Drupal远程代码执⾏漏洞（CVE-2019-6339）漏洞分析简介
Drupal core是Drupal社区所维护的⼀套⽤PHP语⾔开发的免费、开源的内容管理系统。
漏洞概述
Drupal core 7.62之前的7.x版本、8.6.6之前的8.6.x版本和8.5.9之前的8.5.x版本中的内置phar stream wrapper（PHP）存在远程代码执⾏漏洞。远程攻击者可利⽤该漏洞执⾏任意的php代码。
在Drupal的机制中，有⼀个规则：如果出现同名⽂件，就会在⽂件名后⾯加上_0，_1，并且会递增。
cve漏洞库例如：
phar stream wrapper（PHP）：通过phar://协议对⼀个phar⽂件进⾏⽂件操作，如file_get_contents，就可以触发反序列化，从⽽达成RCE的效果。
所以这是这个漏洞产⽣的主要的原因，复现过程⼤家再百度⼀下就⾏了

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。