CVE-2018-7600 Drupal 远程代码执行漏洞分析复现
文章目录
漏洞描述
Drupal是使用PHP语言编写的开源内容管理框架(CMF),它由内容管理系统(CMS)和PHP开发框架(Framework)共同构成 该漏洞的产生的根本原因在于Drupal对表单的渲染上,攻击者可以利用该漏洞攻击Drupal系统的网站,执行恶意代码,最后完全控制被攻击的网站
影响版本
Drupal 6.x
Drupal 7.x
Drupal 8.x
环境搭建
使用vulhub镜像环境docker-compose up -d
成功开启,这里的环境是Drupal 8.5 的
选择简体中文安装
继续,数据库配置的时候没有mysql可以选择sqLlite
然后等待安装
然后随便设置
等待配置完成
搭建完成
漏洞复现
然后直接上脚本,或者网上其他的poc,可以看到可以进行命令执行,也可以反弹shell
参考:https://blog.csdn.net/qq_43622442/article/details/105689178
详细的漏洞点网上也有,太菜了这里不分析了,还在学习中
关闭环境
docker-compose down