0x00 环境准备

CmsEasy官网：http://www.cmseasy.cn/

网站源码版本：CmsEasy_v5.7_UTF8-0208

程序源码下载：

http://ftp.cmseasy.cn/CmsEasy5.x/CmsEasy_5.7_UTF-8_20180208.zip

测试网站首页：

0x01 代码分析

1、漏洞文件位置：/lib/table/table_templatetagwap.php 第3-20行：

class table_templatetag extends table_mode {
function vaild() {
if(!front::post('name')) {
front::flash('请填写名称！');
return false;
}
if(!front::post('tagcontent')) {
front::flash('请填写内容！');
return false;
10. }
11. return true;
12. }
13. function save_before() {
14. if(!front::post('tagfrom')) front::$post['tagfrom']='define';
15. if(!front::post('attr1')) front::$post['attr1']='0';
16. if(front::$post['tagcontent']) front::$post['tagcontent'] = htmlspecialchars_decode(front::$post['tagcontent']);
17. }

18. }

可以看到在写入文件之前，使用htmlspecialchars_decode函数把预定义的 HTML 实体 "<"（小于）和 ">"（大于）转换为字符。因此我们可以使用双引号闭合，从而构造出Payload写入文件，进一步触发代码，导致程序在实现上存在代码执行漏洞。攻击者可通过构造恶意脚本代码写入配置文件，从而执行命令，控制网站服务器权限。