漏洞概要 关注数(24) 关注此漏洞
缺陷编号:wooyun-2014-083688
漏洞标题:php设计缺陷导致绕过open_basedir列举目录之3
相关厂商:PHP
漏洞作者: phith0n
提交时间:2014-11-18 12:11
修复时间:2014-12-30 14:44
公开时间:2014-12-30 14:44
漏洞类型:设计错误/逻辑缺陷
危害等级:高
自评Rank:12
漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]
Tags标签: 无
漏洞详情
披露状态:
2014-11-18: 细节已通知厂商并且等待厂商处理中
2014-11-23: 厂商主动忽略漏洞,细节向第三方安全合作伙伴开放
2015-01-17: 细节向核心白帽子及相关领域专家公开
2015-01-27: 细节向普通白帽子公开
2015-02-06: 细节向实习白帽子公开
2014-12-30: 细节向公众公开
简要描述:
@/fd 曾在这篇帖子里 http://zone.wooyun.org/content/11268 给出了一些绕过open_basedir的方法。方法总体来说有一些鸡肋性,看客官如何理解了。
根据PHP的尿性,这个洞肯定忽略了,之后我也会整理一些类似的方法,公布出来。
#3为两个类似函数均有风险,统一提交。
详细说明:
@/fd的代码里对于列目录有两个方法,一是利用DirectoryIterator类,二是利用realpath函数。前者很好用,我就不多说了。单说下后者,realpath函数在处理已存在的文件(目录)与不存在的文件(目录)时情况不同,如果文件已存在则会抛出错误:open_basedir restriction in effect. File(xxxxx) is not within the allowed path(s),如果文件不存在则会返回false。
所以我们可以通过捕捉错误handle,来判断某文件是否存在。
我的第三个方法也类似。
php的gd2库有一个函数叫imageftbbox:
GD库基本上是php必备库,所以也不存在鸡肋不鸡肋的说法。这个函数第三个参数是字体的路径。我发现当这个参数在open_basedir外的时候,当文件存在,则php会抛出“File(xxxxx) is not within the allowed path(s)”错误。但当文件不存在的时候会抛出“Invalid font filename”错误。
测试代码:
结果:
所以,我们可以根据php抛出错误的不同来判断某个文件是否存在,进而进行目录的枚举。
在php的GD中,还有个类似的函数(也是需要加载字体的函数)存在同样的问题,是imagefttext。我就一起提交了。
漏洞证明:
在windows下,我们可以通过windows特性,也就是“通配符”来快速枚举目录,不需要暴力跑目录了。
详细代码见#1,这里情况有些不同,所以我再说一遍。
例如d:/test/下有如下文件:
我写了个简单的,但只能枚举文件第一个字符的代码:
输出如下:
可见已列出第一个字符了。顺势我们就可以逐一列出后面的每个字符,造成目录的枚举,我就不具体给代码了,大家自己发挥自己的想象。
修复方案:
只要在open_basedir外,不管文件是否存在,都应该抛出相同错误。
版权声明:转载请注明来源 phith0n@乌云
漏洞回应
厂商回应:
危害等级:无影响厂商忽略
忽略时间:2014-12-30 14:44
厂商回复:
漏洞Rank:15 (WooYun评价)
最新状态:
暂无