0x00 前言
fofa : body=”Bitrix Virtual Appliance” 影响:3k
Bitrix 是俄罗斯的一套cms系统，在<=7.5.0 版本时存在安装时任意文件上传漏洞.
0x01 复现
首先点开左下角的链接 => Восстановить копию
实际上就是 move_uploaded_file 直接能传.
elseif ($source == 'upload'){if (!count($_FILES['archive']['tmp_name'])){$ar = array('TITLE' => getMsg('ERR_EXTRACT'),'TEXT' => getMsg('ERR_UPLOAD'),'BOTTOM' => '<a href="/restore.php?Step=1&lang='.LANG.'">'.getMsg('BUT_TEXT_BACK').'</a>');html($ar);die();}foreach ($_FILES['archive']['tmp_name'] as $k => $v){if (!$v){continue;}$arc_name = $_FILES['archive']['name'][$k];if (!@move_uploaded_file($v, $_SERVER['DOCUMENT_ROOT'].'/'.$arc_name)){$ar = array('TITLE' => getMsg('ERR_EXTRACT'),'TEXT' => getMsg('ERR_UPLOAD'),'BOTTOM' => '<a href="/restore.php?Step=1&lang='.LANG.'">'.getMsg('BUT_TEXT_BACK').'</a>');html($ar);die();}}$text ='<input type=hidden name=Step value=2>'.'<input type=hidden name=arc_name value="'.htmlspecialcharsbx(CTar::getFirstName($arc_name)).'">';showMsg(getMsg('LOADER_SUBTITLE1'), $text);<script>reloadPage(2, 1);</script>die();}
免责声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，文章作者和本公众号不承担任何法律及连带责任，望周知！！！
原文始发于微信公众号（星悦安全）：Bitrix <= v7.5.0 安装文件上传漏洞
