phpshe后台任意文件删除(后台无限制拿shell)

90_

90sec@Joseph

[PHP] 纯文本查看 复制代码

case 'del':
        pe_token_match();
        $tpl_name = pe_dbhold($_g_tpl);
        if ($tpl_name == 'default') pe_error('默认模板不能删除...');
        if ($db->pe_num('setting', array('setting_key'=>'web_tpl', 'setting_value'=>$tpl_name))) {
                pe_error('模板正在使用中...');
        }
        else {
                pe_dirdel("{$pe['path_root']}template/{$tpl_name}");
                pe_success('模板删除成功!');
        }
break;

首先一个token防止csrf然后一个定义tpl_name的名字最后载入自定义的一个过滤函数

[PHP] 纯文本查看 复制代码

function pe_dbhold($str, $exc=array())
{
        if (is_array($str)) {
                foreach($str as $k => $v) {
                        $str[$k] = in_array($k, $exc) ? pe_dbhold($v, 'all') : pe_dbhold($v);
                }
        }
        else {
                $str = $exc == 'all' ? mysql_real_escape_string($str) : mysql_real_escape_string(htmlspecialchars($str));
        }
        return $str;
}

看的出来是针对sql过滤的并未针对像跳目录等进行过滤或者处理，然后返回又进入了一个自定义的删除函数

[PHP] 纯文本查看 复制代码

function pe_dirdel($dir_path)
{
        if (is_file($dir_path)) {
                unlink($dir_path);
        }
        else {
                $dir_arr = glob(trim($dir_path).'/*');
                if (is_array($dir_arr)) {
                        foreach ($dir_arr as $k => $v) {
                                pe_dirdel($v, $type);
                        }        
                }
                @rmdir($dir_path);
        }
}

懂php代码的都看的出来就是一个判断路径存在和文件夹或者文件存在的一个简单函数对我们的利用没有任何危害
demo测试


新建了一个90.txt


直接跳目录后面跟文件名


看的出来直接删除

第一个拿shell 自然就是咱们说的删除instak.ock 重装,不过太过于危险。我这里有官网权限 我这里直接给大家一个方法

游客，如果您要查看本帖隐藏内容请回复

密码:loveme

一切都源自于看着收费的源码又不想花钱

官网漏洞我已经补,希望大家别去危害。

另外还有二次注入的利用点。这里就不多说了

夜尽天明

好久不来看看了，，嗯

admia

最新的吗

Greep

学习一下0.0

青青子衿、

看看

m7lrv

这个吊炸天。。。

blackfish

下载源码本地测试下

blackfish

原来要登录阿.

夏殇

来学习下

yhy

楼主自己能看懂吗