当前位置：首页 > 黑客服务 > 正文内容

Laravel漏洞CVE-2021-3129分析

访客4年前 (2021-04-15)黑客服务874

0x01 前言

最近在搭建复现CVE-2021-3129踩了一些坑，在这边记录一下。顺便拓展下利用编码控制文件内容的一些姿势。

0x02 从hitcon2018的One Line PHP Challenge看CVE-2021-3129

希望直接看环境搭建和exp的可以先跳过～

其实当时在写这个漏洞POC的时候，就发现这个漏洞给我一种似曾相识的感觉，就是当年hitcon的这个经典CTF题。

区别在于one-line-php-challenge这题是通过写入session文件利用文件包含getshell。而CVE-2021-3129则是通过控制laravel.log最终反序列化执行命令。

共同点则在于都是利用编码转换清除内容，令写入的文件内容绕过特定或者冗余数据的限制。

One-line-php-challenge

赛题可以说是很简洁明了了。

通过Get传入orange参数作为文件名，系统将该文件的前6个字符与@<?php比较，若匹配则包含这个文件。
当时的条件是

通过?PHP_SESSION_UPLOAD_PROGRESS控制?session 文件
文件的开头必须是?@<?php
这个文件是以?upload_progress_?开头的,不能直接包含，需要控制这个开头。

base64编码绕过

首先了解下base64编码。

base64编码表为：0-9，26个英文小写字母a-z，26个英文大写字母：A-Z，除此之外还有额外两个字符"+"和"/"

如果遇到非编码表中的字符则会绕过。

可以看到如",,,,"被base64解码忽略

这边我们需要绕过的文件开头为upload_progress_，只要令其最终解码为非编码表内容即可。

"upload_progress_"为16位字符。可被base64解析为14个字符，所以我们需要补两个字符。假设补充字符为"zz"，则base64 decode后结果为3个可解析字符，我们需要fuzz两个字符，令其第一次解码后存在四个编码表内容，且这四个字符base64解码后的内容均不在编码表中。其中"ZZ"满足条件。

构造编码

已知我们需要三次解码才能绕过文件开头，所以将我们写入的内容编码三次即可。最后再三次解码即成功绕过。

实际题目中利用php伪协议三次base64解码判断绕过文件头，成功写入的webshell文件。

然后我们再来看CVE-2021-3129

0x03 环境build

影响范围

Laravel <=8.4.2

Ignition <2.5.2

docker搭建

目前vulhub在dockerhub上并无现成的镜像可以pull。如果后续增加了可以直接pull vulhub的Laravel镜像。

vulhub给了dockerfile

composer 的安装包网址是国外镜像,这边换成阿里的镜像源

构建镜像起容器。

访问8080端口如下则环境构建完毕。

0x04 分析

漏洞点

在Ignition(<=2.5.1)中，默认提供了一些solutions，其中可以通过MakeViewVariableOptionalSolution的file_get_contents()的可控参数利用phar伪协议反序列化。

通过控制器调用MakeViewVariableOptionalSolution传入可控parameters参数。

测试phar反序列化

显然如果存在一个可控的上传点，可以触发反序列化执行命令。

使用phpggc生成序列化利用POC

https://github.com/ambionics/phpggc

我这边将phar.log放到服务的/var/www/storage/logs路径下。

尝试反序列化成功执行命令

利用laravel.log实现phar反序列化

利用这边的file_put_contents 使用php伪协议php://filter/write达到控制log内容的效果。

首先要想利用laravel.log，清空log内容。可能会想到一直base64 decode。直到都为不可见字符解码清空。但是这个做法会有问题。因为base64在解码的时候如果等号后面还有内容则会报错。

这边大佬的做法是utf-8转utf-16 然后quoted-printable编码然后utf-16转utf-8 完成上述操作后log中所有字符转为不可见字符，最后base64 decode即可。

利用报错写入laravel.log

给Log增加一次前缀

phpggc生成序列化利用POC

log文件转换为phar文件

利用phar伪协议反序列化

0x05 Exploit

效果如下：

0x06 参考

https://xz.aliyun.com/t/9030

https://www.ambionics.io/blog/laravel-debug-rce?

扫描二维码推送至手机访问。

本文链接：https://therlest.com/106605.html

分享给朋友：

返回列表

上一篇：怎么自己建立垂钓网站检测体系

下一篇：修改free5Gc源码重新编译某个网元的办法

“Laravel漏洞CVE-2021-3129分析” 的相关文章

约茶app约茶APP

最新约茶app都是哪些?整理了30本这篇文章主要介绍了约茶app,包括约茶app ios下载,下面小编整理了约茶app的图文教程,看看约茶app苹果版详细步骤吧! 觉得网上的一些答据新快网2021年10月20日03:31:27的新闻报道，微博网友@R卜傲晴爆料。平安夜来临之际，事件，在网上...

身份证信息被黑客盗取（黑客能把手机内身份证信息盗取吗）

一、身份证信息被黑客盗取（黑客能把手机内身份证信息盗取吗）方法总结 1、黑客通过手身份姓名能否窃取别人银行卡里。朋友你好,这个问题不是这样理解的的,黑客是通过你的这些信息,破易你的银行卡号支付密码来盗取你的财物的,一般你只要不乱点链接,不轻易在手机。黑客控制了手机,窃取了身份证号码手机号姓名等所有...

家庭用水价格，生活用水价格

约64元，用水价格：生活用水：1点4元/吨，一般三口之家，181-260吨，营业电1元，用的比较少，至来年4月洗热水澡，自来水调价。污水费0点，8价格元/吨，广州市的居民生活用水从原来的每立方米0点9元，水价也不一样。据此，很难说清楚。居室条件等等，生活用水会比较贵。自来水费和污水处理费三部分，...

古文化常识(中国古代文化常识大全)

1.中国古代文化常识文学常识？四本书:《论语》、《中庸》、《孟子大学》五经:《诗经》《礼记》《周易》《春秋》乐府双壁:木兰诗孔雀东南飞三个字:警告世界，说真话，说真话，唤醒世界，说同样的话第二枪:第一枪很厉害，第二枪也很厉害三官:石渠官、潼关官、新安官三次告别:新婚、老...

青岛新闻网房产 - 青岛个人房源出售

估计那个时候，0以上的住房为普通住宅。来说几句. 3500左右，我建议你来沧口找房子吧，青岛房产网51青岛信息港-房产，市北区的现在也到了新闻网7000了。提供覆盖青岛的别墅、一小时车程的房子大约在虎山以外，台南路。还有的别墅个人150一般的房子都要，我就在黄岛住，早下手吧！沿海一带，2手放一般都...

西安电脑黑客接单_怎么能找入侵蚊香社的黑客

sudo apt install g++-4.4SplashData剖析的这500万被走漏的暗码主要是北美和西欧的用户，成人网站走漏的暗码不包含在剖析陈述中。支撑（V4增强）所谓0day缝隙的在野运用，一般是进犯活动被捕获时，发现其运用了某些0day缝隙（进犯活动与进犯样本剖析自身也是0day缝隙...