[GKCTF 2021]easycms（刷题随笔）

本文补充了一种新的做题方法，因为百度得到的题解只有文件上传+模板文件和任意文件下载两种。

一、编辑模板文件直接rce（补充发现，后文两种为通用py题解）

主题-自定义，发现网站头部可直接编辑php代码，且不需要任何验证，于是添加php的rce代码后直接获取flag

（其余可编辑的地方也均可添加php等类型的代码）

 

 

 

二、文件上传+模板

后台地址admin.php扫描出来，然后弱口令admin/12345登录后台。

编辑模板处可以添加php头，但是需要在system的tmp目录下有某个txt才会生效

上传组件素材的地方通过修改名称可导致目录穿越创建文件至system目录

保存成功后即可保存另外一个模板文件，即可rce

 

三、文件下载

1、设计-自定义->右上角导出主题

http://38e057fa-b306-4f91-a6c7-3bc3390c07d7.node4.buuoj.cn:81/admin.php?m=ui&f=downloadtheme&theme=L3Zhci93d3cvaHRtbC9zeXN0ZW0vdG1wL3RoZW1lL2RlZmF1bHQvMTExMTExLnppcA==

复制下载链接 /admin.php?m=ui&f=downloadtheme&theme=L3Zhci93d3cvaHRtbC9zeXN0ZW0vdG1wL3RoZW1lL2RlZmF1bHQvMTExLnppcA==

发现其后缀 为base64位，解码为绝对路径，改为/flag然后编码再下载即可得到flag