一个 ZIP 文件，把 webshell 写到了不该在的地方

你是否担心上传的文件会悄悄变成后门？ 在实际项目里很多人只顾功能实现。忽视了最基本的方法校验，结果导致程序被轻易攻破。

Mautic 是个开源的营销自动化网站，公司里用得很广。它有个 Campaign Import 功能——你把营销活动数据打包成 ZIP 传上去，它帮你解压、导入。

很正常的业务功能。但 CVE‑2024‑xxxx 让这个功能变成了 webshell 投放器。怎么说呢，

一句话概括漏洞原理

常见场景下的同类坑

前端里差不多坑你一定见过：

• 使用者上传头像。文件名是 ../../../etc/passwd后端没过滤，直接拼方法保存——完蛋。
• 路由拼接 path.joinuserInput 含有 ../直接跳出应用目录。

方法穿越这事已经存在二十年，但每次换一个场景——解压、上传、路由——还是有人中招。Mautic 这次就栽在了解压场景。

最容易理解的错误代码示例

// 一个前端开发者都能一眼看出问题的代码:
const extractDir = '/var/www/mautic/imports/';zip.forEach(entry => {
const targetPath = extractDir + entry.name;其实，// entry.name = '../../../web/root/shell.php'
// targetPath = '/var/www/mautic/imports/../../../web/root/shell.php'
// 规范化后 = '/var/www/mautic/web/root/shell.php'
fs.writeFileSync;// webshell 就位
});

攻击者只需要构造这样一个 ZIP 包

malicious_campaign.zip
├── campaign.json ← 正常内容。骗过格式校验
└── ../../../web/root/shell.php ← 穿越方法，内容是一句话木马

攻击步骤这方面，

1. 使用普通账号上传恶意 ZIP；
2. Mautic 解压并把 sheel.php 写入 Web 根目录；
3. 访问 即可获得服务器权限。

为何难以发现？——日志与监控盲点

Mautic 的 UI 会显示「导入成功」且没有报错。唯一异常发生在文件程序层面而大多数监控只关注 Web 应用日志、数据库变化，却忽略了「解压目录外」的新文件写入。这正是攻击者利用的隐蔽点。

User Pain Point：普通使用者也能触发漏洞！怎么说呢，

Pain Point 1：权限误判 - 公司往往默认让普通营销人员拥有创建 Campaign Import 的权限。却忘记这是一条可执行代码的入口。

Pain Point 2：缺乏文件完整性监控 - 没有实时监控 Web 根目录新增 PHP 文件，你根本不知道后门已经落地。

Pain Point 3：升级成本高 - 部分公司受限于内部流程无法立刻升级到修复版，只能靠临时措施防御。

CVE 修复思路

原则只有一句："解压之前先看方法。解压之后确认文件落在应在的目录里"

1. 入口校验：对每个 ZIP 条目的文件名做规范化（realpath/#canonicalize)，拒绝包含 "../","..\\",或绝对方法的条目；
2. 写入校验：解压后 检查最终写入方法是否以目标根目录为前缀，如果不是则抛异常并删除已写入文件；
3. #安全默认：Mautic 将解压过程限制在专用沙箱目录，仅在确认安全后再移动到正式位置。

If you can't upgrade now – 临时自救措施 🚨

• a. 隔离解压目录： 把所有导入操作指向一个仅可读不可执行的临时目录（如 /tmp/mautic_import_sandbox/...)，防止直接写到 Web 根目录；
• b. 前置方法白名单： 在接受 ZIP 前遍历每个条目。一旦发现 "../","..\\ ",或以斜杠开头的名称立即拒绝并返回错误给使用者；
• C. 最小权限运行： 确保运行 Mautic 的程序使用者只能写入预设子目录，不要授予其对整个站点根目录的写权限；
• D. 实时监控 & 文件完整性检测： 部署如

再看示例，安全解压实现

// 正确且易懂的解压逻辑
const path = require;const fs = require;const baseDir= path.resolve;zip.forEach(entry => {
const resolvedPath = path.resolve;if ) {
throw new Error;}
fs.writeFileSync;})，

本地复现步骤 🎯

1. Mautic 环境准备：
• AWS / Docker / 本地 VM 任意方式部署 Mautic；确保有账号具备 CAMPAGIN_IMPORT_CREATE

2. Create malicious ZIP ：

import zipfile
with zipfile.ZipFile as z:
# 正常文件，骗过格式校验
z.writestr
# 穿越方法
z.writestr;，>')
print

3. The attack flow:

• A) 使用拥有 import 权限的账号登录 Mautic 并上传上述 ZIP；
• B) 程序提示「导入成功」但实际已在 Web 根目录生成 sheel.php ;
• C) 在浏览器访问  即可看到服务器返回结果，即复现成功。其实，

影响范围 & 修复信息 📌

影响版本：Mautic 所有包含 Campaign Import 功能且未进行方法校验的版本。

官方修复：Mautic 在  中加入了上述两步校验，并将解压过程迁移至隔离沙箱。

主要 Takeaway — 防止类似坑 出现 🔐

• #输入永远不可信： 无论是上传、ZIP 解压还是 URL 参数。都必须进行白名单或正则过滤，并使用程序级函数进行归一化处理；
• #最小特权原则： 让服务进程只能写入明确授权的位置，一旦出现意外写操作即可被程序阻断；
• #实时监控 + 完整性审计： 部署 FIM 对 Web 根目录关键 名 做变更告警；
• #安全审计贯穿 CI/CD 流程： 在代码审查阶段即捕获 “path.join” 类潜在风险，实现“防患于未然”。