项目场景

在健康云信息服务上线后，通过专业的网络安全团队，对系统进行全面的检测。渗透检测结果显示系统存在明显漏洞：文件上传漏洞、手机验证码发送接口流控功能、SQL注入漏洞、越权漏洞和 jQuery 版 本信息等5项内容。

---

文件上传漏洞

漏洞证明

现有前端上传采用layui中的upload进行前端的文件大小、扩展名的验证，但是对于修改后缀名的危险文件无法进行过滤，需要采用服务端验证。

前端上传代码

       upload.render({
            elem: '#uploadlicense'
            , url: '?m=Index&a=indexDeal&act=upImg&fromType=license'
            , multiple: false
            , size: 512
            , accept: 'file'
            , exts: 'jpg|png'
            , number: 1
            , before: function (obj) {
                loadingIndex = layer.load();
            }
            , done: function (res, index) {
                layer.close(loadingIndex);
                if (res.code != "0") {
                    return layer.msg('上传失败:' + res.msg);
                }
                if (res.code == "0") {
                    $("#user_license").val(res.imgUrl);
                    var imgHtml = "<a href=\"" + res.imgUrl + "\" target=\"_blank\">预览</a>";
                    $("#pre_user_license").html(imgHtml);
                }
            }
        });

修复建议

1.在服务器端进行过滤。
2.服务器端读取文件的部分内容作判断，可防止攻击者伪装文件类型上传。

核心代码

      $allow_type = array('application/pdf', 'image/png', 'image/jpeg', 'video/mp4');

        //服务器端检查上传文件类型;
        $tmpname = $file['tmp_name'];
        $finfo = finfo_open(FILEINFO_MIME_TYPE);//返回 mime 类型
        $mimetype = finfo_file($finfo, $tmpname);
        finfo_close($finfo);

        if (!in_array($mimetype, $allow_type)) {
            $res['code'] = "1";
            $res['msg'] = "不支持该文件类型上传";
            die(json_encode_lockdata($res));
        }

FILEINFO服务器配置（宝塔）

• 安装FILEINFO插件
  

• 配置php.ini
  

• 安装之后我们需要重启php确保生效。
  

---

手机验证码流控功能完善

未对每分钟IP请求发送验证码次数限制，通过随机生成手机号批量发送验证码，造成验证码发送次数配额消耗，增大运营成本。

手机验证码发送接口流控功能不完全

修复建议

1.增加对IP访问此接口的流控功能。
2.增加验证码。

核心代码

增加验证码功能

            <div class="layui-form-item">
                <label class="layui-form-label" style="width: 20%;">验证码</label>
                <div class="layui-input-inline"><input type="text" name="captcha" id="captcha" autocomplete="off" class="layui-input"></div>
                <div class="layui-form-mid layui-word-aux"> <img src="?m=Login&a=loginDeal&act=getCode" id="getCode" alt="" title="点击刷新验证码" style="cursor: pointer;"><span class="x-red"> * </span> 发送手机短信验证</div>
            </div>

            <div class="layui-form-item">
                <label class="layui-form-label" style="width: 20%;">短信验证码</label>
                <div class="layui-input-inline"><input type="text" name="smscode" id="smscode" lay-verify="smscode" autocomplete="off" class="layui-input" disabled="disabled"></div>
                <div class="layui-input-inline">
                    <input type="button" class="layui-btn layui-btn-primary" id="btnSendCode" disabled="disabled" value="获取验证码">
                </div>
            </div>

        $("#user_phone").change(function () {
            var mobile = $.trim($("#user_phone").val());
            if (mobile.length == 11) {
                $("#smscode").attr("disabled", false).css({"background-color": "#fff"});
                $("#btnSendCode").attr("disabled", false).removeClass("layui-btn layui-btn-primary").addClass("layui-btn layui-btn-normal");

                //单击发送验证码;
                document.getElementById("btnSendCode").onclick = function () {
                    var captcha = $("#captcha").val();
                    //获取网站验证码;
                    $.getJSON("?m=Login&a=loginDeal&act=captcha", {mobile:mobile,captcha:captcha}, function (res) {
                        if (res.code == '0') {
                            layer.msg(res.msg, {icon: 1,time: 2000});
                        } else {
                            if (wait != 60) {
                                console.log("请" + wait + "秒后再试！");
                                return;
                            }
                            if (mobile == '') {
                                console.log("请填写手机号码");
                                return;
                            }
                            $("#smscode").val("");
                            time(document.getElementById("btnSendCode"));
                            $.getJSON("?m=Sms&a=smsDeal&act=login", {mobile: mobile}, function (res2) {
                                //console.log(res2.total);
                                if (res2.code == '0') {
                                    layer.msg(res2.msg, {icon: 1,time: 2000});
                                } else {
                                    //console.log(res2);
                                }
                            });
                        }
                    });
                }
            } else {
                $("#smscode").attr("disabled", true);
                $("#btnSendCode").attr("disabled", true).removeClass("layui-btn layui-btn-normal").addClass("layui-btn layui-btn-primary");
            }
        });

增加5分钟同一IP发送5次短信的验证

• 验证5分钟内的发送条数

//读取数据库记录;
        $fromTime = time() - 300;
        $toTime = time();
        $sql = "select log_id FROM " . $db->table('log') . " WHERE 1";
        $sql .= " AND logs = 'smscode' AND log_ip ='" . getip() . "'";
        $sql .= " AND log_time > '" . $fromTime . "' AND log_ip <'" . $toTime . "'";
        $sql .= " ORDER BY log_id DESC";
        $row = $db->queryall($sql);
        if (count($row) >= 5) {
            $res['code'] = 0;
            $res['msg'] = '5分钟内最多发送5次短信.';
            $res['total'] = count($row);
            die(json_encode_lockdata($res));
        } else {
            $send = SmsDemo::sendSms($mobile, $signName, $templateCode, $rmdCode, '', '', '', '', 1);
            $res['code'] = 1;
            $res['send'] = $send;
            $_SESSION['code'] = $rmdCode;
            die(json_encode_lockdata($res));
        }

• 添加发送短信记录

        $user_phone = get_param('mobile');
        $captcha = isset($_GET["captcha"]) ? trim($_GET["captcha"]) : '';

        if ($captcha != $_SESSION['authcode']) {
            $res['code'] = "0";
            $res['msg'] = "验证码错误";
            die(json_encode_lockdata($res));
        } else {
            //增加数据库记录;
            addlogs($user_phone, 'smscode', '', time(), getip());
            $res['code'] = "1";
            $res['msg'] = "验证码通过";
            //验证码自动销毁;
            session_destroy();
            die(json_encode_lockdata($res));
        }

SQL注入漏洞

web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作。

主页中调用的查询API存在SQL注入

• API访问参数传递

api/api.php?act=getMarkers&token=3cab7ce4142608c0f40c785b5ab5ca24&page=1&limit=300&keys=a&province=%E5%B1%B1%E4%B8%9C%E7%9C%81&city=&area=

• Limit字段存在堆叠注入

Payload:act=getMarkers&token=3cab7ce4142608c0f40c785b5ab5ca24&page=1&limit=300;SELECT SLEEP(5)#&keys=a&province=%E5%B1%B1%E4%B8%9C%E7%9C%81&city=&area=

漏洞证明

修复建议

• 输入过滤：严格控制输入数据的类型、长度，增加输入合法性判断；禁止出现一些特殊字符或关键词；
• 预编译SQL语句(参数化查询)；
• 部署WAF；

核心代码

做参数过滤

   @$p = get_safe2('page') == "" ? 1 : get_safe2('page');//获取用户选择的页码
        @$pagesize = get_safe2('limit') == "" ? 600 : get_safe2('limit');//获取用户选择的每页显示多少条数据
        @$limit = ($p - 1) * $pagesize;//偏移量

越权漏洞

通过修改cookie值，可越权查看编辑其他用户的信息。

漏洞证明

核心代码

原来只通过user_id进行参数传递，由于使用自增ID，容易被猜测出来。现在同步增加$user_name查询参数，进行强制限制。

    case "show";
        $user_id = $_COOKIE['user_id'];
        //判断是否一致，防止修改查看 2022-11-09 BY Poleung;
        $user_name = $_COOKIE['dbUser'];
        $row = $db->fetch('user', '*', array('user_id' => $user_id, 'user_name' => $user_name), ' user_id DESC');
        //不存在数据;
        if (!$row) {
            redirect('?m=Pop&a=tips&act=tips&tips_id=7');
        }
        $pieces = explode(',', $row['user_type']);
        break;

#脆弱的Javascript库

修复建议

升 级 JavaScript 库 到 最 新 版 本 ， 官 方 网 址 : https://jqueryui.com/download/,临时解决方案：隐藏 jQuery 版 本信息，避免被攻击者识别出版本号

---

@漏刻有时