当前位置: article > 正文

phpcms上传导致getshell详解及案例

作者：盐析白兔 | 2024-03-16 02:02:36

踩

一、环境

这里我根据大佬的文章将环境复原

phpcms上传导致getshell详解及案例 | 离别歌

回忆phpcms头像上传漏洞以及后续影响 | 离别歌

二、代码：

php：


<?php
header("Content-Type:text/html; charset=utf-8");
require_once('pclzip.lib.php');
 
$file = $_FILES['file'];
if (!$file) {
    exit("请勿上传空文件");
}
$name = $file['name'];
$dir = 'upload/';
$ext = strtolower(substr(strrchr($name, '.'), 1));
 
//递归删除  zip  1   web.php
function check_dir($dir)
{
    $handle = opendir($dir);
    while (($f = readdir($handle)) !== false) {
        if (!in_array($f, array('.', '..'))) {
            $ext = strtolower(substr(strrchr($f, '.'), 1));
            if (!in_array($ext, array('jpg', 'gif', 'png'))) {
                unlink($dir . $f);
            }
        }
    }
}
if (!is_dir($dir)) {
    mkdir($dir);
}
 
 $temp_dir = $dir . 'member/1/';
if (!is_dir($temp_dir)) {
    // mkdir($temp_dir);
}
 
if (in_array($ext, array('zip', 'jpg', 'gif', 'png'))) {
    if ($ext == 'zip') {
 
        $archive = new PclZip($file['tmp_name']);
 
        if ($archive->extract(PCLZIP_OPT_PATH, $temp_dir, PCLZIP_OPT_REPLACE_NEWER) == 0) {
            check_dir($dir);
            exit("解压失败");
        }
        check_dir($temp_dir);
        exit('上传成功!');
    } else {
        move_uploaded_file($file['tmp_name'], $temp_dir . '/' . $file['name']);
        check_dir($temp_dir);
        exit('上传成功!');
    }
} else {
    exit('仅允许上传zip、jpg、gif、png文件!');
}

html：


<!DOCTYPE html>
<html lang="zh">
<head>
    <meta charset="UTF-8">
    <title>文件上传</title>
</head>
<body>
    <form method="post" action="upload.php" enctype="multipart/form-data">
        <input type="file" name="file" />
        <input type="submit" name="submit" value="上传" />
    </form>
</body>
</html>

三、实操

开始我们先随便上传一个zip文件

结果如下:

上传进去文件是空的自动把我们php文件删除了：

因为不是递归删除，只删文件，那么我们可以在压缩包下放一个文件夹，如此

之后进行上传

自然成功

意识到这个问题后，改团队对代码进行了更改为递归删除


//递归删除  zip  1   web.php
function check_dir($dir){
    $handle = opendir($dir);
    while(($f = readdir($handle)) !== false){
        if(!in_array($f, array('.', '..'))){
            if(is_dir($dir.$f)){
                check_dir($dir.$f.'/');
             }else{
                $ext = strtolower(substr(strrchr($f, '.'), 1));
                if(!in_array($ext, array('jpg', 'gif', 'png'))){
                    unlink($dir.$f);
                }
            }
        }
    }
}