建站之星全版本后台Getshell漏洞解析与修复方法

最近在折腾一个FCK编辑器时，发现了一个有趣的问题：明明用的是已经修补过的版本，但一上手就遇到了障碍——创建文件夹时，系统竟然把“.”给过滤掉了，导致解析目录无法建立。

试了多次后发现，这个过滤并非实时生效，而是存在大约0.1秒的延迟。也就是说，输入内容后，系统会先让你看到，然后才悄悄把点去掉。既然看到了源码的存在，不如直接看看它是如何实现新建文件夹函数的。

先看一下前端这段JavaScript：

复制代码

function addSort(obj) {
      $(obj).parent().find('p').css('display','inline-block');
      $(obj).css('display','none');
      $(obj).parent().find('p > input:first').focus();
      }
      function newDir(obj) {
      var pth = $(obj).prev().attr('value');
      var basepth = $('#gtcurdir option:selected').text();
      if (pth.replace(/^\s+|\s+$/g,").length == 0) {
      alert("请输入字符");
      $(obj).prev().focus();
      return false;
      } else {
      $.ajax({
      type : "GET",
      dataType : "text",
      url : "../mkdir.ajax.php?basedir="+basepth+"&newdir="+pth,
      success : function(response) {
      switch (response) {
      case '0':
      $(obj).prev().val("");
      $(obj).parent().css('display','none');
      $(obj).parent().parent().find('a').css('display','inline-block');
      $(''+basepth+pth+'/').appendTo('#gtcurdir');
      break;
      case '-1':
      alert("文件夹已存在！");
      $(obj).prev().focus();
      break;
      case '-2':
      alert("新建文件夹失败！");
      break;
      }
      },
      error : function(response) {
      alert("请求失败！");
      return false;
      }
      });
      }
      }

看到这里，我注意到了一个非常有意思的细节：url : "../mkdir.ajax.php?basedir="+basepth+"&newdir="+pth，直接将前端输入的文件夹名拼接到URL中，然后发送到后端。换句话说，前端只负责发送，后端只要收到就能执行。那么，是否可以进行构造呢？

于是翻了一下后端脚本：

复制代码

read()) !== false) {
if ($path == $newdir) {
$err = '-1';
break;
} else continue;
}
if ($err != '-1') {
if (!mkdir("../../{$basedir}{$newdir}", 0755)) $err = '-2';
}
echo $err;
?>

问题来了：这个后端脚本竟然没有验证用户是否已登录，也没有对newdir参数做任何过滤。前端的延迟过滤，纯粹是面子工程。后端这边，直接拿$_GET['basedir']和$_GET['newdir']拼接路径，然后调用mkdir()。

也就是说，只要知道后台路径，任何人都可以直接通过GET方式发送一个创建目录的请求。例如：

http://admin/fckeditor/mkdir.ajax.php?basedir=upload/image/&newdir=shell.asp

返回0，表示创建成功。虽然系统内部过滤了“.”，但后端脚本压根没管。前端延迟过滤一旦被绕过，就能直接创建asp解析目录。

修复方案：

最直接的做法是给mkdir.ajax.php加上身份验证，确认当前用户是合法管理员。同时，对newdir参数进行严格的过滤处理，例如只允许字母、数字和特定安全字符，禁止创建包含“.”的目录或特殊字符的目录。后端不能完全依赖前端的过滤，安全控制必须在服务器端实现。