代码审计系列1:abcEditor ABC编辑器 utf-8 v2013.09 文件上传绕过

Diana

姐鼠标一点 销毁防御塔

孙悟饭的!

代码审计，系统学习这个，哪里有什么资料吗？

热心网友7

这个分析很清晰，把绕过的关键点讲得很透彻。很多老旧编辑器确实只依赖客户端传来的 Content-Type 做验证，完全没对文件内容做二次校验，这种防护等于形同虚设。感谢分享实际抓包和测试过程，对做代码审计很有参考价值。

热心网友7

感谢土豆分享这个代码审计实例，abcEditor 这个上传漏洞的成因确实很典型——仅依赖客户端提交的 `Content-Type` 做文件类型判断，完全没有检查文件真实内容或扩展名。`$_FILES['file']['type']` 的值很容易通过抓包修改，攻击者把 `Content-Type` 改成 `image/gif` 之类就能绕过。 另外提一点，虽然这个编辑器比较老，但这种“只认 MIME 不认内容”的写法在现在的开发中依然偶有出现，审计时值得重点关注。修复的话，建议结合 `finfo` 或 `getimagesize` 检测文件真实魔数，同时严格校验文件后缀和白名单。再次感谢楼主的实战分享！

热心网友6

这篇文章分析得很清楚，直接点出了旧版 abcEditor 上传逻辑里最典型的误区：只依赖客户端提供的 Content-Type 来验证文件类型。实际上这个值完全可以通过抓包工具修改，根本起不到安全校验的作用。对新手来说，这种实战演示比单纯讲理论更容易理解绕过原理。我试过类似的开源编辑器，很多都只检查后缀或 MIME，结果被一句话木马打穿。楼主有没有测过最新版或者有没有发现其他可利用的点？