声明：Tide安全团队原创文章，转载请声明出处！文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途以及盈利等目的，否则后果自行承担！ 2018年11月，国家信息安全漏洞共享平台（CNVD）安全公告，PHPCMS 2008版本的/type.php远程GetShell 0day利用攻击，攻击者利用该漏洞，远程通过代码注入，可在未经授权的情况下，向网站上路径可控的缓存文件写入任意内容，进而可能在目标网站上植入后门，实现在未经授权的情况下，对目标网站进行远程命令执行攻击等一系列严重问题。这个漏洞由阿里云安全首次捕获。
安装漏洞影响范围内的PHPCMS2008版本。
检查PHPCMS的版本号是否为受影响版本。 首先对phpcms目录下的type.php进行分析，发现type.php包含了template变量,template变量是用户能够通过传入参数控制的，同时可以看到该变量之后会被传入template()方法。而template()方法在/include/global.func.php文件中定义，包含如下代码：
$template变量在这里是完全可控的，且默认开启模版缓存自动刷新。当template变量输入为 template=tag_(){};@unlink(FILE);assert($_POST[1]);{//../rss时，$compiledtplfile=”data/cache_template/phpcmstag(){};@unlink(FILE);assert($_POST[1]);{//../rss.tpl.php” .此时，可自然进入判断 ，调用template_compile函数，次函数定义在include/template.func.php。
在templatecompile函数中，$template变量是我们可控的，而$content变量当我们的输入为”template=tag(){};@unlink(FILE);assert($_POST[1]);{//../rss”自然会选择前者，而content内容中$template变量可控，最后file_put_contents函数写入任意代码，需要注意的是，file_put_contents路径为data/cache_template/phpcmstag(){};@unlink(FILE);assert($_POST[1]); {//../rss.tpl.php时，php会将其路径解析为data/cache_template/rss.tpl.php。
临时解决可以在/type.php文件中对template变量进行过滤，避免用户输入的含有”(“、”{“等符号的内容混入，并被当做路径和脚本内容处理。 PHPCMS 2008 官方已不再维护，建议升级到 2008 以上的版本(包括PHPCMS V9等)：http://www.phpcms.cn/v9/。 https://www.yunaq.com/news/5bfe2bea796db4113efa3a80/ https://yq.aliyun.com/articles/673603 http://cve.mitre.org/cgi-bin/cvename.cgi?name=2018-19127 E N D gūan 关 zhù 注 wǒ 我 men 们 Tide安全团队正式成立于2019年1月，是新潮信息旗下以互联网攻防技术研究为目标的安全团队，目前聚集了十多位专业的安全攻防技术研究人员，专注于网络攻防、Web安全、移动终端、安全开发、IoT/物联网/工控安全等方向。 想了解更多Tide安全团队，请关注团队官网: http://www.TideSec.net 或长按二维码关注公众号：  上一篇：【实战技巧】ftp引发的一次渗透实战 下一篇：【技巧分享】内网渗透-代理篇 |
