.用友ICC网站客服系统远程代码执行漏洞EXP

admin

<?php
/**
8 Q/ ^2 c/ N; H  c4 x * uploadFlash.php
# H6 D3 C3 P" J$ M6 Z' q  E9 Y * Flash文件上传.
*/
% o5 t" R. o0 N# ?4 B  M, Q# erequire_once('../global.inc.php');

//operateId=1 上传,operateId=2 获取地址.
$operateId = intval($_REQUEST['operateId']);
if(empty($operateId)) exit;
8 V3 @' c/ b1 A* g$ e5 X
if($operateId == 1){
$date = date("Ymd");
$dest = $CONFIG->basePath."data/files/".$date."/";
$COMMON->createDir($dest);
- R3 _% w4 W5 `. ~ //if (!is_dir($dest)) mkdir($dest, 0777);
9 ^6 s, M* F$ M' O7 E) o& b5 M
) r, }) [6 q! x $nameExt = strtolower($COMMON->getFileExtName($_FILES['Filedata']['name']));

$allowedType = array('jpg', 'gif', 'bmp', 'png', 'jpeg');
: @* j2 m$ T3 ]( g) e7 }5 t* q
6 W0 R7 q: ~: A4 F% G if(!in_array($nameExt, $allowedType)){
7 _1 h/ J4 F1 u1 s  $msg = 0;
}
9 m* v& Z& Q& p* g& @ if(empty($msg)){
  $filename = getmicrotime().'.'.$nameExt;
  $file_url = urlencode($CONFIG->baseUrl.'data/files/'.$date."/".$filename);
: J* o1 [/ W9 Q0 f$ ?, R1 `0 z  
$ l. m5 q7 J4 u; L/ q, M2 b  $filename = $dest.$filename;
! l5 |! a* D+ j% d  if(empty($_FILES['Filedata']['error'])){
. {1 I) c9 ~; q0 v/ l3 L$ k& }$ Y   move_uploaded_file($_FILES['Filedata']['tmp_name'],$filename);
  }
$ V- t: w7 w* |1 |- l! I  
* I; u* ?& Y* T  v# W  if (file_exists($filename)){
( F, C- O. y% ^9 s   //$msg = 1;
. I  a$ N5 `3 ?   $msg = $file_url;
   @chmod($filename, 0444);
  }else{
   $msg = 0;
  }
* k# ^  q4 a6 [9 q }
$outMsg = "fileUrl=".$msg;
$_SESSION["eoutmsg"] = $outMsg;
5 C9 Z8 v. p* B) ^( l exit;
  {% {, p  Z  \7 m( J, x3 S$ x}else if($operateId == 2){
( W8 p1 }" E$ [' b' p' ?- N $outMsg = $_SESSION["eoutmsg"];
if(!empty($outMsg)){
; E0 j/ o  _4 v' O! Z. M7 D  session_unregister("eoutmsg");
  echo '&'.$outMsg;
  exit;
}else{
, l; v  ]0 i, T* ~; b  echo "&fileUrl=0";
  exit;
8 a7 R- A+ C9 m! M/ z }
}

function getmicrotime(){
- ^% ^! |  H- E: O: \7 Z    list($usec, $sec) = explode(" ",microtime());
    return ((float)$usec + (float)$sec);
}

: B. q8 {  ?) R8 r! L9 R?>
6 s" E: F  ]6 q# X& u