ThinkAdmin v5和v6 未授权列目录/任意文件读取(CVE-2020-25540)
漏洞简介
ThinkAdmin是一套基于ThinkPHP框架的通用后台管理系统。ThinkAdmin v6版本存在路径遍历漏洞。攻击者可利用该漏洞通过GET请求编码参数任意读取远程服务器上的文件。
影响范围
Thinkadmin ≤ 2020.08.03.01
漏洞分析复现
app/admin/controller/api/Update.php存在3个function，都是不用登录认证就可以使用的，引用列表如下：
version()可以获取到当前版本：2020.08.03.01，≤这个版本的都有可能存在漏洞
URL：http://think.admin/ThinkAdmin/public/admin.html?s=admin/api.Update/version
列目录
node()：
直接把POST的rules和ignore参数传给InstallService::instance()->getList()，根据上面的use引用可以知道文件路径在vendor/zoujingli/think-library/src/service/InstallService.php：
$ignore可以不用关注，他会透过_scanList()去遍历$rules数组，调用scanDirectory()去递归遍历目录下的文件，最后在透过_getInfo()去获取文件名与哈希，由下面代码可以知道程序没有任何验证，攻击者可以在未授权的情况下读取服务器的文件列表。
读取网站根目录Payload: http://think.admin/ThinkAdmin/public/admin.html?s=admin/api.Update/node
POST:
也可以使用../来进行目录穿越
演示站：
任意文件读取
get()：
首先从GET读取<code>encode</code>参数并使用<code>decode()</code>解码：
解密UTF8字符串的，刚好上面有个加密UTF8字符串的encode()，攻击时直接调用那个就可以了：
跟进ModuleService::instance()->checkAllowDownload()，文件路径vendor/zoujingli/think-library/src/service/ModuleService.php：
首先$name不能够是database.php，接着跟进getAllowDownloadRule()：
有一个允许的列表：
也就是说$name必须要不是database.php且要在允许列表内的文件才能够被读取，先绕过安全列表的限制，比如读取根目录的1.txt，只需要传入：
而database.php的限制在Linux下应该是没办法绕过的，但是在Windows下可以透过"来替换.，也就是传入：
对应encode()后的结果为：
34392q302x2r1b37382p382x2r1b1a1a1b1a1a1b2r33322u2x2v1b2s2p382p2q2p372t0y342w34
Windows读取database.php：
演示站读取/etc/passwd：
GET：
v5连允许列表都没有，可以直接读任意文件。
漏洞修复
临时方案：
升级到最新版！