### 简要描述：
TCCMS 8.0 BBS版（目前官网最新）后台一处设计不当可GETSHELL
### 详细说明：
/app/admin/tempalate.class.php line:79
```
public function Save() {
$msgObj = new Msg();
$path = ROOT_PATH . "/templates/" . Config::get("t_dir");
$fullPath = $path . "/" . $_POST["name"];
//居然直接从POST里面取得文件名，虽然前台没有改文件名的地方，但是只要提供一个有效的post name 就可以上传任意文件了
$handle = fopen($fullPath,"w+");
$teamplateStr = StringUtil::teamplate_in(stripslashes($_POST["file_content"]));
fwrite($handle,$teamplateStr);
fclose($handle);
$msgObj->addMsg('success', Config::lang("TEAMPLATEMODIFYSUCCESS"));
StringUtil::goback();
}
```
进入 网站管理-模板管理
[<img src="https://images.seebug.org/upload/201402/131433023ad18c52fd78beffc37115bdba99b8bb.png" alt="00001.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201402/131433023ad18c52fd78beffc37115bdba99b8bb.png)
随便点开一个模板（例子中是about.html）
[<img src="https://images.seebug.org/upload/201402/13143348ce86d09b6344b459a0b11599fa934517.png" alt="00002.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201402/13143348ce86d09b6344b459a0b11599fa934517.png)
抓包点保存
[<img src="https://images.seebug.org/upload/201402/13143427f6cc401320b4ba2d534d68c3de62a1ea.png" alt="00003.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201402/13143427f6cc401320b4ba2d534d68c3de62a1ea.png)
通过修改POST中的文件名上传php木马
木马为about.php，就在原来html文件夹里面
[<img src="https://images.seebug.org/upload/201402/13143503bb813db3c328de14ab4eb0ce3891ff68.png" alt="00004.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201402/13143503bb813db3c328de14ab4eb0ce3891ff68.png)
执行木马，echo 'hi'
[<img src="https://images.seebug.org/upload/201402/13143544a1aec00219b096344f44f24d04d8ad72.png" alt="00005.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201402/13143544a1aec00219b096344f44f24d04d8ad72.png)
### 漏洞证明：
进入 网站管理-模板管理
[<img src="https://images.seebug.org/upload/201402/131433023ad18c52fd78beffc37115bdba99b8bb.png" alt="00001.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201402/131433023ad18c52fd78beffc37115bdba99b8bb.png)
随便点开一个模板（例子中是about.html）
[<img src="https://images.seebug.org/upload/201402/13143348ce86d09b6344b459a0b11599fa934517.png" alt="00002.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201402/13143348ce86d09b6344b459a0b11599fa934517.png)
抓包点保存
[<img src="https://images.seebug.org/upload/201402/13143427f6cc401320b4ba2d534d68c3de62a1ea.png" alt="00003.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201402/13143427f6cc401320b4ba2d534d68c3de62a1ea.png)
通过修改POST中的文件名上传php木马
木马为about.php，就在原来html文件夹里面
[<img src="https://images.seebug.org/upload/201402/13143503bb813db3c328de14ab4eb0ce3891ff68.png" alt="00004.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201402/13143503bb813db3c328de14ab4eb0ce3891ff68.png)
执行木马，echo 'hi'
[<img src="https://images.seebug.org/upload/201402/13143544a1aec00219b096344f44f24d04d8ad72.png" alt="00005.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201402/13143544a1aec00219b096344f44f24d04d8ad72.png)
京公网安备 11010502034610号
暂无评论