seacms_v6.4(海洋cms)前台RCE 分析

seacms_v6.4(海洋cms)前台RCE

漏洞详情

​ 海洋cms v6.4（6.45也存在） search.php存在RCE漏洞。$order参数没做严格的限制，就将其传入了模板文件中，然后使用eval()执行模板中包含$order的代码，通过闭合拼接语句的方式，插入恶意代码，实现远程命令执行。poc如下

url/seacms645/search.php

post:searchtype=5&order=}{end if} {if:1)phpinfo();if(1}{end if}

漏洞分析

首先search.php入手，这个文件包含了common.php和main.class.php

在common.php中对GET,POST,COOKIE等请求传入的全局变量中的键值对转换成变量，并对其中的值使用addslashes()转义预定义的特殊符号

search.php中echoSearchPage函数将$order注册成为全局变量

当参数searchtype==5时会获取到 $order的值加载对应的模板文件，将模板文件读取到$c