thinkphp 5.x~3.x 文件包含漏洞分析

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了thinkphp 5.x~3.x 文件包含漏洞分析，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含1357字，纯文字阅读大概需要2分钟。

内容图文

漏洞描述：

ThinkPHP在加载模版解析变量时存在变量覆盖的问题，且没有对 $cacheFile 进行相应的消毒处理，导致模板文件的路径可以被覆盖，从而导致任意文件包含漏洞的发生。

主要还是变量覆盖的问题。

漏洞范围：

漏洞影响版本： 5.0.0<=ThinkPHP5<=5.0.18 、5.1.0<=ThinkPHP<=5.1.10

本地复现环境：

tp5.0.15   php version :7.0.12

<?php
namespace app\index\controller;
use \think\Controller;
class Index extends Controller
{
    public function index()
    {
         $this->assign($this->request->get());
         return $this->fetch("index");  //当前的模块/view目录/当前控制器/当前操作  这里我定义了一个index模块
         

    }
}

assign方法 进行了模板变量赋值  ，把可控数据存在\think\View 

主要问题出现在fetch 这里 

细跟一下fetch 

fetch 前面的方法 主要是加载模板输出 

这里的 $method 的值为fetch  可以在view\driver\Think.php 视图引擎

这里要跟到think\templae.php

在读取的时候采用了一个read的方法。

 然后我们去跟read ， 

 关键的部分：

这里extract 该函数使用数组键名作为变量名， EXTR_OVERWRITE 变量存在则覆盖

原本cacheFIle的值:

E:\phpstudy\PHPTutorial\WWW\tp5.0.15\runtime\temp\cb64592f1fa49f590673c9beddff4365.php

被覆盖成 echod.txt
* @param  array  $vars     模板输出变量 

我们输入的cacheFile=echod.txt

通过extract 该函数使 数组键名作为变量名 
变成$cacheFile=echod.txt

最后的inclde $cacheFile; 触发 任意文件包含漏洞。

这个洞在thinkCMF 后台的一个upload处可以复现。

如果，allow_url_include 开启，可利用此处 执行任意代码

 




 

  

内容总结

以上是互联网集市为您收集整理的thinkphp 5.x~3.x 文件包含漏洞分析全部内容，希望文章能够帮你解决thinkphp 5.x~3.x 文件包含漏洞分析所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端