禅道 11.6 远程命令执行漏洞

一、漏洞简介

禅道项目管理软件是一款国产的,基于LGPL协议,开源免费的项目管理软件,它集产品管理、项目管理、测试管理于一体,同时还包含了事务管理、组织管理等诸多功能,是中小型企业项目管理的首选,基于自主的PHP开发框架──ZenTaoPHP而成,第三方开发者或企业可非常方便的开发插件或者进行定制。 厂商官网:https://www.zentao.net/ 而此次发现的漏洞正是ZenTaoPHP框架中的通用代码所造成的的,因此禅道几乎所有的项目都受此漏洞影响

二、漏洞影响

禅道 11.6

禅道开源版 9版本

三、复现过程

一开始想要找的就是rce漏洞,所以通过寻找rce漏洞找到了禅道框架的漏洞,也是一个比较意外的收获吧。这里想要rce其实是文件写入+文件包含组合getshell的,所以只要我们都能够在model文件中找到这两类功能函数就能够达到我们的目的,另外这里可能有人会提出疑问,都能够写文件了,难道不能直接getshell嘛?这里写入的文件名没有经过base64解密,前面也说了禅道对于GET的参数其实是有多重限制的,像“.”也明显不在白名单规则里,所以最终放弃了这条路。 首先是文件写入漏洞,漏洞代码在module/editor/model.php中的save函数

image

这里对文件写入内容作了一定黑名单的限制,这个绕过比较简单就不多说了,懂的人都懂,另外会对filePath做可写限制,因此这里如果是linux服务器部署的话,推荐写在/tmp目录下,毕竟没有什么限制,而且物理路径比较可控,如果想要../来跳转目录写入,这个是会失败的。

image

文件包含这个点是在module/api/model.php的getMethod函数

image

这里传入filePath,最终经过了helper::import函数,这个函数跟进就会发现其实就是import函数,那么回到上面的代码,这里filePath就是我们写入的文件名,但是需要注意的是这里包含的是filePath的dirname,也就是说直接输入文件路径,最终包含的文件路径的上一级目录名,因此这里需要加上一层路径。

image

最终poc如下,需要给物理路径加上一层才能包含成功。

http://www.0-sec.org/zentaopms_11.6/www/api-getModel-api-getMethod-filePath=/tmp/123/1

image

零组资料文库 all right reserved,powered by 0-sec.org未经授权禁止转载 2020-02-17 16:25:56

results matching ""

    No results matching ""