发布日期：2011-02.28
发布作者：Ryat[puretot]
影响版本：boblog2.1.0 2.1.1
官方网站：http://www.bo-blog.com//
漏洞类型：设计错误
漏洞描述：未对Book.asp邮箱等处进行符号转义，导致XSS跨站执行漏洞。
漏洞代码如下：
// go.php $q_url=$_SERVER["REQUEST_URI"]; @list($relativePath, $rawURL)=@explode('/go.php/', $q_url); $rewritedURL=$rawURL; // 来自$_SERVER["REQUEST_URI"],可以任意提交的:) ... $RewriteRules[]="/component\/([^\/]+)\/?/"; // 这个正则限制的不够细致,可以很轻易的绕过:) ... $RedirectTo[]="page.php?pagealias=\\1"; $i=0; foreach ($RewriteRules as $rule) { if (preg_match($rule, $rewritedURL)) { $tmp_rewritedURL=preg_replace($rule, '<'.$RedirectTo[$i].'<', $rewritedURL, 1); $tmp_rewritedURL=@explode('<', $tmp_rewritedURL); $rewritedURL=($tmp_rewritedURL[2]) ? false : $tmp_rewritedURL[1]; break; } $i+=1; } if ($rewritedURL==$rawURL || !$rewritedURL) { ... $parsedURL=parse_url ($rewritedURL); // 这里的$parsedURL['query']就是要利用的变量了:) parse_str($parsedURL['query']); // 通过这个地方可以覆盖任意变量 include(basename($parsedURL['path'])); // 通过上面的覆盖,可以利用这里包含本地文件,不过用了basename()函数处理:(
这个漏洞不是很复杂,关键说说利用,这里有两个利用点,一个覆盖,一个利用覆盖来包含,虽然用了basename()来限制,但是可以利用data://来执行命令.只是这种方式的利用是有限制的[PHP>5.2.0&allow_url_include=On].不过没关系,还有更好的利用方式
来看下global.php文件:
... unregister_GLOBALS(); //When register_globals=On ... function unregister_GLOBALS() { //When register_globals = 'on' if (!ini_get('register_globals')) { //Already off return; } // Variables that shouldn't be unset $noUnset = array('_GET', '_POST', '_COOKIE', '_REQUEST', '_SERVER', '_ENV', '_FILES'); $input = array_merge($_GET, $_POST, $_COOKIE, $_SERVER, $_ENV, $_FILES, isset($_SESSION) && is_array($_SESSION) ? $_SESSION : array()); foreach ($input as $k => $v) { if ($k=='GLOBALS') { global $kgr; $kgr=0; kill_GLOBALS($input[$k]); //GLOBALS is recursive -,- } elseif (!in_array($k, $noUnset) && isset($GLOBALS[$k])) { $GLOBALS[$k]=NULL; } } }
在这里取消了全局变量,但是我们可以通过go.php中的覆盖变量和包含文件来绕过unregister_GLOBALS()的限制,触发变量未初始化漏洞,这将导致xss、sql注射、命令执行等众多严重的安全问题:)
其实这里还有其他的利用思路,就不多说了,各位看官发挥自己的想象力吧:)
标签分类：
