齐博CMS GETWEBSHELL 0day

昨天在齐博CMS官方看到发布的新补丁:

1

2

哟,说明已经被搞了嘛,然后还有个站长贴出了c.php的代码

3

解密后看到

4

密码为FENG

肯定是有黑阔在批量这个漏洞了,于是通过百度去采集了一下do/c.php这个

5

然后咱们根据这个读取一下日志分析分析

在十月一号19点5分生成的日志如下:

 

 

 

下载源程序下来审计,首先找到/do/fujsarticle.php文件

 

 

在其中require_once(dirname(__FILE__).”/global.php”);

可以看到,由于加载了global.php文件,所以前面FileName的get变量再次extract了

所以FIleName可控~

然后看到/do/jf.php

看到在fjabout里读取到的title和content都执行了

经过小伙伴们的提点,先使用fujsarticle.php对数据库配置文件data/mysql_config.php进行覆盖,然后再使用远程的数据库内的xx_fjabout内的内容生成了一句话。

漏洞利用证明如下(只写了个phpinfo)

6

修复方案:请查看此链接

[via@redrain / ztz / hellove / maple]