);


        $var['remarkHash'] = model('Follow')->getRemarkHash($GLOBALS['ts']['mid']);


        $map = $list = array();


        $type = $var['new'] ? 'new'.$var['type'] : $var['type'];        // 最新的微博与默认微博类型一一对应


        //。。。。此处省略1万字


        $content['html'] = $this->renderFile(dirname(__FILE__)."/".$tpl, $var);         //调用renderFile进行渲染模版


        return $content;


    }





renderFile函数定义于文件core/OpenSociax/Widget.class.php中：


        protected function renderFile($templateFile = '', $var = '', $charset = 'utf-8') {


                $var['ts'] = $GLOBALS['ts'];


                if (! file_exists_case ( $templateFile )) {


                        // 自动定位模板文件


                        // $name = substr ( get_class ( $this ), 0, - 6 );


                        // $filename = empty ( $templateFile ) ? $name : $templateFile;


                        // $templateFile =   'widget/' . $name . '/' . $filename . C ( 'TMPL_TEMPLATE_SUFFIX' );


                        // if (! file_exists_case ( $templateFile ))


                        throw_exception ( L ( '_WIDGET_TEMPLATE_NOT_EXIST_' ) . '[' . $templateFile . ']' );


                }


                $template = $this->template ? $this->template : strtolower ( C ( 'TMPL_ENGINE_TYPE' ) ? C ( 'TMPL_ENGINE_TYPE' ) : 'php' );


                $content = fetch($templateFile,$var,$charset); //调用fetch函数载入模版


                return $content;


        }





进一步跟进fetch函数，fetch函数实现上可能存在任意变量覆盖漏洞：


fetch函数定义在core/OpenSociax/functions.inc.php中（第939行开始）：


function fetch($templateFile='',$tvar=array(),$charset='utf-8',$contentType='text/html',$display=false) {


    //注入全局变量ts


    global  $ts;


    $tvar['ts'] = $ts;


    //$GLOBALS['_viewStartTime'] = microtime(TRUE);


    if(null===$templateFile)


        return ;


    if(empty($charset))  $charset = C('DEFAULT_CHARSET');


    header("Content-Type:".$contentType."; charset=".$charset);


    header("Cache-control: private");


    ob_start();


    ob_implicit_flush(0);


    if(''==$templateFile){


        $templateFile   =   APP_TPL_PATH.'/'.MODULE_NAME.'/'.ACTION_NAME.'.html';


    }elseif(file_exists(APP_TPL_PATH.'/'.MODULE_NAME.'/'.$templateFile.'.html')) {


        $templateFile   =   APP_TPL_PATH.'/'.MODULE_NAME.'/'.$templateFile.'.html';


    }elseif(file_exists($templateFile)){


    }else{


        throw_exception(L('_TEMPLATE_NOT_EXIST_').'['.$templateFile.']');


    }


    $templateCacheFile  =   C('TMPL_CACHE_PATH').'/'.APP_NAME.'_'.tsmd5($templateFile).'.php';


    if(!$ts['_debug'] && file_exists($templateCacheFile)) {


    //if(1==2){


        extract($tvar, EXTR_OVERWRITE);    //可能导致变量覆盖


        //载入模版缓存文件


        include $templateCacheFile;       //变量templateCacheFile可能会被覆盖，导致任意文件包含漏洞





第982行处调用参数为EXTR_OVERWRITE标示的extract函数，extract代码下面即为include $templateCacheFile


只要能控制fetch的第2个参数$tvar，就可以将$templateCacheFile覆盖为任意值。








回到/addons/widget/FeedListWidget/FeedlistWidget.class中，在第105行处存在以下代码：


        $content = $this->getData($_REQUEST,'_FeedList.html');


        if(empty($content['html'])){//没有最新的


                $return = array('status'=>0,'msg'=>L('PUBLIC_WEIBOISNOTNEW'));


        }else{


直接将$_REQUEST传入函数getData，导致可以从客户端传递templateCacheFile进行变量覆盖实现任意文件包含，最终可实现任意代码执行。