php后台提权,基于ThinkPHP的2个CMS后台GetShell利用

* 本文作者：Mochazz，本文属FreeBuf原创奖励计划，未经许可禁止转载文章作者:Mochazz

思路作者:szrzvdny

0x00 前言

ThinkPHP是为了简化企业级应用开发和敏捷WEB应用开发而诞生的，由于其简单易用，很多cms都基于该框架改写。然而 Thinkphp在缓存使用却存在缺陷，生成缓存时，Thinkphp会将数据序列化存进一个php文件，这就产生了很大的安全问题。

0x01 环境搭建

工具

搭建

安装好phpstudy，把jymusic目录下的所有文件及文件夹拷贝到phpstudy的www目录下，浏览器访问http://localhost/install.php，然后配置一下数据库信息即可。

另外xyhcms安装类似，这里不赘述。

0x02本地后台getshell

Jymusic cms

先看一下管理员登录页面的源代码，看到核心入口为ThinkPHP.php，找到并打开查看

发现应用缓存目录为Temp文件夹

打开Temp文件夹会发现有很多缓存文件，我们随便打开即可看看，可以发现里面的内容有点像网站配置信息，只不过是序列化后的结果

所以我们在后台的网站设置处插入一句话，就会被ThinkPHP写入缓存文件。而且这个缓存文件的文件名都是固定不变的，这也是导致getshell的原因。

成功插入后，我们来执行一下phpinfo()函数看看，菜刀也能成功连接

xyhcms

xyhcms和Jymusic cms一样使用了ThinkPHP框架，这里不赘述，直接给出缓存文件的位置

xyhcms其实还有一个漏洞，在模板管理处可以添加一个php后缀的模板，文件内容也未做任何检测过滤。下面是成功getshell过程

0x03总结

其实现在很多小型网站都是基于ThinkPHP框架开发的，很多都存在这种问题。当你找不到上传点的时候，可以试试这种方法。当然，肯定有人会说，这个要后台登录才能利用，你只是在本地复现，都没实战过，说个锤子。其实，我还真的实战过，只是不方便贴图，使用弱口令做密码还是挺多的，所以锤子未必不可用。还有，有的网站，虽然说你用很简单的方法getshell，但是其实可以研究的东西还有很多，比如你getshell之后发现权限不够，那就可以试试提权，例如用udf提权、使用mysql远程连接结合sqlmap提权等等，虽然有些方法很早就有了，但是并不是每个人都会，而且一些老的思路还有可能启发你新的思考，继续加油吧！

参考文章：

* 本文作者：Mochazz，本文属FreeBuf原创奖励计划，未经许可禁止转载

php后台提权,基于ThinkPHP的2个CMS后台GetShell利用相关推荐

操作系统权限提升(十五)之绕过UAC提权-基于白名单DLL劫持绕过UAC提权
系列文章操作系统权限提升(十二)之绕过UAC提权-Windows UAC概述操作系统权限提升(十三)之绕过UAC提权-MSF和CS绕过UAC提权操作系统权限提升(十四)之绕过UAC提权-基于白名 ...
基于ThinkPHP框架的简单的后台管理系统
基于ThinkPHP框架的简单的后台管理系统一个简单的后台管理系统,可能还不全面,可以自己改,有登录功能实例如图:
基于ThinkPHP+Element的低代码后台开发框架，开箱即用无需配置
========================================================= 开发文档社区地址官网地址演示地址立即下载 ========= ...
php7cms框架,GitHub - itsky71/itskycms: 基于ThinkPHP框架的一个CMS系统
ITskyCMS简介 ITskyCMS 是一款完全开源免费的PHP+MYSQL系统.核心采用了Thinkphp框架,同时也作为开源软件发布.集众多开源项目于一身的特点,使本系统从安全,效率,易用及可扩 ...
基于thinkphp的几个cms框架
齐博X1 齐博CMS之X1:发布于2018.5.18日.齐博X1是齐博软件基于thinkphp5开发的内容管理系统,拓展性非常强,后台一键升级,后台提供丰富的频道模块云市插件市场.风格市场.钩子市场, ...
小程序直播房间列表读取php,微信小程序直播管理 - 实时同步微信管理后台的直播数据，本地储存与管理直播信息 – 基于ThinkPHP和Bootstrap的极速后台开发框架...
此插件是一款基于FastAdmin+ThinkPHP开发的微信小程序直播管理插件,可在后台管理直播房间.素材管理和商品管理. 功能特性 1,同步直播房间列表 2,创建直播间 3,商品添加并提审 4,撤 ...
队列开源 php,消息队列 - 基于think-queue消息队列 – 基于ThinkPHP和Bootstrap的极速后台开发框架...
安装本插件依赖thinkphp官方提供的think-queue队列,安装:composer require topthink/think-queue 安装后在application/extra下将产 ...
php开发报名活动后台,活动报名小程序 - 微信小程版的活动在线报名，支持付费活动发布！ – 基于ThinkPHP和Bootstrap的极速后台开发框架...
活动报名小程序是一款基于FastAdmin和ThinkPHP开发的活动报名小程序应用插件,通过PC后端可在线发布活动信息:可设置活动费用,活动时间,人数限制等等信息,同时还可以多模板颜色自定义等功能. ...
企业微信接收服务器php代码,企业微信通知机器人 - 利用ThinkPHP+企业微信随时随地接受业务提醒、日报表等，个人亦可接入 – 基于ThinkPHP和Bootstrap的快速后台开发框架...
此插件基于FastAdmin+企业微信机器人进行二次开发,用于管理员.开发者等接受实时.免费的通知服务,配置简单,个人亦可接入zrOiJ4E2dpaDH/3I+1YljA== 功能特性一行代码即可向您 ...

php后台提权,基于ThinkPHP的2个CMS后台GetShell利用

php后台提权,基于ThinkPHP的2个CMS后台GetShell利用相关推荐

最新文章

热门文章