漏洞概要
缺陷编号：WooYun-2011-02648
漏洞标题：Smarty3远程代码执行漏洞
相关厂商：Smarty
漏洞作者：BNE
提交时间：2011-08-08 14:51
公开时间：2011-08-08 15:04
漏洞类型：网络设计缺陷/逻辑错误
危害等级：高
自评Rank：15
漏洞状态：未联系到厂商或者厂商积极忽略
Tags标签：
漏洞详情
披露状态：
2011-08-08: 积极联系厂商并且等待厂商认领中，细节不对外公开
2011-08-08: 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
Smarty是PHP下广泛使用的前端模板框架。但由于Smarty3引入了新的特性，导致在某些情况下，可以利用特性组合直接远程执行任意代码。
详细说明：
此漏洞原作者：cly，我代为发布而已:)由于Smarty3中引入了两个特性：1、如果display,fetch等方法的模板路径参数接受到的模板文件名是以“string:”或者“eval:”开头的，smarty3就会将此后的字符串值作为模板文件内容，重新编译并执行之。参考连接：http:/docs/en/template.resources.tpl#templates.from.string2、smarty3的模板语言中，可以利用{phpfunction()}等方式直接在smarty tag中执行php表达式。而smarty2中则不支持。参考连接：http:/docs/en/language.syntax.variables.tpl因此，利用以上两个特性相结合，如果用户可以控制模板文件名，即可执行任意php表达式。同样的，利用smarty3的resource特性，还可以直接利用“file:”协议直接远程包含任意文件。因为底层是使用fopen函数实现的文件打开，而默认的php配置中，虽然禁止了remote_file_include，但是对于remote_file_open却是允许的。利用这一个特性，让早已消失已久的RFI经典漏洞类型重见天日了。:)
漏洞证明：
1、如果在编写代码的过程中存在如下逻辑的代码，即将用户输入带入代码逻辑获取：
$smarty->display($_REQUEST['tpl'].”.tpl”);
1
$smarty->display($_REQUEST['tpl'].”.tpl”);
2、用户可以在访问脚本时，在URL中指定特定参数，如“?tpl=string:{phpinfo()}”，即可执行phpinfo代码。
修复方案：
去除所有使用用户输入作为模板名进行渲染的代码，使用白名单方式限制只允许载入已知的tpl文件。
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝
评价
2010-01-01 00:00 Meck 白帽子 | Rank:4 漏洞数:2)
这种不该算是smarty的漏洞吧。。。。
2010-01-01 00:00 tenzy 白帽子 | Rank:167 漏洞数:21)
首现，一般情况下，display的模版文件名不会通过提交来获取，
其次，这是程序员编码失误，不是smarty问题。如果它不允许执行PHP语句，那模版就不好用了。。
2010-01-01 00:00 xsser 白帽子 | Rank:152 漏洞数:17)
仔细看看哦 楼上
所有媒体，可在保留署名、原文连接的情况下转载，若非则不得使用我方内容。