[代码审计]eyoucms前台未授权任意文件上传

0x00 背景

来公司差不多一年了，然而我却依旧没有转正。约莫着转正也要到九月了，去年九月来的，实习，转正用了一年。2333

废话不多说了，最近有其他的事要忙，很久没有代码审计了。难的挖不了，浅的没意思。那就随便选吧。

在A5找了套源码，找找感觉。花了十来分钟审了一下，发现了个未授权任意文件上传。

0x01 总体了解

版本： v 1.1.3

框架： tp 5.0

目录如下：

挺标准的tp二次开发目录，直接看application目录下的。

外面的几个php文件就不解释了。粗略的看了一下配置文件和路由。

全局过滤用了strip_sql加htmlspecialchars，tp5默认是走pdo的。除非不是故意留的坑，都不太可能会出现比较容易利用的注入点。

application里面有多个模块。主要是admin，api，common，home四个。

admin 顾名思义是后台处理的

api 是一些接口

common 是基础类。

home 是前端

0x02 发现任意文件上传的接口

看了一下common和api两个模块，在api里面发现了这么一个接口。

看到文件application\api\Uploadify.php

public function preview(){

        // 此页面用来协助 IE6/7 预览图片，因为 IE 6/7 不支持 base64
        $DIR = 'preview';
        // Create target dir
        if (!file_exists($DIR)) {
            @mkdir($DIR);
        }

        $cleanupTargetDir = true; // Remove old files
        $maxFileAge = 5 * 3600; // Temp file age in seconds

        if ($cleanupTargetDir) {
            if (!is_dir($DIR) || !$dir = opendir($DIR)) {
                die('{"jsonrpc" : "2.0", "error" : {"code": 100, "message": "Failed to open temp directory."}, "id" : "id"}');
            }

            while (($file = readdir($dir)) !== false) {
                $tmpfilePath = $DIR . DIRECTORY_SEPARATOR . $file;
                // Remove temp file if it is older than the max age and is not the current file
                if (@filemtime($tmpfilePath) < getTime() - $maxFileAge) {
                    @unlink($tmpfilePath);
                }
            }
            closedir($dir);
        }
        //前面的一大串，不用关注，看下面的就行了
        $src = file_get_contents('php://input');
        if (preg_match("#^data:image/(\w+);base64,(.*)$#", $src, $matches)) {
            $previewUrl = sprintf(
                "%s://%s%s",
                isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] != 'off' ? 'https' : 'http',
                $_SERVER['HTTP_HOST'],$_SERVER['REQUEST_URI']
            );
            $previewUrl = str_replace("preview.php", "", $previewUrl);
            $base64 = $matches[2];
            $type = $matches[1];
            if ($type === 'jpeg') {
                $type = 'jpg';
            }

            $filename = md5($base64).".$type";
            $filePath = $DIR.DIRECTORY_SEPARATOR.$filename;

            if (file_exists($filePath)) {
                die('{"jsonrpc" : "2.0", "result" : "'.$previewUrl.'preview/'.$filename.'", "id" : "id"}');
            } else {
                $data = base64_decode($base64);
                file_put_contents($filePath, $data);
                die('{"jsonrpc" : "2.0", "result" : "'.$previewUrl.'preview/'.$filename.'", "id" : "id"}');
            }
        } else {
            die('{"jsonrpc" : "2.0", "error" : {"code": 100, "message": "un recoginized source"}}');
        }
    }

这是一个图片预览的接口，通过php://input接收图片base64编码数据，然后解码，写入文件。返回图片路径。

正则获取了图片的后缀之后，简单判断了一下就没有下文了。然后将获取到的文件后缀，与base64文件数据的md5值拼接成为文件名。最后解码数据，写入。返回路径

追溯一下这个api是否需要登录？(=>等于extends)

app\api\controller\Uploadify =>app\api\controller\Base => app\common\controller\Common =>think\Controller

看了一下没有发现有判断权限或认证的代码，在 app\api\controller\Base 类里面看到似乎是权限判断的代码：

但这里的代码都是空的。。。

那么，整个漏洞的利用逻辑就是往http://www.example.com/index.php/api/Uploadify/preview 打一个base64的post数据包。

漏洞原理很简单。我想这里会出现这么一个问题，大概是作者认为data:image/ 这样的数据，只能是图片？

0x03 漏洞影响

在官网下了一个1.0版本的，对比了一下发现，1.0版本也是存在该漏洞。左1.1.3 ，右1.0

这里的差异只是我添加的一个备注。

昨晚用fofa跑了一下，发现存在该漏洞的网站有50%以上。

0x04 漏洞修复建议

使用白名单判断文件后缀名。

在Uploadify.php中213行到214行的代码修改为如下：

if ($type !== 'jpeg' || $type !=='png' || $type !=='gif' || $type!=='jpg') {
       exit();
}
if ($type === 'jpeg') {
        $type = 'jpg';
}

0x05 总结

搜了一下这个CMS的历史漏洞，发现只有seebug上面的一个后台任意文件读取漏洞。这个洞藏了很久啊。。

整个漏洞很简单，写篇文章记录一下，除除博客上面的草。

之后想总结一下tp框架二次开发CMS的奇葩漏洞，不知道什么时候能总结出来。。

声明：本文章只用于学习研究之用，禁止用于违法犯罪。