phpcms漏洞姿势

作者：J0o1ey
原文来自：论如何优雅地拿下PHPCMS

一、PHPCMS简介

PHP是国内领先的网站内容管理系统，同时也是一个开源的PHP开发框架，采用PHP5+MYSQL进行开发，拥有非常庞大的用户量。 百度百科介绍其优点主要如下：

• ①功能强大

• ②模块化，开源，可扩展功能强大灵活

• ③支持自定义模型和字段负载能力强，支持千万级数据模板制作方便

• ④支持中文标签和万能标签进行数据调用拥有门户级的碎片功能

• ⑤融入了人性化体验

• ⑥加强了安全机制

  前五条我们无可厚非，因为PHPCMS的开发团队确实比较专业和优秀，但是就算他真的安全机制优秀，难道我们就拿他没办法了嘛？作为一名小学生，自然是不服，让我们今天来盘点一下PHPCMS v9这些年爆出来的常见漏洞~(鸡肋一些的漏洞在此就不介绍了，主要介绍一些比较凶残的)

二、PHPCMS V9本地文件包含漏洞

漏洞出现在如下文件:phpcms/modules/search/index.php
代码如下：

本处大家会发现在使用file_get_contents函数时没有过滤get方式得到的m参数
因此可以构造payload如下

www.xxx.com/m=search&a=public_get_suggest_keyword&q=../../phpsso_server/caches/configs/database.php

如果存在漏洞即可成功读取到phpcms的数据库配置文件，如图

三、phpcms V9 sql备份文件名爆破

参考文章:phpcms V9 sql备份文件名爆破

payload：/api.php?op=creatimg&txt=mochazz&font=/../../../../caches/bakup/default/gv5dmx<<.sql

我们知道windows的FindFirstFile（API)有个特性就是可以把<<当成通配符来用
而PHP的opendir(win32readdir.c)就使用了该API。PHP的文件操作函数均调用了opendir,所以file_exists也有此特性。

这个漏洞和前一阵子dedecms后台爆破如出一辙，api.php文件的$