ZDI-CAN-28201: Adminer正则绕过导致RCE

漏洞概述 ZDI-CAN-28201: multi_query Incorrect Check of Function Return Value RCE 描述: 该漏洞是一个补丁绕过，利用了正则表达式中的灾难性回溯来过滤Adminer中的ATTACH语句。原始漏洞（CVE-2021-43008）允许经过身份验证的用户通过SQLi ATTACH语句创建PHP文件，从而实现远程代码执行。补丁引入了一个正则过滤器来阻止ATTACH查询，但该过滤器容易受到灾难性回溯的影响。 CVSS评分: 7.2 (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) 影响范围 受影响版本: 5.4.2 补丁版本: 5.4.3 平台: Debian 安装文件: adminer-5.4.2.php 修复方案 补丁版本: 5.4.3 分析 漏洞原理: 该漏洞利用了PHP的 函数在回溯限制被超过时返回 的特性，而代码仅检查了真值（1表示匹配），将 视为0（不匹配）。这使得ATTACH语句可以绕过安全过滤器。 关键代码: 用户上传恶意SQL文件，文件内容被读入 变量，没有进行任何初始清理。 定义了一个用于ATTACH过滤器的 正则表达式模式。贪婪量词 与SQL注释模式 结合，在处理注释行时会导致灾难性回溯。 ATTACH查询过滤器检查。当正则表达式遇到350,000个SQL注释行时，会触发灾难性回溯。贪婪量词 导致指数级回溯，最终达到PHP的回溯限制，使 返回 而不是0或1，从而绕过安全过滤器。 当ATTACH过滤器因 返回 而被绕过时，包含ATTACH语句的恶意SQL查询被执行。这允许攻击者创建一个带有嵌入式PHP代码的PHP文件，当文件通过HTTP访问时，实现远程代码执行。 概念验证 ZDI-CAN-28201.zip 包含完整的概念验证环境，包括： - 文件夹：完整的Adminer设置，包含必要的插件和配置 - ：易受攻击的Adminer应用程序（版本5.4.2） - ：启用SQLi扩展的PHP配置文件 - ：包含login-password-less.php插件的目录 - ：包含密码哈希的插件配置文件（密码为'password123'） - ：漏洞利用生成脚本 设置说明 1. 将提供的 文件夹放置在Debian机器上。 2. 配置SQLite密码设置，如 中所示（密码：'password123'）。 3. 从 文件夹内部运行： 4. 使用ZDI-CAN-28201_poc.php生成exploit.sql文件： 漏洞利用步骤 1. 导航到 2. 选择SQLite作为数据库系统 3. 输入密码'password123'（在 中配置） 4. 点击左侧边栏中的“导入”部分 5. 上传生成的exploit.sql文件 6. 点击“执行” 7. 成功时，系统显示“3 queries executed OK” 8. 在 目录中创建一个名为 的文件，其中包含PHP代码 9. 访问 执行嵌入的PHP代码 漏洞利用原理 漏洞利用通过生成大约350,000个SQL注释行（ ）后跟恶意ATTACH语句来工作。过多的注释行导致正则表达式达到PHP的回溯限制，使 返回 而不是0或1，从而绕过ATTACH过滤器并执行恶意SQL。 其他信息 发现者: Odysseus (Sorcery Ltd) 与 TrendMicro Zero Day Initiative 合作发现 支持文件: 如果支持文件包含在报告中，它们将在密码保护的ZIP文件中提供。密码是ZDI候选编号，格式为：ZDI-CAN-XXXX，其中XXXX是ZDI ID号。 披露政策: 我们的漏洞披露政策可在线查看：http://www.zerodayinitiative.com/advisories/disclosure_policy/

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

ZDI-CAN-28201: Adminer正则绕过导致RCE

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

ZDI-CAN-28201: Adminer正则绕过导致RCE

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！