【代码审计】XYHCMS V3.5文件上传漏洞分析

2022-07-09 18:20:13

0x00 环境准备

XYHCMS官网：http://www.xyhcms.com/

网站源码版本：XYHCMS V3.5（2017-12-04 更新）

程序源码下载：http://www.xyhcms.com/Show/download/id/2/at/0.html

测试网站首页：

1、漏洞文件位置：/App/Common/Lib/YunUpload.class.php 第231-271行：

public function _upload() {
$ext = ''; //原文件后缀
foreach ($_FILES as $key => $v) {
$strtemp = explode('.', $v['name']);
$ext = end($strtemp); //获取文件后缀，或$ext = end(explode('.', $_FILES['fileupload']['name']));
break;
}
$upload = new \Think\Upload(); //new Upload($config)
//修配置项
10. $upload->autoSub = true; //是否使用子目录保存图片
11. $upload->subType = 'date'; //子目录保存规则
12. $upload->subName = array('date', 'Ymd');
13. $upload->maxSize = get_upload_maxsize(); //设置上传文件大小
14. $upload->exts = $this->allowType; //设置上传文件类型
15. $upload->rootPath = $this->rootPath; //上传根路径
16. $upload->savePath = $this->subDirectory; //上传（子）目录
17. $upload->saveName = array('uniqid', ''); //上传文件命名规则
18. $upload->replace = true; //存在同名是否覆盖
19. $upload->callback = false; //检测文件是否存在回调函数，如果存在返回文件信息数组
20. if ($info = $upload->upload()) {
21.
22. //判断是添加水印--有缩略的才添加水印
23. if ($this->thumFlag) {
24. $this->_doWater($info);
25. }
26. //是否有缩略图
27. if ($this->thumFlag) {
28. $this->_doThum($info);
29. }
30. return $info;
31. } else {
32. //$str = array('err' =>1 ,'msg' => $upload->getError() );
33. return $upload->getError();
34. }
35. }

这段图片上传函数中对上传参数进行设置，然后上传。文件上传类型是客户端参数可控的，导致攻击者可以修改文件上传类型，上传恶意脚本，上传完还得去保存，继续去看一下程序如何处理保存：

文件位置：/App/Manage/Controller/SystemController.class.php，第194-217行中：

public function site() {
if (IS_POST) {
$data = I('config', array(), 'trim');
foreach ($data as $key => $val) {
if (stripos($val, '<?php') !== false) {
$data[$key] = preg_replace('/<\?php(.+?)\?>/i', '', $val);
}
10. }
11.
12. $data['CFG_IMGTHUMB_SIZE'] = strtoupper($data['CFG_IMGTHUMB_SIZE']);
13. $data['CFG_IMGTHUMB_SIZE'] = str_replace(array('，', 'Ｘ'), array(',', 'X'), $data['CFG_IMGTHUMB_SIZE']);
14. if (empty($data['CFG_IMGTHUMB_SIZE'])) {
15. $this->error('缩略图组尺寸不能为空');
16. }
17.
18. if (!empty($data['CFG_IMAGE_WATER_FILE'])) {
19. $img_ext = pathinfo($data['CFG_IMAGE_WATER_FILE'], PATHINFO_EXTENSION);
20. $img_ext = strtolower($img_ext);
21. if (!in_array($img_ext, array('jpg', 'gif', 'png', 'jpeg'))) {
22. $this->error('水印图片文件不是图片格式！请重新上传！');
23. return;
24. }
25. }