WooYun.org

<?php
if(isset($_GET['url']) && trim($_GET['url']) != '' && isset($_GET['type'])) {
	$img_url = base64_decode($_GET['url']);
    $_GET['url']=strtolower($img_url);        //解码后相当于没有编码
    $_GET['type']=strtolower($_GET['type']);
    $arr_a=array('jpg','jpeg','png','gif');   //扩展名白名单
    $down=0;                                  //down=1时标记审计策略通过
    foreach($arr_a as $b){                    //循环审计
        if(strstr($_GET['url'],$b)){          //如果url里包含白名单jpg字符串即为审核通过，问题就出在这里，url里只要出现jpg就可以，那么xxx/xxx.jpg是合法的，但是呢，假定xxxjpg/../xxx.php会通过判定！
            $down=1;
        }
    }
    if($_GET['type']=='php') $down=0;         //完全没有用处，不是根据type判定的
    if($down==1){
        $shffix = trim($_GET['type']);        //下面没有任何限制了，直接文件读取了
        header("Content-Type: image/{$shffix}");
        readfile($img_url);
    }else{
        die('image type forbidden');
    }
} else {
	die('image not find！');
}
?>