PbootCMS_v2.0.7_任意文件读取-棉花糖会员站

# PbootCMS v2.0.7 任意文件读取

============================

一、漏洞简介
————

仅限在Windows下，Linux不支持在不存在的文件夹下上跳，Linux下利用的话得找到一个系统或者程序自带的/script/目录

二、漏洞影响
————

PbootCMS v2.0.7

三、复现过程
————

### 漏洞分析

漏洞文件`apps/admin/controller/system/UpgradeController.php`

$path,
‘dfile’ => $des_path
);
}
}

// 更新数据库
if (isset($sqls)) {
$db = new DatabaseController();
switch (get_db_type()) {
case ‘sqlite’:
copy(DOC_PATH . $this->config(‘database.dbname’), DOC_PATH . STATIC_DIR . ‘/backup/sql/’ . date(‘YmdHis’) . ‘_’ . basename($this->config(‘database.dbname’)));
break;
case ‘mysql’:
$db->backupDB();
break;
}
sort($sqls); // 排序
foreach ($sqls as $value) {
$path = RUN_PATH . ‘/upgrade’ . $value;
if (file_exists($path)) {
//echo $path;
//exit;
$sql = file_get_contents($path);
if (! $this->upsql($sql)) {
$this->log(“数据库 $value 更新失败!”);
json(0, “数据库” . basename($value) . ” 更新失败！”);
}
} else {
json(0, “数据库文件” . basename($value) . “不存在！”);
}
}
}

// 替换文件
if (isset($files)) {
foreach ($files as $value) {
if (! copy($value[‘sfile’], $value[‘dfile’])) {
$this->log(“文件 ” . $value[‘dfile’] . ” 更新失败!”);
json(0, “文件 ” . basename($value[‘dfile’]) . ” 更新失败，请重试!”);
}
}
}

// 清理缓存
path_delete(RUN_PATH . ‘/upgrade’, true);
path_delete(RUN_PATH . ‘/cache’);
path_delete(RUN_PATH . ‘/complite’);
path_delete(RUN_PATH . ‘/config’);

$this->log(“系统更新成功!”);
json(1, ‘系统更新成功！’);
} else {
json(0, ‘请选择要更新的文件！’);
}
}
}
…
?>

可以看到注释写着更新数据库的部分，将`$sqls`遍历出来后放进了`file_get_contents`函数，然后调用了一个`upsql()`方法。跟过去看一下。

amd($value);
}
}
return true;
}
?>

将传过来的字符串用`;`分隔后又调用了一个`Model::amd()`方法。继续跟下去。

文件`core/database/Sqlite.php`

query($sql, ‘master’);
if ($result) {
return $result;
} else {
return 0;
}
}
// 执行SQL语句,接受完整SQL语句，返回结果集对象
public function query($sql, $type = ‘master’){
…
switch ($type) {
case ‘master’:
if (! $this->begin) { // 存在写入时自动开启显式事务，提高写入性能
$this->master->exec(‘begin;’);
$this->begin = true;
}
$result = $this->master->exec($sql) or $this->error($sql, ‘master’);
break;
case ‘slave’:
$result = $this->slave->query($sql) or $this->error($sql, ‘slave’);
break;
}
return $result;
}
// 显示执行错误
protected function error($sql, $conn){
$err = ‘错误：’ . $this->$conn->lastErrorMsg() . ‘，’;
if ($this->begin) { // 存在显式开启事务时进行回滚
$this->master->exec(‘rollback;’);
$this->begin = false;
}
error(‘执行SQL发生错误！’ . $err . ‘语句：’ . $sql);
}
…
?>