EmlogPro 2.5.4 tpl.php任意文件删除漏洞分析报告

1. 漏洞概述

EmlogPro 2.5.4版本中存在一个严重的任意文件删除漏洞，位于content/plugins/tpl_options/actions/tpl.php文件中。该漏洞允许攻击者通过路径遍历技术删除服务器上的任意文件，可能导致系统完全瘫痪或数据丢失。

2. 漏洞影响

• 影响版本：EmlogPro 2.5.4及可能更早版本
• 漏洞类型：任意文件删除
• CVSS评分：预估为高危(7.5-8.5)
• 攻击复杂度：低
• 所需权限：需要管理员权限

3. 漏洞原理分析

3.1 漏洞文件位置

漏洞存在于：
content/plugins/tpl_options/actions/tpl.php

3.2 关键漏洞代码

漏洞的核心在于对origin_image参数的处理不当，导致路径遍历攻击成为可能：

// 伪代码表示漏洞逻辑
$origin_image = $_POST['origin_image']; // 用户可控输入
$path = "uploadfile/" . $origin_image;  // 简单拼接路径

if(strpos($path, 'uploadfile') !== false) {
    unlink($path); // 删除文件操作
}

3.3 漏洞利用条件

1. 攻击者需要拥有管理员权限（能够访问模板设置页面）
2. 系统未对origin_image参数进行严格的路径校验
3. 服务器文件系统权限设置允许PHP删除文件

4. 漏洞利用步骤

4.1 环境准备

1. 搭建EmlogPro 2.5.4环境
2. 以管理员身份登录系统

4.2 攻击流程

1. 进入模板设置页面：

   • 导航到"外观"->"模板"
   • 在默认模板中点击"头部设置"
   • 选择任意图片上传（这是正常操作流程）

2. 拦截请求：

   • 使用Burp Suite等工具拦截上传请求

3. 构造恶意请求：

   • 修改origin_image参数为路径遍历payload，例如：

     ../../../../file.txt
     

   • 完整路径将拼接为：uploadfile/../../../../file.txt

4. 发送请求：

   • 服务器将解析路径并删除目标文件

4.3 实际攻击示例

假设服务器上存在文件/var/www/html/file.txt，攻击者可构造以下payload：

POST /content/plugins/tpl_options/actions/tpl.php HTTP/1.1
Host: target.com
Content-Type: application/x-www-form-urlencoded
Cookie: [管理员会话cookie]

origin_image=../../../../file.txt&other_params=value

5. 漏洞修复建议

5.1 临时缓解措施

1. 修改tpl.php文件，添加严格的路径校验：

   $origin_image = $_POST['origin_image'];
   $allowed_path = realpath("uploadfile/");
   $path = realpath("uploadfile/" . $origin_image);
   
   // 检查路径是否在允许目录内
   if(strpos($path, $allowed_path) === 0 && file_exists($path)) {
       unlink($path);
   }
   

2. 限制管理员权限，仅信任用户可访问模板设置

5.2 长期解决方案

1. 升级到最新版本（如果官方已发布修复版本）
2. 实现文件操作的安全函数，包含：
   • 路径规范化
   • 目录限制
   • 符号链接解析

6. 漏洞验证方法

6.1 安全测试步骤

1. 在服务器上创建测试文件，如/test_delete.txt
2. 使用管理员账户尝试删除该文件
3. 检查文件是否被成功删除
4. 验证日志记录是否完整

6.2 测试payload示例

origin_image=../../../../test_delete.txt

7. 漏洞影响评估

7.1 直接影响

• 系统文件被删除导致服务中断
• 敏感数据泄露（通过删除配置文件等）
• 系统完整性破坏

7.2 潜在风险

• 结合其他漏洞实现权限提升
• 破坏系统完整性后植入后门
• 作为攻击链的一部分实现更复杂的攻击

8. 总结

EmlogPro 2.5.4的任意文件删除漏洞源于对用户输入的不当处理，典型的安全问题包括：

1. 未对用户输入进行充分验证
2. 使用简单的字符串拼接构造文件路径
3. 缺乏对路径解析的安全检查

该漏洞再次提醒开发人员需要遵循安全编码实践，特别是涉及文件系统操作时，必须实施严格的输入验证和路径检查。