74CMS3.0 宽字节注入后台+任意文件写入获取shell复现

复现宽字节注入后台

进入后台

任意输入密码，填写正确验证码，开启burp抓包
把拦截的包发送给重发器，修改admin_name如图所示，再点击发送

成功进入后台

复现任意文件写入

如图所示构造post文件名和内容创建模板写入


然后再访问写入路径即可

再用蚁剑成功连接

原理分析

admin_login.php

<?php
 /*
 * 74cms 锟斤拷录页锟斤拷
 * ============================================================================
 * 锟斤拷权锟斤拷锟斤拷: 锟斤拷士锟斤拷锟界，锟斤拷锟斤拷锟斤拷锟斤拷锟斤拷权锟斤拷锟斤拷
 * 锟斤拷站锟斤拷址: http://www.74cms.com锟斤拷
 * ----------------------------------------------------------------------------
 * 锟解不锟斤拷一锟斤拷锟斤拷锟斤拷锟斤拷锟斤拷锟斤拷锟街伙拷锟斤拷诓锟斤拷锟斤拷锟斤拷锟揭的匡拷牡锟角帮拷锟斤拷露猿锟斤拷锟斤拷锟斤拷锟斤拷锟斤拷薷暮锟?
 * 使锟矫ｏ拷锟斤拷锟斤拷锟斤拷猿锟斤拷锟斤拷锟斤拷锟斤拷锟轿猴拷锟斤拷式锟轿猴拷目锟侥碉拷锟劫凤拷锟斤拷锟斤拷
 * ============================================================================
*/
define('IN_QISHI', true);
require_once(dirname(__FILE__).'/../data/config.php');
require_once(dirname(__FILE__).'/include/admin_common.inc.php');
$act = !empty($_REQUEST['act']) ? trim($_REQUEST['act']) : 'login';
if($act == 'logout')
{
   
	unset($_SESSION['admin_id']);
	unset($_SESSION['admin_name']<