linux调用ocx插件_Wordpress file manager插件任意文件上传

白斩鸡@卫兵实验室
近日，Wordpress 插件file manager被爆出严重0day漏洞，本着技术研究角度，和大家分享、探讨其漏洞原因。
该修复程序已在同一天发布，并且WP File Manager插件6.9版通过删除允许未经授权的文件上传访问的端点来解决当前问题。影响版本。
该安全漏洞存在于文件管理器版本，范围从6.0到6.8。WordPress的统计数据表明，目前约有52％的安装易受攻击。由于File Manager的700,000个站点中已安装的漏洞中有一半以上，因此损坏的可能性很高。运行任何这些版本的网站都应尽快更新到6.9

影响范围

file manager 6.0至6.8

漏洞报告

漏洞的文件为connector.minimal.php.
首先对$opts进行了初始化，这里存储了后面上传文件存储路径root信息。
通过创建elFinderConnector对象，进而调用$connector->run();。

elFinderConnector::run()

方法限制了请求为POST。并且读取了所有的请求参数保存到$src中。其中$cmd为传递cmd变量

随后对通过循环foreach ($this->elFinder->commandArgsList($cmd) as $name => $req)来对$src进行校验，需要符合请求方法的参数类型。

通过elFinder::commandArgsList($cmd)中我们查看$this->commands发现了可以调用的方法(意味着我们可以直接调用以下列表的所有方法，例如创建文件、创建文件夹、删除文件等等)

完成变量校验后就进行一次input_filter(addslashes和去除\00截断)随后进入$this->output($this->elFinder->exec($cmd, $args));执行真正调用的方法代码。

根据上面可用方法的array，我们控制$cmd=upload，即可调用upload方法。

具体exec方法如下介绍

elFinder::exec(\$cmd, \$args)

当我们控制$cmd=upload时，遇到第一个分支。意味着我们需要传入一个$target变量或$dst变量。

进入$this->volume($dst)可以看到是对$this-volume进行了选择。

id分别为t1_和l1_，我们将选择l1_，即传入的$target必定为l1_前缀。

之所以这么做的理由是由于l1_中的root=/Users/steven/Desktop/code/phpCode/wordpress/wp-content/plugins/wp-file-manager/lib/files，而t1_中为root=/Users/steven/Desktop/code/phpCode/wordpress/wp-content/plugins/wp-file-manager/lib/files/.trash。

而这个$root将会成为后面文件上传路径的前缀。

之后进入动态调用，通过$result = $this->$cmd($args);调用upload方法。

elFinder::upload(\$args)

一开始初始化很多变量，但是我们不必要传入。并且也对volume进行了取值，后续还进行了校验。

在3313行foreach ($files['name'] as $i => $name)通过foreach对每个上传的文件进行处理。

许多分支并没有执行，直接来到以下代码if (!$_target || ($file = $volume->upload($fp, $_target, $name, $tmpname, ($_target === $target) ? $hashes : array())) === false)，执行真正的upload函数。

elFinderVolumeDriver::upload(\$fp, \$dst, \$name, \$tmpname, \$hashes = array())

在这个if判断中，需要关注dir($dst)。

跟进dir($dst)

跟进file($hash)

state(\$path)

decode(\$hash)

从上面的代码看来就是把$target的值截取前面volume的id，剩下的做一个base64解码，之后与volume['root']进行拼接，如果解码之后的值为\\则直接设volume['root']为上传路径，如果不是则需要cache索引。如果直接$target解码为../或../css等则会校验不通过，直接报错。
最终调用到if (($path = $this->saveCE($fp, $dstpath, $name, $stat)) == false)实现了文件的上传。上传路径为wp-content/plugins/wp-file-manager/lib/files/bzj.php