SeaCMS 远程命令执行漏洞复现与分析 (CVE-2024-42599)

1. 环境准备

1.1 SeaCMS 13.0 安装

1. 下载 SeaCMS V13 安装包：

   • 下载地址：https://www.seacms.net/download/安装包/SeaCMS_V13_install.zip
   • 解压到网站根目录（如小皮面板的 www 目录）

2. 将 Upload 文件夹内的文件移动到解压目录下

3. 配置服务器环境：

   • PHP 版本：5.5.9 nts
   • MySQL 版本：5.7.26
   • 使用小皮面板创建网站

4. 创建数据库：

   • 使用 Navicat Premium 15 或其他工具
   • 新建与安装界面名称相同的数据库

5. 完成安装：

   • 访问域名进行安装
   • 后台地址随机生成，位于网站根目录下

2. 漏洞分析

2.1 漏洞位置

• 漏洞文件：admin_files.php
• 路径：WWW\seacms\dzs7v3\admin_files.php

2.2 漏洞原理

• 尽管 admin_files.php 对编辑的文件施加了限制，但攻击者可以绕过这些限制
• 文件包含漏洞：通过修改 admin_files.htm 内容并利用 include 函数解析
• 危险函数：include 和 require 函数未对文件内容进行充分验证

2.3 漏洞利用条件

• 需要经过身份验证的攻击者
• 能够访问后台管理功能

3. 漏洞复现步骤

3.1 定位漏洞点

1. 登录 SeaCMS 后台
2. 通过 Burp Suite 抓包寻找 admin_files.php 功能点
3. 确认访问路径：http://seacms.com/dzs7v3/admin_files.php

3.2 构造攻击载荷

1. 修改 admin_files.htm 文件内容

2. 构造包含 PHP 代码的内容：

   <?php phpinfo(); ?>
   

   URL 编码后：

   %3c%3fphp+phpinfo()%3b+%3f%3e
   

3. 构造文件路径：

   ../uploads/../dzs7v3/templets/admin_files.htm
   

3.3 执行攻击

1. 通过抓包修改请求参数：

   • content: 包含恶意代码的 URL 编码内容
   • filedir: 目标文件路径

2. 发送修改请求

3.4 验证攻击

1. 重新访问 admin_files.php 或直接访问文件路径：

   http://seacms.com/dzs7v3/templets/admin_files.htm
   

2. 确认是否弹出 phpinfo() 信息

4. 漏洞修复建议

1. 对文件内容进行严格过滤，禁止执行 PHP 代码
2. 限制可编辑的文件目录范围
3. 更新到最新版本（如果官方已发布修复版本）
4. 对 include 和 require 函数的使用进行安全审计
5. 实施严格的权限控制，限制后台功能访问

5. 技术细节补充

5.1 文件包含漏洞原理

• include 函数会解析并执行包含文件中的 PHP 代码
• 攻击者通过控制被包含文件的内容实现任意代码执行

5.2 路径遍历技巧

• 使用 ../ 实现目录遍历
• 最终路径解析为：网站根目录/dzs7v3/templets/admin_files.htm

5.3 防御措施

• 使用 basename() 函数过滤路径
• 实施白名单机制限制可编辑文件
• 禁用危险函数或使用安全替代方案