漏洞代碼如下：

　　// go.php

　　$q_url=$_SERVER["REQUEST_URI"];

　　@list($relativePath, $rawURL)=@explode('/go.php/', $q_url);

　　$rewritedURL=$rawURL; // 來自$_SERVER["REQUEST_URI"],可以任意提交的:)

　　...

　　$RewriteRules[]="/component/([^/]+)/?/";

　　// 這個正則限制的不夠細致,可以很輕易的繞過:)

　　...

　　$RedirectTo[]="page.php?pagealias=\1";

　　$i=0;

　　foreach ($RewriteRules as $rule) {

　　if (preg_match($rule, $rewritedURL)) {

　　$tmp_rewritedURL=preg_replace($rule, '<'.$RedirectTo[$i].'<', $rewritedURL, 1);

　　$tmp_rewritedURL=@explode('<', $tmp_rewritedURL);

　　$rewritedURL=($tmp_rewritedURL[2]) ? false : $tmp_rewritedURL[1];

　　break;

　　}

　　$i+=1;

　　}

　　if ($rewritedURL==$rawURL || !$rewritedURL) {

　　...

　　$parsedURL=parse_url ($rewritedURL);

　　// 這里的$parsedURL['query']就是要利用的變量了:)

　　parse_str($parsedURL['query']);

　　// 通過這個地方可以覆蓋任意變量

　　include(basename($parsedURL['path']));

　　// 通過上面的覆蓋,可以利用這里包含本地文件,不過用了basename()函數(shù)處理:(

　　這個漏洞不是很復雜,關鍵說說利用,這里有兩個利用點,一個覆蓋,一個利用覆蓋來包含,雖然用了basename()來限制,但是可以利用data://來執(zhí)行命令.只是這種方式的利用是有限制的[PHP>5.2.0&allow_url_include=On].不過沒關系,還有更好的利用方式

　　來看下global.php文件:

　　...

　　unregister_GLOBALS(); //When register_globals=On

　　...

　　function unregister_GLOBALS() { //When register_globals = 'on'

　　if (!ini_get('register_globals')) { //Already off

　　return;

　　}

　　// Variables that shouldn't be unset

　　$noUnset = array('_GET', '_POST', '_COOKIE', '_REQUEST', '_SERVER', '_ENV', '_FILES');

　　$input = array_merge($_GET, $_POST, $_COOKIE, $_SERVER, $_ENV, $_FILES, isset($_SESSION) && is_array($_SESSION) ? $_SESSION : array());

　　foreach ($input as $k => $v) {

　　if ($k=='GLOBALS') {

　　global $kgr;

　　$kgr=0;

　　kill_GLOBALS($input[$k]); //GLOBALS is recursive -,-

　　}

　　elseif (!in_array($k, $noUnset) && isset($GLOBALS[$k])) {

　　$GLOBALS[$k]=NULL;

　　}

　　}

　　}

　　在這里取消了全局變量,但是我們可以通過go.php中的覆蓋變量和包含文件來繞過unregister_GLOBALS()的限制,觸發(fā)變量未初始化漏洞,這將導致xss、sql注射、命令執(zhí)行等眾多嚴重的安全問題。

最新評論