臺北市秋季全國田徑公開賽報名系統 SQL Injection、任意檔案上傳導致RCE - HITCON ZeroDay

Vulnerability Detail Report

Vulnerability Overview

  • ZDID: ZD-2026-00889
  •  發信 Vendor: 台灣電腦網路危機處理暨協調中心(TWCERT/CC)
  • Title: 臺北市秋季全國田徑公開賽報名系統 SQL Injection、任意檔案上傳導致RCE
  • Introduction: 未驗證檔案類型，可上傳 PHP webshell

處理狀態

目前狀態

公開
Last Update : 2026/09/22
  • 新提交
  • 已審核
  • 已通報
  • 已修補
  • 已複測
  • 公開

處理歷程

  • 2026/07/01 18:31:10 : 新提交 (由 Bun_. 更新此狀態)
  • 2026/07/02 11:59:45 : 新提交 (由 Bun_. 更新此狀態)
  • 2026/07/07 13:40:18 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2026/07/23 16:31:03 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2026/07/23 16:31:03 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2026/07/23 16:31:03 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2026/08/31 03:00:22 : 公開 (由 HITCON ZeroDay 平台自動更新)
  • 2026/09/04 16:36:12 : 已修補 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2026/09/12 03:00:19 : 公開 (由 HITCON ZeroDay 平台自動更新)
  • 2026/09/17 14:47:49 : 複測申請中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2026/09/21 15:23:16 : 確認已修補 (由 Bun_. 更新此狀態)
  • 2026/09/22 03:00:17 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

  • ZDID：ZD-2026-00889
  • 通報者：Superliverbun (Bun_.)
  • 風險：嚴重
  • 類型：任意檔案上傳 (Arbitrary File Upload)

參考資料

攻擊者可上傳任意檔案至該主機，有機會經由上傳之文件取得該主機系統權限。

漏洞說明： OWASP - Unrestricted File Upload
https://www.owasp.org/index.php/Unrestricted_File_Upload

漏洞說明： CWE-434: Unrestricted Upload of File with Dangerous Type
https://cwe.mitre.org/data/definitions/434.html
(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

相關網址

https://tbc.tcctf.idv.tw/tpetf202509/score_query_adv.php
https://tbc.tcctf.idv.tw/tpetf202509/upload_entry_form.php
https://tbc.tcctf.idv.tw/tpetf202509/upload_payment_voucher.php
https://tbc.tcctf.idv.tw/tpetf202509/entry_form/
https://tbc.tcctf.idv.tw/tpetf202509/voucher/

敘述

114 年臺北市秋季全國田徑公開賽線上報名系統同時存在 SQL Injection 與任意檔案上傳導致 RCE 等多項嚴重漏洞。
一、SQL Injection（score_query_adv.php）
成績查詢功能的 POST 參數 sel_date、sel_event 未經過濾即帶入 SQL 查詢，存在注入漏洞，可驗證兩種注入皆成立，且當前使用者具備 root（DBA）權限：

  • Boolean-based blind
  • Time-based blind（MySQL SLEEP）
  • 當前使用者：root@localhost（current user is DBA: True）
  • 後端 DBMS：MySQL（MariaDB fork）／Linux Debian／Apache 2.4.67 
    sqlmap -r req100.txt -p sel_date,sel_event --batch --random-agent --is-dba --dbms=mysql

    圖片

二、任意檔案上傳導致 RCE
檔案上傳功能（upload_entry_form.php、upload_payment_voucher.php）未對上傳檔案進行充分驗證，可透過雙副檔名（如 shell.pdf.php）繞過並上傳含惡意 PHP 程式碼的 webshell，被伺服器轉存為 .php 後置於公開可存取目錄。直接以 URL 觸發即可執行任意系統指令：

https://tbc.tcctf.idv.tw/tpetf202509/voucher/211_23_179_64_1782896239_R0000.php?cmd=id;whoami

成功以 www-data 權限執行任意系統指令（RCE）。
圖片

三、目錄瀏覽導致個資外洩
上傳目錄未禁止目錄瀏覽（Directory Listing），任何人皆可直接瀏覽並下載其他報名者上傳的所有繳費憑證與報名文件：

https://tbc.tcctf.idv.tw/tpetf202509/voucher/
https://tbc.tcctf.idv.tw/tpetf202509/entry_form/

圖片

修補建議

1. 所有 SQL 查詢改用參數化查詢（Prepared Statements），勿將使用者輸入直接拼接進 SQL 語句。
2. 上傳檔案採用白名單驗證（僅允許 jpg、png、pdf 等必要格式），同時驗證副檔名、MIME type 與檔案實際內容，避免雙副檔名繞過。
3. 上傳檔案一律重新命名，並儲存於 Web Root 之外、或關閉該目錄的 PHP 執行權限。
4. 關閉上傳目錄的 Directory Listing。
5. 對上傳與下載功能加入存取控制，僅允許該報名單位本人存取自己的檔案。
6. 移除網頁應用資料庫帳號的 root／DBA／FILE 權限，遵循最小權限原則。
7. 立即清查並移除已上傳之惡意檔案，並就既有個資外洩進行通報與補救。

擷圖

留言討論

聯絡組織

 發送私人訊息
您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。
;