项目场景
在健康云信息服务上线后，通过专业的网络安全团队，对系统进行全面的检测。渗透检测结果显示系统存在明显漏洞：文件上传漏洞、手机验证码发送接口流控功能、SQL注入漏洞、越权漏洞和 jQuery 版 本信息等5项内容。
文件上传漏洞
漏洞证明
现有前端上传采用layui中的upload进行前端的文件大小、扩展名的验证，但是对于修改后缀名的危险文件无法进行过滤，需要采用服务端验证。
前端上传代码
upload.render({ elem: '#uploadlicense' , url: '?m=Index&a=indexDeal&act=upImg&fromType=license' , multiple: false , size: 512 , accept: 'file' , exts: 'jpg|png' , number: 1 , before: function (obj) { loadingIndex = layer.load(); } , done: function (res, index) { layer.close(loadingIndex); if (res.code != "0") { return layer.msg('上传失败:' + res.msg); } if (res.code == "0") { $("#user_license").val(res.imgUrl); var imgHtml = "<a href=\"" + res.imgUrl + "\" target=\"_blank\">预览</a>"; $("#pre_user_license").html(imgHtml); } } });
修复建议
1.在服务器端进行过滤。
2.服务器端读取文件的部分内容作判断，可防止攻击者伪装文件类型上传。
核心代码
$allow_type = array('application/pdf', 'image/png', 'image/jpeg', 'video/mp4'); //服务器端检查上传文件类型; $tmpname = $file['tmp_name']; $finfo = finfo_open(FILEINFO_MIME_TYPE);//返回 mime 类型 $mimetype = finfo_file($finfo, $tmpname); finfo_close($finfo); if (!in_array($mimetype, $allow_type)) { $res['code'] = "1"; $res['msg'] = "不支持该文件类型上传"; die(json_encode_lockdata($res)); }
FILEINFO服务器配置（宝塔）
- 安装FILEINFO插件
- 配置php.ini
- 安装之后我们需要重启php确保生效。
手机验证码流控功能完善
未对每分钟IP请求发送验证码次数限制，通过随机生成手机号批量发送验证码，造成验证码发送次数配额消耗，增大运营成本。
手机验证码发送接口流控功能不完全
修复建议
1.增加对IP访问此接口的流控功能。
2.增加验证码。
核心代码
增加验证码功能
<div class="layui-form-item"> <label class="layui-form-label" style="width: 20%;">验证码</label> <div class="layui-input-inline"><input type="text" name="captcha" id="captcha" autocomplete="off" class="layui-input"></div> <div class="layui-form-mid layui-word-aux"> <img src="?m=Login&a=loginDeal&act=getCode" id="getCode" alt="" title="点击刷新验证码" style="cursor: pointer;"><span class="x-red"> * </span> 发送手机短信验证</div> </div> <div class="layui-form-item"> <label class="layui-form-label" style="width: 20%;">短信验证码</label> <div class="layui-input-inline"><input type="text" name="smscode" id="smscode" lay-verify="smscode" autocomplete="off" class="layui-input" disabled="disabled"></div> <div class="layui-input-inline"> <input type="button" class="layui-btn layui-btn-primary" id="btnSendCode" disabled="disabled" value="获取验证码"> </div> </div>
$("#user_phone").change(function () { var mobile = $.trim($("#user_phone").val()); if (mobile.length == 11) { $("#smscode").attr("disabled", false).css({"background-color": "#fff"}); $("#btnSendCode").attr("disabled", false).removeClass("layui-btn layui-btn-primary").addClass("layui-btn layui-btn-normal"); //单击发送验证码; document.getElementById("btnSendCode").onclick = function () { var captcha = $("#captcha").val(); //获取网站验证码; $.getJSON("?m=Login&a=loginDeal&act=captcha", {mobile:mobile,captcha:captcha}, function (res) { if (res.code == '0') { layer.msg(res.msg, {icon: 1,time: 2000}); } else { if (wait != 60) { console.log("请" + wait + "秒后再试！"); return; } if (mobile == '') { console.log("请填写手机号码"); return; } $("#smscode").val(""); time(document.getElementById("btnSendCode")); $.getJSON("?m=Sms&a=smsDeal&act=login", {mobile: mobile}, function (res2) { //console.log(res2.total); if (res2.code == '0') { layer.msg(res2.msg, {icon: 1,time: 2000}); } else { //console.log(res2); } }); } }); } } else { $("#smscode").attr("disabled", true); $("#btnSendCode").attr("disabled", true).removeClass("layui-btn layui-btn-normal").addClass("layui-btn layui-btn-primary"); } });
增加5分钟同一IP发送5次短信的验证
- 验证5分钟内的发送条数
//读取数据库记录; $fromTime = time() - 300; $toTime = time(); $sql = "select log_id FROM " . $db->table('log') . " WHERE 1"; $sql .= " AND logs = 'smscode' AND log_ip ='" . getip() . "'"; $sql .= " AND log_time > '" . $fromTime . "' AND log_ip <'" . $toTime . "'"; $sql .= " ORDER BY log_id DESC"; $row = $db->queryall($sql); if (count($row) >= 5) { $res['code'] = 0; $res['msg'] = '5分钟内最多发送5次短信.'; $res['total'] = count($row); die(json_encode_lockdata($res)); } else { $send = SmsDemo::sendSms($mobile, $signName, $templateCode, $rmdCode, '', '', '', '', 1); $res['code'] = 1; $res['send'] = $send; $_SESSION['code'] = $rmdCode; die(json_encode_lockdata($res)); }
- 添加发送短信记录
$user_phone = get_param('mobile'); $captcha = isset($_GET["captcha"]) ? trim($_GET["captcha"]) : ''; if ($captcha != $_SESSION['authcode']) { $res['code'] = "0"; $res['msg'] = "验证码错误"; die(json_encode_lockdata($res)); } else { //增加数据库记录; addlogs($user_phone, 'smscode', '', time(), getip()); $res['code'] = "1"; $res['msg'] = "验证码通过"; //验证码自动销毁; session_destroy(); die(json_encode_lockdata($res)); }
SQL注入漏洞
web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作。
主页中调用的查询API存在SQL注入
- API访问参数传递
api/api.php?act=getMarkers&token=3cab7ce4142608c0f40c785b5ab5ca24&page=1&limit=300&keys=a&province=%E5%B1%B1%E4%B8%9C%E7%9C%81&city=&area=
- Limit字段存在堆叠注入
Payload:act=getMarkers&token=3cab7ce4142608c0f40c785b5ab5ca24&page=1&limit=300;SELECT SLEEP(5)#&keys=a&province=%E5%B1%B1%E4%B8%9C%E7%9C%81&city=&area=
漏洞证明
修复建议
- 输入过滤：严格控制输入数据的类型、长度，增加输入合法性判断；禁止出现一些特殊字符或关键词；
- 预编译SQL语句(参数化查询)；
- 部署WAF；
核心代码
做参数过滤
@$p = get_safe2('page') == "" ? 1 : get_safe2('page');//获取用户选择的页码 @$pagesize = get_safe2('limit') == "" ? 600 : get_safe2('limit');//获取用户选择的每页显示多少条数据 @$limit = ($p - 1) * $pagesize;//偏移量
越权漏洞
通过修改cookie值，可越权查看编辑其他用户的信息。
漏洞证明
核心代码
原来只通过user_id进行参数传递，由于使用自增ID，容易被猜测出来。现在同步增加$user_name查询参数，进行强制限制。
case "show"; $user_id = $_COOKIE['user_id']; //判断是否一致，防止修改查看 2022-11-09 BY Poleung; $user_name = $_COOKIE['dbUser']; $row = $db->fetch('user', '*', array('user_id' => $user_id, 'user_name' => $user_name), ' user_id DESC'); //不存在数据; if (!$row) { redirect('?m=Pop&a=tips&act=tips&tips_id=7'); } $pieces = explode(',', $row['user_type']); break;
#脆弱的Javascript库
修复建议
升 级 JavaScript 库 到 最 新 版 本 ， 官 方 网 址 : https://jqueryui.com/download/,临时解决方案：隐藏 jQuery 版 本信息，避免被攻击者识别出版本号
@漏刻有时
