TeamPass Passwords Management System 2.1.26任意文件下载

TeamPass是一个协同密钥管理工具，安全专家发现在其2.1.26版本存在任意文件下载漏洞，攻击者可以自己输入待下载的文件。如果能配合其他漏洞如对应数据库密码存储文件，则会造成不可估量的严重后果。

参考资料的文章中介绍得蛮清楚，问题在/sources/downloadFile.php这个文件中：

……

header(“Content-disposition: attachment; filename=”.rawurldecode($_GET[‘name’]));

header(“Content-Type: application/octet-stream”);

header(“Pragma: public”);

header(“Cache-Control: must-revalidate, post-check=0, pre-check=0, public”);

header(“Expires: 0”);

readfile(‘../’.$_GET[‘sub’].’/’.basename($_GET[‘file’]));

?>

其中，Content-disposition会表明访问会以文件附件形式下载。其中输出内容在readfile这里定义。Basename虽然控制了取文件名，sub这个地方可以控制路径。$_GET[‘sub’] 和$_GET[‘file’] 作为readfile函数的传入参数，存在漏洞。

参考文章：

https://www.exploit-db.com/exploits/40140/