【web安全】DolphinPHP RCE漏洞分析

【web安全】DolphinPHP RCE漏洞分析

DolphinPHP

DolphinPHP(海豚PHP)是一个基于ThinkPHP5.1.41LTS开发的一套开源PHP快速开发框架,DolphinPHP秉承极简、极速、极致的开发理念,为开发集成了基于数据-角色的权限管理机制,集成多种灵活快速构建工具,可方便快速扩展的模块、插件、钩子、数据包。统一了模块、插件、钩子、数据包之间的版本和依赖关系,进一步降低了代码和数据的冗余,以方便开发者快速构建自己的应用。

漏洞分析

看到application\common.php#action_log函数

【web安全】DolphinPHP RCE漏洞分析

观察到有一处call_user_func,向上回溯一下两个参数看是否可控

分别为param[1]和param[1]和param[1]log[$param[0]]

【查看相关资料】
1、网络安全学习路线
2、电子书籍(白帽子)
3、安全大厂内部视频
4、100份src文档
5、常见安全面试题
6、ctf大赛经典题目解析
7、全套工具包
8、应急响应笔记

首先param为param为paramvalue以|为间隔分开的值,而value实际上就是value实际上就是valuematch[1]的遍历,match是通过正则匹配match是通过正则匹配matchaction_info[‘log’]得到,这个正则就是匹配中括号内的值,最终的$action_info是数据库查询得来,如下图

【web安全】DolphinPHP RCE漏洞分析

先看一下这个查询操作

【web安全】DolphinPHP RCE漏洞分析

对应的模型为

【web安全】DolphinPHP RCE漏洞分析

对应表的内容为

【web安全】DolphinPHP RCE漏洞分析

所以这里的查询操作就是通过module和name为条件查询dp_admin_action这一表,然后用log数据去正则匹配

$action_info = model('admin/action')->where('module', $module)->getByName($action);

而这里的log是可以自己修改的

【web安全】DolphinPHP RCE漏洞分析

【web安全】DolphinPHP RCE漏洞分析

也就是说现在可以控制log内的值,也就表示call_user_func的第一个参数也可控

至于log[log[log[param[0]],需要从log中寻找可控的value,这里目前可能可以控制的就是log中寻找可控的value,这里目前可能可以控制的就是logvaluemodel或$details

【web安全】DolphinPHP RCE漏洞分析

所以需要找调用action_log并且model或model或modeldetails可控的地方

这里找了Attachment.php#delete

【web安全】DolphinPHP RCE漏洞分析

可以看到$ids完全可控,但是有一处if判断

if (AttachmentModel::where('id', 'in', $ids)->delete())

操作肯定就是根据$ids删附件了,所以这里还需要随便上传一个附件让他删,随便传个头像就行了

【web安全】DolphinPHP RCE漏洞分析

【web安全】DolphinPHP RCE漏洞分析

这里的$ids对应call_user_func的第二个参数,假设传入calc,这个where(‘id’, ‘in’, $ids)->delete()会找不到文件删,所以每访问一次就需要删一个已存在的附件

经过测试可以用数组的形式,如ids[]=calcids[]=calc%26&ids[]=calcids[]=9这样,能正常找到id=9的图片

然后经过

$ids = is_array($ids) ? implode(',', $ids) : $ids;

变成calc&,9

两个参数都可控

漏洞利用

系统->行为管理->删除附件->编辑

【web安全】DolphinPHP RCE漏洞分析

将所属模块改为系统

【web安全】DolphinPHP RCE漏洞分析

将日志规则改为[details|system] test ([details])

【web安全】DolphinPHP RCE漏洞分析

然后随便传一张图片看它的id,之前传的图片id是9,所以

【web安全】DolphinPHP RCE漏洞分析

因为这里默认$module是admin,所以上面要把所属模块改为系统

【web安全】DolphinPHP RCE漏洞分析

此时match=′details∣system′,match = 'details|system',match=detailssystemparam[1]=‘system’,log[log[log[param[0]]=$log[‘details’]=‘calc&,9’

【web安全】DolphinPHP RCE漏洞分析

执行calc

【web安全】DolphinPHP RCE漏洞分析

最后

这里通过IDE的find usages应该还能找到其他触发action_log的地方,就不往下看了

                       

点击阅读全文

上一篇 2023年 5月 27日 am10:15
下一篇 2023年 5月 27日 am10:16