这个脚本是否容易被 shell 命令绕过？

Question

我正在使用此脚本从 Android 应用接收 base 64 编码图像。我想知道是否有任何方法可以绕过 POST 请求中的 PHP shell 命令并让它在服务器中工作，例如，发送命令 shell 编码和名称如“shell.php”、“shell.php%” 0删除0”。根据脚本，所有内容都将保存为 .png，所以我会说它是安全的，但也许我错了，脚本实际上容易受到 shell 命令上传的攻击。

<?php 
header('charset=utf-8');

if($_SERVER['REQUEST_METHOD'] == 'POST') {
    if(isset($_POST['image']) && isset($_POST['name'])) {
        $image = $_POST['image'];
        $name = $_POST['name'];
        file_put_contents("/var/www/html/admigas/android/uploads/$name".strval(date('_Ym')).".png",base64_decode($image));
        echo "Success";
    } else {
        echo "Wrong params";
    }
} else {
    echo "Nothing to do";
}

?>

Answer 1

那么，让我们一步一步地看一下代码。我的cmets前面是#:

<?php 
header('charset=utf-8');

if($_SERVER['REQUEST_METHOD'] == 'POST') {
    if(isset($_POST['image']) && isset($_POST['name'])) {
        # This is provided by the user:
        $image = $_POST['image'];
        # This is provided by the user:
        $name = $_POST['name'];
        # Where does $name come from? User input, of course!
        file_put_contents("/var/www/html/admigas/android/uploads/$name".strval(date('_Ym')).".png",base64_decode($image));
        echo "Success";
    } else {
        echo "Wrong params";
    }
} else {
    echo "Nothing to do";
}

因此，发送带有 base64 编码负载的 name=../../../../reverse-shell.php%00 将允许攻击者上传任意文件（在本例中为 PHP 代码），并可能在随后的 PHP 请求中执行它。

解决方案（以差异格式呈现）：

-           $name = $_POST['name'];
+           $name = preg_replace('#[^A-Za-z0-9\-_]#', '', $_POST['name']);

您肯定希望删除任何非 URL 安全字符以防止攻击。你可能想totally rethink your strategy, of course。