.NET代码审计入门：某物流系统任意文件上传漏洞分析

1. 前言

本教学文档面向.NET代码审计新手，通过分析某物流系统的任意文件上传漏洞，帮助初学者掌握基本的代码审计方法和思路。选择.NET平台进行审计是因为其在企业应用中的广泛使用，以及相对较少的安全研究资源，具有较高的学习价值。

2. 漏洞背景

2.1 发现过程

审计人员在文件夹中发现名为"DSWeb"的DLL文件，推测为某物流系统的网站源码。通过反编译工具dnSpy进行分析，确认该系统采用MVC架构。

2.2 审计目标

代码审计的首要目标通常是寻找可能导致远程代码执行(RCE)的漏洞，文件上传功能是重点审计对象。

3. 漏洞详细分析

3.1 定位文件上传功能

1. 使用dnSpy反编译DSWeb.dll
2. 在代码中搜索"upload"关键字
3. 发现多个文件上传相关的方法
4. 选择审计目标：DSWeb.Areas.TruckMng.Controllers.PcHeadEdit_LTJYController

3.2 代码分析过程

3.2.1 文件接收检查

// 第395行代码
if (httpPostedFileBase == null)
{
    // 返回错误信息："上传文件发生未知错误，请重新上传"
}

分析：LoadFile参数接收上传的文件，如果为空则返回错误。

3.2.2 文件扩展名检查

// 第416-417行关键代码
string text2 = Path.GetExtension(httpPostedFileBase.FileName).ToLower();
if (text2 != "asp" && text2 != "aspx")
{
    // 放行上传
}

关键问题：

• 仅黑名单过滤了.asp和.aspx扩展名
• 未考虑其他可执行扩展名：.cshtml、.cer、.soap、.ashx等
• 使用ToLower()转为小写，但未处理大小写绕过问题

3.2.3 文件保存逻辑

// 第426-458行代码
// 文件夹存在性检查
// 路径拼接操作
httpPostedFileBase.SaveAs(最终路径); // 执行文件保存

分析：程序会检查相关文件夹是否存在，拼接完整路径后直接保存文件。

3.3 漏洞利用路径

1. 上传接口：/TruckMng/PcHeadEdit_LTJY/UploadFile
2. 绕过方法：使用非.asp/.aspx的可执行扩展名
3. 直接上传webshell获取服务器权限

4. 漏洞验证

4.1 构造攻击数据包

通过构造HTTP请求数据包，上传包含恶意代码的文件：

• 使用.cshtml、.cer等可执行扩展名
• 文件内容包含ASP.NET可执行代码

4.2 预期结果

文件成功上传到服务器，攻击者可以通过访问上传的文件执行任意代码。

5. 修复建议

5.1 安全方案

1. 白名单策略：只允许特定的安全扩展名

string[] allowedExtensions = { ".jpg", ".png", ".pdf", ".doc" };
if (!allowedExtensions.Contains(text2))
{
    // 拒绝上传
}

2. 文件类型验证：检查文件内容而不仅是扩展名

3. 重命名文件：服务器端生成随机文件名

string newFileName = Guid.NewGuid().ToString() + Path.GetExtension(fileName);

4. 隔离存储：将上传文件存储在Web目录外

5. 权限限制：确保上传目录没有执行权限

5.2 代码改进示例

public ActionResult UploadFile(HttpPostedFileBase file)
{
    if (file == null || file.ContentLength == 0)
        return Json(new { success = false, message = "文件为空" });
    
    // 白名单验证
    string[] allowedExtensions = { ".jpg", ".jpeg", ".png", ".gif", ".pdf" };
    string fileExtension = Path.GetExtension(file.FileName).ToLower();
    
    if (!allowedExtensions.Contains(fileExtension))
        return Json(new { success = false, message = "文件类型不允许" });
    
    // 文件大小限制
    if (file.ContentLength > 5 * 1024 * 1024) // 5MB
        return Json(new { success = false, message = "文件过大" });
    
    // 重命名文件
    string newFileName = $"{DateTime.Now:yyyyMMddHHmmss}_{Guid.NewGuid():N}{fileExtension}";
    string savePath = Path.Combine(Server.MapPath("~/App_Data/Uploads"), newFileName);
    
    // 确保目录存在
    Directory.CreateDirectory(Path.GetDirectoryName(savePath));
    
    file.SaveAs(savePath);
    
    return Json(new { success = true, message = "上传成功", filePath = $"/App_Data/Uploads/{newFileName}" });
}

6. 代码审计技巧总结

6.1 关键搜索词

• "Upload", "SaveAs", "File"
• "GetExtension", "Path.Combine"
• "Request.Files", "HttpPostedFileBase"

6.2 审计重点

1. 文件扩展名验证逻辑（黑名单/白名单）
2. 文件内容检查机制
3. 文件存储路径和权限设置
4. 文件名处理方式

6.3 常见.NET可执行扩展名

• .aspx, .asp
• .ashx, .asmx
• .cshtml, .vbhtml
• .cer, .asa
• .soap, .rem

7. 学习建议

1. 熟悉.NET框架：掌握MVC架构和常见API
2. 使用审计工具：熟练使用dnSpy、ILSpy等反编译工具
3. 理解安全机制：学习.NET安全特性和最佳实践
4. 实践演练：在测试环境中复现和修复漏洞

8. 结论

通过本次审计案例，新手可以学习到：

• .NET代码审计的基本流程和方法
• 文件上传漏洞的常见模式和危害
• 黑名单过滤的局限性
• 完整的安全修复方案

代码审计需要耐心和细心，建议从简单的漏洞类型开始，逐步积累经验，最终能够发现更复杂的安全问题。