KindEditor上传解析漏洞/列目录/内容漏洞

<?php
//要过滤的非法字符
$ArrFiltrate=array(“‘”,”;”,”union”,”select”,”delete”,”‘”,”or”,”and”,”=”);
//出错后要跳转的url,不填则默认前一页
$StrGoUrl=”";
//是否存在数组中的值
function FunStringExist($StrFiltrate,$ArrFiltrate){
foreach ($ArrFiltrate as $key=>$value){
if (eregi($value,$StrFiltrate)){
return true;
}
}
return false;
}
//合并$_POST 和 $_GET
if(function_exists(array_merge)){
$ArrPostAndGet=array_merge($HTTP_POST_VARS,$HTTP_GET_VARS);
}else{
foreach($HTTP_POST_VARS as $key=>$value){
$ArrPostAndGet[]=$value;
}
foreach($HTTP_GET_VARS as $key=>$value){
$ArrPostAndGet[]=$value;
}
}
//验证开始
foreach($ArrPostAndGet as $key=>$value){
if (FunStringExist($value,$ArrFiltrate)){
if (empty($StrGoUrl)){
echo “<script language=”javascript”>history.go(-1);</script>”;
}else{
echo “<script language=”javascript”>window.location=”".$StrGoUrl.””;</script>”;
}
exit;
}
}

$magic_quotes_gpc = get_magic_quotes_gpc();
@extract(daddslashes($_COOKIE));
@extract(daddslashes($_POST));
@extract(daddslashes($_GET));
if(!$magic_quotes_gpc) {
$_FILES = daddslashes($_FILES);
}

function daddslashes($string, $force = 0) {
if(!$GLOBALS['magic_quotes_gpc'] || $force) {
if(is_array($string)) {
foreach($string as $key => $val) {
$string[$key] = daddslashes($val, $force);
}
} else {
$string = addslashes($string);
}
}
return $string;
}

<?php
$field = explode(',', $data);
array_walk($field, array($this, 'add_special_char'));
$data = implode(',', $field);
/**
 * 对字段两边加反引号，以保证数据库安全
 * @param $value 数组值
 */
public function add_special_char(&$value) {
 if('*' == $value || false !== strpos($value, '(') || false !== strpos($value, '.') || false !== strpos ( $value, '`')) {
  //不处理包含* 或者 使用了sql方法。
 } else {
  $value = '`'.trim($value).'`';
 }
 return $value;
}
function str_filter($str) {
 $str = htmlspecialchars ( $str );
 if (! get_magic_quotes_gpc ()) {
  $str = addslashes ( $str );
 }
 //过滤危险字符
 return preg_replace ( "/["'=]|(and)|(or)|(create)|(update)|(alter)|(delete)|(insert)|(load_file)|(outfile)|(count)|(%20)|(char)/i", "", $str );
}
/*
函数名称：str_check()
函数作用：对提交的字符串进行过滤
参　　数：$var: 要处理的字符串
返 回 值：返回过滤后的字符串
*/
function str_check($str) {
 if (! get_magic_quotes_gpc ()) { // 判断magic_quotes_gpc是否打开
  $str = addslashes ( $str ); // 进行过滤
 }
 $str = str_replace ( "_", "_", $str ); // 把 '_'过滤掉
 $str = str_replace ( "%", "%", $str ); // 把 '%'过滤掉
 return $str;
}

/*
函数名称：post_check()
函数作用：对提交的编辑内容进行处理
参　　数：$post: 要提交的内容
返 回 值：$post: 返回过滤后的内容
*/
function post_check($post) {
 if (! get_magic_quotes_gpc ()) { // 判断magic_quotes_gpc是否为打开
  $post = addslashes ( $post ); // 进行magic_quotes_gpc没有打开的情况对提交数据的过滤
 }
 $post = str_replace ( "_", "_", $post ); // 把 '_'过滤掉
 $post = str_replace ( "%", "%", $post ); // 把 '%'过滤掉
 $post = nl2br ( $post ); // 回车转换
 $post = htmlspecialchars ( $post ); // html标记转换
 return $post;
}
/*
函数名称：inject_check()
函数作用：检测提交的值是不是含有SQL注射的字符，防止注射，保护服务器安全
参　　数：$sql_str: 提交的变量
返 回 值：返回检测结果，ture or false
*/
function inject_check($sql_str) {
 return eregi('select|insert|and|or|update|delete|'|/*|*|../|./|union|into|load_file|outfile', $sql_str);     // 进行过滤
}

/*
函数名称：verify_id()
函数作用：校验提交的ID类值是否合法
参　　数：$id: 提交的ID值
返 回 值：返回处理后的ID
*/
function verify_id($id=null) {
 if (!$id) { exit('没有提交参数！'); }     // 是否为空判断
 elseif (inject_check($id)) { exit('提交的参数非法！'); }     // 注射判断
 elseif (!is_numeric($id)) { exit('提交的参数非法！'); }     // 数字判断
 $id = intval($id);     // 整型化

 return   $id;
}

// $rptype = 0 表示仅替换 html标记
// $rptype = 1 表示替换 html标记同时去除连续空白字符
// $rptype = 2 表示替换 html标记同时去除所有空白字符
// $rptype = -1 表示仅替换 html危险的标记
function HtmlReplace($str, $rptype = 0) {
 $str = stripslashes ( $str );
 if ($rptype == 0) {
  $str = htmlspecialchars ( $str );
 } else if ($rptype == 1) {
  $str = htmlspecialchars ( $str );
  $str = str_replace ( "　", ' ', $str );
  $str = ereg_replace ( "[rnt ]{1,}", ' ', $str );
 } else if ($rptype == 2) {
  $str = htmlspecialchars ( $str );
  $str = str_replace ( "　", '', $str );
  $str = ereg_replace ( "[rnt ]", '', $str );
 } else {
  $str = ereg_replace ( "[rnt ]{1,}", ' ', $str );
  $str = eregi_replace ( 'script', 'ｓｃｒｉｐｔ', $str );
  $str = eregi_replace ( "<[/]{0,1}(link|meta|ifr|fra)[^>]*>", '', $str );
 }
 return addslashes ( $str );
}
//递归ddslashes
function daddslashes($string, $force = 0, $strip = FALSE) {
 if (! get_magic_quotes_gpc () || $force) {
  if (is_array ( $string )) {
   foreach ( $string as $key => $val ) {
    $string [$key] = daddslashes ( $val, $force );
   }
  } else {
   $string = addslashes ( $strip ? stripslashes ( $string ) : $string );
  }
 }
 return $string;
}

//递归stripslashes
function dstripslashes($string) {
 if (is_array ( $string )) {
  foreach ( $string as $key => $val ) {
   $string [$key] = $this->dstripslashes ( $val );
  }
 } else {
  $string = stripslashes ( $string );
 }
 return $string;
}
/**
 * 安全过滤函数
 * @param $string 要过滤的字符串
 * @return string 返回处理过的字符串
 */
function safe_replace($string) {
 $string = str_replace('%20','',$string);
 $string = str_replace('%27','',$string);
 $string = str_replace('%2527','',$string);
 $string = str_replace('*','',$string);
 $string = str_replace('"','&quot;',$string);
 $string = str_replace("'",'',$string);
 $string = str_replace('"','',$string);
 $string = str_replace(';','',$string);
 $string = str_replace('<','&lt;',$string);
 $string = str_replace('>','&gt;',$string);
 $string = str_replace("{",'',$string);
 $string = str_replace('}','',$string);
 return $string;
}

/**
 * 使用htmlspecialchars处理字符串或数组
 * @param $obj 需要处理的字符串或数组
 * @return mixed 返回经htmlspecialchars处理过的字符串或数组
 */
function new_htmlspecialchars($string) {
 if(!is_array($string))
 return htmlspecialchars($string);
 foreach($string as $key => $val)
 $string[$key] = new_htmlspecialchars($val);
 return $string;
}

//处理禁用HTML但允许换行的内容
function TrimMsg($msg) {
 $msg = trim ( stripslashes ( $msg ) );
 $msg = nl2br ( htmlspecialchars ( $msg ) );
 $msg = str_replace ( "  ", "&nbsp;&nbsp;", $msg );
 return addslashes ( $msg );
}

$width=145;
$height = 45;
        
$authcode = vcaptcha_read_code('words.txt') ;
        
$bg = 'bg/captcha_bg3.jpg';
        
$img_type   = 'png';
        
/* 验证码长度 */
$letters = strlen($authcode);
        
$img_bg    = (function_exists('imagecreatefromjpeg') && ((imagetypes() & IMG_JPG) > 0)) ?
                imagecreatefromjpeg($bg) : imagecreatefromgif($bg);
$bg_width  = imagesx($img_bg);
$bg_height = imagesy($img_bg);
        
$img_org   = ((function_exists('imagecreatetruecolor')) && PHP_VERSION >= '4.3') ?
              imagecreatetruecolor($width, $height) : imagecreate($width, $height);
        
/* 将背景图象复制原始图象并调整大小 */
if (function_exists('imagecopyresampled') && PHP_VERSION >= '4.3') // GD 2.x
{
    imagecopyresampled($img_org, $img_bg, 0, 0, 0, 0, $width, $height, $bg_width, $bg_height);
}
else // GD 1.x
{
    imagecopyresized($img_org, $img_bg, 0, 0, 0, 0, $width, $height, $bg_width, $bg_height);
}
imagedestroy($img_bg);
        
$clr = imagecolorallocate($img_org, 255, 255, 255);
        
/* 绘制边框 */
imagerectangle($img_org, 0, 0, $width - 1, $height - 1, $clr);
        
/* 获得验证码的高度和宽度 */
$x = ($width - (imagefontwidth(5) * $letters)) / 2;
$y = ($height - imagefontheight(5)) / 2;
imagestring($img_org, 5, $x, $y, $authcode, $clr);
        
header('Expires: Thu, 01 Jan 1970 00:00:00 GMT');
        
// HTTP/1.1
header('Cache-Control: private, no-store, no-cache, must-revalidate');
header('Cache-Control: post-check=0, pre-check=0, max-age=0', false);
        
// HTTP/1.0
header('Pragma: no-cache');
if ($img_type == 'jpeg' && function_exists('imagecreatefromjpeg'))
{
    header('Content-type: image/jpeg');
    imageinterlace($img_org, 1);
    imagejpeg($img_org, false, 95);
}
else
{
    header('Content-type: image/png');
    imagepng($img_org);
}
        
imagedestroy($img_org);
        
function vcaptcha_read_code($wordlist_file)
{
    $fp = @fopen($wordlist_file, 'rb');
    if (!$fp) return false;
        
    $fsize = filesize($wordlist_file);
    if ($fsize < 32) return false; // too small of a list to be effective
        
    if ($fsize < 128) {
        $max = $fsize; // still pretty small but changes the range of seeking
    } else {
        $max = 128;
    }
        
    fseek($fp, rand(0, $fsize - $max), SEEK_SET);
    $data = fread($fp, 128); // read a random 128 bytes from file
    fclose($fp);
    $data = preg_replace("/r?n/", "n", $data);
        
    $start = strpos($data, "n", rand(0, 100)) + 1; // random start position
    $end   = strpos($data, "n", $start);           // find end of word
        
    return strtolower(substr($data, $start, $end - $start)); // return substring in 128 bytes
}

<img id="captcha_img" title="PHP脚本生成单词验证码" alt="PHP脚本生成单词验证码" " width=100% src="http://www.111cn.net" onClick="clickImg()"/>

将这段代码复制到HTML里，就可以了。还有这个的getCode函数是为了让用户看不清验证码，点击可以切换，JavaScript脚本如下:

<script type="text/javascript">
function clickImg()
{
  var imgCode ="http://www.111cn.net/ "+Math.random();
  document.getElementById("captcha_img").setAttribute('src',imgCode);
}
</script>

<?php
/**
 * 防注入
 *
 * "<br><br>操作IP: ".$_SERVER["REMOTE_ADDR"]."<br>操作时间: ".strftime("%Y-%m-%d %H:%M:%S")."<br>操作页面:".$_SERVER["PHP_SELF"]."<br>提交方式: ".$_SERVER["REQUEST_METHOD"]."<br>提交参数: ".$StrFiltKey."<br>提交数据: ".$StrFiltValue);
 */

function safe_custom_error($errno, $errstr, $errfile, $errline) {
 echo "<b>Error number:</b> [$errno],error on line $errline in $errfile<br />";
 die();
}

set_error_handler("safe_custom_error", E_ERROR);

function safe_stop_attack($k, $v, $method=0) {
 $filter = array(
  "'|(and|or).+?(>|<|=|in|like)|/*.+?*/|<s*script|EXEC|UNION.+?SELECT|UPDATE.+?SET|INSERTs+INTO.+?VALUES|(SELECT|DELETE).+?FROM|(CREATE|ALTER|DROP|TRUNCATE)s+(TABLE|DATABASE)",//get
  "(and|or).{1,6}?(=|>|<|in|like)|/*.+?*/|<s*script|EXEC|UNION.+?SELECT|UPDATE.+?SET|INSERTs+INTO.+?VALUES|(SELECT|DELETE).+?FROM|(CREATE|ALTER|DROP|TRUNCATE)s+(TABLE|DATABASE)"//post, cookie
 );

 $filter = isset($filter[$method]) ? $filter[$method] : $filter[0];
 
 if(is_array($v)) {
  $v = implode($v);
 }
 if (preg_match("/" . $filter . "/is", $v) == 1) {
        exit("本次操作已记录。请不要继续非法操作。");
 }
}

if (isset($_GET)) {
 foreach($_GET as $k => $v) safe_stop_attack($k, $v, 0);
}
if (isset($_POST)) {
 foreach($_POST as $k => $v) safe_stop_attack($k, $v, 1);
}
if (isset($_COOKIE)) {
 foreach($_COOKIE as $k => $v) safe_stop_attack($k, $v, 1);
}

<?php
/* 过滤所有GET过来变量 */
foreach ($_GET as $get_key=>$get_var)
{
if (is_numeric($get_var)) {
$get[strtolower($get_key)] = get_int($get_var);
} else {
$get[strtolower($get_key)] = get_str($get_var);
}
}
/* 过滤所有POST过来的变量 */
foreach ($_POST as $post_key=>$post_var)
{
 if (is_numeric($post_var))
 {
  $post[strtolower($post_key)] = get_int($post_var);
 }
 else
 {
  $post[strtolower($post_key)] = get_str($post_var);
 }
}
/* 过滤函数 */
//整型过滤函数
function get_int($number)
{
 return intval($number);
}
//字符串型过滤函数
function get_str($string)
{
 if (!get_magic_quotes_gpc())
 {
  return addslashes($string);
 }
 return $string;
}
?>