發(fā)現(xiàn)Metinfo CMS系統(tǒng)在網(wǎng)站中存在漏洞，任何文件都可以上傳到網(wǎng)站的根目錄，使得攻擊者可以輕松獲得網(wǎng)站的webshell權(quán)限，對(duì)網(wǎng)站進(jìn)行篡改和攻擊。目前網(wǎng)站的漏洞是Metinfo 6.2.0的最新版本，Metinfo以前的版本都可以使用。讓我們?cè)敿?xì)分析一下這個(gè)漏洞的細(xì)節(jié):

首先，利用這個(gè)網(wǎng)站漏洞的前提是windows系統(tǒng)，PHP語(yǔ)言版本小于5.3，也就是說(shuō)老服務(wù)器會(huì)根據(jù)這個(gè)環(huán)境來(lái)配置網(wǎng)站。我們來(lái)看看有漏洞的代碼。Metinfo在上傳中寫(xiě)了一個(gè)特殊的上傳功能，非常強(qiáng)大。是doupfile上傳的。讓我們看看代碼，如下圖所示:

從上面的代碼可以看出，上傳的文件有一些模式和變量信息，變量信息是可以控制的。我們看看upfile和upload調(diào)用的方法的功能，跟蹤分析代碼發(fā)現(xiàn)這是用來(lái)存儲(chǔ)上傳文件的路徑信息的。這兩個(gè)變量值會(huì)直接改變上傳路徑，這也是造成漏洞的原因。我們繼續(xù)分析代碼漏洞。使用doupfile上傳時(shí)，Metinfo會(huì)安全地過(guò)濾上傳的文件名。一些基本的腳本文件已經(jīng)過(guò)濾掉了，只能上傳一些圖片格式的文件。使用白名單安全機(jī)制嚴(yán)格限制上傳。

似乎沒(méi)有辦法通過(guò)改變上傳文件的格式來(lái)繞過(guò)上傳。我們繼續(xù)分析代碼，目錄可以在這里更改。我們發(fā)現(xiàn)代碼具有編碼轉(zhuǎn)換功能。如果路徑包含。/，我們會(huì)用iconv函數(shù)轉(zhuǎn)換路徑，網(wǎng)站的漏洞也在這里。根本原因就在這里。我們可以繞過(guò)轉(zhuǎn)換并截?cái)嗥渥址?。早于php5.3的所有版本都存在該漏洞，構(gòu)造代碼如下:抓取上傳的數(shù)據(jù)包，send savepath=a.php%80...jpg，然后直接把數(shù)據(jù)發(fā)布到http://metinfo/admin/index.php，為什么直接發(fā)布到網(wǎng)站后臺(tái)的地址？原因是后臺(tái)index.php已經(jīng)被Metinfo正式加入白名單，可以直接繞過(guò)sqlinsert功能的過(guò)濾，將webshell上傳到網(wǎng)站。在實(shí)際的漏洞測(cè)試過(guò)程中，只需要直接發(fā)布地址，不需要登錄后臺(tái)。如果不知道數(shù)據(jù)包是怎么寫(xiě)的，可以在本地搭建一個(gè)Metinfo環(huán)境，登錄后臺(tái)，截取數(shù)據(jù)包，然后修改數(shù)據(jù)庫(kù)的網(wǎng)址進(jìn)行漏洞測(cè)試。

網(wǎng)站漏洞修復(fù)的方法和細(xì)節(jié)

目前官方還沒(méi)有修復(fù)這個(gè)漏洞。建議程序員將php版本升級(jí)到5.3以上，將服務(wù)器切換到linux系統(tǒng)，在沒(méi)有PHP腳本權(quán)限的情況下運(yùn)行上傳目錄uoload，或者保護(hù)網(wǎng)站目錄，防止PHP文件的創(chuàng)建和生成。如果不熟悉代碼，可以付費(fèi)找專(zhuān)業(yè)的網(wǎng)站安全公司處理。在國(guó)內(nèi)，SINE安全更專(zhuān)業(yè)，NSFOCUS和金星星更專(zhuān)業(yè)。我在這里寫(xiě)一下Metinfo漏洞的修復(fù)和加固方法，希望廣大網(wǎng)站運(yùn)營(yíng)者正視網(wǎng)站的安全性。