PHPCMS存在严重信息泄露及任意文件删除安全漏洞

PHPCMS 是一款基于 PHP+Mysql 架构的网站内容管理系统，采用模块化方式开发，功能易用且便于扩展。不过，近期在 2008 SP4 版本（UTF-8 编码，发布日期 2010-05-10）中，安全研究人员发现了一个信息泄露与任意文件删除的组合漏洞，受影响范围较广。下面将详细拆解该漏洞的成因及利用方法。

漏洞分析

问题出在 corpandresize/ui.php 和 corpandresize/process.php 这两个文件上。先看 ui.php 中的关键代码片段：

$dirnamedirnames = dirname($query_string); //4行
$tmp = PHPCMS_ROOT.str_replace($PHPCMS['siteurl'],'',$dirnames).'/';
$tmp_url = str_replace($PHPCMS['siteurl'],'',$dirnames);
if(preg_match("/http:/",$tmp))
{
    $tmp = PHPCMS_ROOT.UPLOAD_URL.date('Y').'/'.date('md').'/';
    $tmp_url = UPLOAD_URL.date('Y').'/'.date('md');
    dir_create($tmp);
}
setcookie('tmp',$tmp);

这段代码将本地路径直接写入 cookie 中，名为 tmp。接着再看 process.php 中的第 62 行附近：

$thumbfile = $_COOKIE['thumbfile'];
if($thumbfile) @unlink(TMP_PATH.'/'.$thumbfile);

在图片剪切功能里，程序直接从 cookie 读取文件名，然后不加验证就用 @unlink 删除。两个缺陷一结合，就导致了任意文件删除漏洞——攻击者可以构造 cookie 内容，删除服务器上任意文件。

漏洞利用

拿到一个普通会员账号后，按以下步骤操作：

首先，访问如下 URL（注意替换成目标站点的域名和实际图片路径）：

http://www.wa vdb.com/corpandresize/ui.php?http://www.wa vdb.com/uploadfile/2010/0524/20100524094447855.jpg

此时查看浏览器中的 cookie 信息，会看到 tmp 等字段已经被写入。

然后，修改 cookie 中的 thumbfile 值为想要删除的目标文件（相对路径，相对于 TMP_PATH），再触发剪切操作即可删除文件。本地测试时效果如下：

解决方案

最直接的办法：等官方发布补丁，或者干脆删除 corpandresize 目录下的所有文件，因为该目录功能并非核心模块，删掉不影响正常使用。