MiniBlog v1.3.13 安全性评估报告

漏洞类型：CWE-644 不当处理 HTTP 头

描述：sitemap.php 第 10 行直接信任 $_SERVER['HTTP_HOST']，该值来自客户端 HTTP 请求的 Host: 头，可被攻击者任意伪造。生成的 sitemap XML 中所有 <loc> URL 都基于此值。

$host = $_SERVER['HTTP_HOST'];
$baseUrl = $protocol . '://' . $host . rtrim(dirname($_SERVER['SCRIPT_NAME']), '/\\') . '/';

攻击方式：

• SEO 毒化：向搜索引擎提交被污染的 sitemap URL，使搜索引擎索引指向攻击者域名的 URL
• 缓存毒化：如果 sitemap.php 前方有反向代理/CDN 缓存，攻击者可注入恶意 Host 使缓存内容指向钓鱼站点
• SSRF 链式利用：如果其他内部服务消费 sitemap URL 并发起请求，可被引导至内部网络

攻击示例：

GET /sitemap.php HTTP/1.1
Host: evil.com

# 生成的 sitemap:
# <loc>http://evil.com/article.php?a=xxx</loc>

注：虽然 htmlspecialchars($loc) 在第 33 行对输出做了 XML 转义，但 $host 本身可以被设为合法域名格式，不会触发转义。

$allowedHosts = ['mrga0.com', 'www.mrga0.com'];
$host = in_array($_SERVER['HTTP_HOST'] ?? '', $allowedHosts)
    ? $_SERVER['HTTP_HOST']
    : $allowedHosts[0];

漏洞类型：CWE-732 关键资源权限配置不当

描述：.htaccess 第 7-9 行尝试禁止 documents 目录的 PHP 执行：

<Directory "documents">
  php_flag engine off
</Directory>

但存在两个严重问题：

• <Directory> 不可用于 .htaccess：Apache 官方文档明确指出 <Directory> 仅在主配置文件 (httpd.conf) 或 <VirtualHost> 上下文中有效。在 .htaccess 中使用会导致 500 Internal Server Error（取决于 Apache 版本和 AllowOverride 设置），或被静默忽略。
• php_flag 仅适用于 mod_php：如果服务器使用 PHP-FPM + FastCGI（现代部署的主流方式），php_flag 指令完全无效。
• 大小写不匹配：实际目录名为 Documents（大写 D），而 .htaccess 和 articles.php 中引用的是 documents（小写 d）。在 Linux（大小写敏感）上两者是不同路径。

影响：如果攻击者能向 Documents 目录写入 .php 文件（通过其他漏洞或共享主机越权），该文件可被直接请求执行，导致 RCE（远程代码执行）。

漏洞类型：CWE-362 竞态条件 / CWE-733 不当文件操作

描述：lib/articles.php 第 67 行写入缓存文件时未使用文件锁 (LOCK_EX)：

file_put_contents($cacheFile, json_encode($data, JSON_UNESCAPED_UNICODE | JSON_PRETTY_PRINT));

同时第 32 行的读取也无锁：

$tmp = json_decode((string) file_get_contents($cacheFile), true);

攻击场景：当 cache.json 的签名失效（如新增文章后），多个并发请求同时触发缓存重建。两个 PHP 进程同时 file_put_contents 同一文件会导致：

• 文件内容交错写入，生成损坏的 JSON
• 后续请求 json_decode 失败返回 null
• $tmp['sig'] 访问 null 导致 PHP Warning，缓存永远无法命中
• 每次请求都重新扫描目录 + 重新写入，形成性能雪崩

影响：DoS（服务不可用）— 在高并发下（如被搜索引擎爬虫密集抓取、或被 CC 攻击），系统可能因缓存反复损坏而性能骤降。

// 写入时加排他锁
file_put_contents($cacheFile, json_encode($data, JSON_UNESCAPED_UNICODE | JSON_PRETTY_PRINT), LOCK_EX);

// 读取时加共享锁
$fp = fopen($cacheFile, 'r');
flock($fp, LOCK_SH);
$tmp = json_decode(stream_get_contents($fp), true);
flock($fp, LOCK_UN);
fclose($fp);