ThinkPHP5.0.0~5.0.23路由控制不严谨导致的RCE

本次我们继续以漏洞挖掘者的视角，来分析thinkphp的RCE

敏感函数发现

在调用入口函数：/ThinkPHP_full_v5.0.22/public/index.php 时
发现了框架底层调用了\thinkphp\library\think\App.php的app类中的incokeMethod方法

注意传递的参数，ReflectionMethod接受的参数。如果是数组的形式, 那么参数1是这个类的object,参数2是object的方法。如此就可以调用到index类的index方法

下面是整个调用链

那么现在思考incokeMethod方法接受的参数是否为为一个可控变量呢，如果可控是不是就意味着我们可以执行任意类中的任意funtion了。这里我们还不能直接调用system，exec这些函数，因为它们不属于任何类，它是一个全局函数。尝试找一下类中的敏感函数

敏感函数调用

恰好的是，就在app类中存在一个敏感的函数invokeFunction

下面给出一个ReflectionFunction的反射示例

function sum($a, $b) {
    return $a + $b;
}

class Example {
    public static function bindParams($reflect, $vars) {
        $args = [];
        foreach ($reflect->getParameters() as $param) {
            $name = $param->getName();
            if (isset($vars[$name])) {
                $args[] = $vars[$name];
            } else {
                $args[] = $param->getDefaultValue();
            }
        }
        return $args;
    }
    
    public static function executeFunction($function, $vars) {
        $reflect = new \ReflectionFunction($function);
        $args = self::bindParams($reflect, $vars);
        
        // 记录执行信息
        self::$debug && Log::record('[ RUN ] ' . $reflect->__toString(), 'info');
        
        return $reflect->invokeArgs($args);
    }
}

$vars = array(
    'a' => 5,
    'b' => 10,
);

$result = Example::executeFunction('sum', $vars);
echo $result; // 输出 15

在这个示例中ReflectionFunction函数没有牵扯到类，sum是一个全局函数。如此我们现在可以尝试反射条用system函数了，

下面是经过我测试的反射调用exec，它可以弹出计算机

<?php
$reflection = new ReflectionFunction('exec');
echo $reflection->getName() . "\n";  // 输出函数名 
$params = $reflection->getParameters();
foreach ($params as $param) {
    echo "-----"."参数：" . $param->getName() . "\n";
}

$args = [calc];
$result = $reflection->invokeArgs($args);
//echo "结果：" . $result . "\n";
?>

按照这个思路，我就在invokeFunction中让参数$function='exec' 让参数$vars = [calc]，就可以执行命令了，不过在此之前看看它的bindParams逻辑

敏感函数绕过

跟进getParameters 继续看调用逻辑

看到这里原有的设定就遇到了问题，因为这个参数绑定会遍历函数的参数名，像我们之前想调用的exec函数，其函数原型为

exec(string $command, array &$output = null, int &$return_var = null): string|false

$reflect->getParameters() as $param 一定会依次得到command - output - return_var
如还想调用exec，那参数vars 必须写上如下形式

$reflection = new ReflectionFunction('exec');
$vars = [calc,null,null];
$result = $reflection->invokeArgs($vars);

以上本地测试还行，php正确接解析了null 然而在web中我们传递的参数大多为字符串，除非后端单独处理，否则我们想传递一个null类型的参数，几乎是不可能的，只能换其他的调用函数了，要执行系统命令，还要避开参数null这样的类型。system函数就不行有null类型

有没有我们需要的这严的函数呢！还真有一个，它就是call_user_func_array函数

它的原型为

call_user_func_array(callable $callback, array $param_arr): mixed

再次本地测试

<?php

$reflection = new ReflectionFunction('call_user_func_array');
$vars = [exec,[calc]];
var_dump($vars);
$result = $reflection->invokeArgs($vars);

?>

如此我用参数绑定的机制把exec 绑定在参数callback 把[calc]绑定在param_arr，通过$reflection->invokeArgs我们成功调用了calc （反射类似调用了call_user_func_array('exe',[calc])），null的问题得到完美解决。

回顾一下rce成立的条件
invokeMethod调用invokeFunction
invokeFunction调用call_user_func_array
call_user_func_array调用exec

代码大致长这样样子

invokeMethod([对象,方法],参数1)
--------这里的对象对象要app类对象方法是invokeFunction
-------参数1为一个数组[call_user_func_array,参数2]
这样就可调用call_user_func_array，我们将参数设置为[exec,[calc]] 就可以执行任意命令了。

接下来把重点放到参数可控上，如果我们使参数可控那么RCE漏洞就成立了