来源：自学PHP网 时间：2015-04-16 23:14 作者： 阅读:次
[导读] 1、首先先说前台的吧，估计很多站都开始补了。是针对phpcms 2008的，二次攻击范畴，二次解析getshell。在upload_field php中br $upload_allowext = !empty($C[ 39;upload_allowext 39;]) ? $C[ 39;u...
|
1、首先先说前台的吧，估计很多站都开始补了。是针对phpcms 2008的，二次攻击范畴，二次解析getshell。
在upload_field.php中 这里我们可以通过?C[upload_allowext]=html&C[upload_maxsize]=1024000这样的方式来覆盖上传类型，达到上传我们的利用恶意脚本，但是不能直接上传php之类的，你可以跟踪一下这个attachment类文件。但是我们可以通过上传html 在preview.php中60行处 在template.func.php中2行处
<br />
function template_compile($module, $template, $istag = 0)</p>
<p>{</p>
<p> $tplfile = TPL_ROOT.TPL_NAME.‘/’.$module.‘/’.$template.‘.html’; // 这里$template可控</p>
<p> $content = @file_get_contents($tplfile); // 触发漏洞，解析构造好的恶意文件</p>
<p> if($content === false) showmessage("$tplfile is not exists!");</p>
<p> $compiledtplfile = TPL_CACHEPATH.$module.'_'.$template.'.tpl.php';</p>
<p> $content = ($istag || substr($template, 0, 4) == 'tag_') ? '<?php function _tag_'.$module.'_'.$template.'($data, $number, $rows, $count, $page, $pages, $setting){ global $PHPCMS,$MODULE,$M,$CATEGORY,$TYPE,$AREA,$GROUP,$MODEL,$templateid,$_userid,$_username;@extract($setting);?>'.template_parse($content, 1).'<?php } ?>' : template_parse($content);</p>
<p> $strlen = file_put_contents($compiledtplfile, $content);</p>
<p> @chmod($compiledtplfile, 0777);</p>
<p> return $strlen;</p>
<p>}<br />
这是解析的地方 最终给出exp如下 2、后台低权限 getshell 很多人拿到phpcms 2008的后台苦于拿不到shell。。。苦苦琢磨琢磨啊 顾贡献一枚0day，只要后台能发个帖，你就能拿shell 他这个原理是一样的，后台上传图片的时候同样可以覆盖变量，达到getshell 原理一样，给出个exp演示 同样getshell，随意生成webshell |
自学PHP网专注网站建设学习,PHP程序学习,平面设计学习，以及操作系统学习
京ICP备14009008号-1@版权所有www.zixuephp.com
网站声明：本站所有视频，教程都由网友上传，站长收集和分享给大家学习使用，如由牵扯版权问题请联系站长邮箱904561283@qq.com
