0x00 前言

厂商：74cms
下载地址：http://www.74cms.com/download/index.html

关于版本：
新版的74cms采用了tp3.2.3重构了，所以可知底层是tp，74cms新版升级是后台升级的，所以先将将升级方法。

注：此漏洞不用升级至最新版本也可使用。

0x01 74cms升级到最新版

1，先去官网下载骑士人才系统基础版(安装包)
2，将下载好的包进行安装
3，进入后台点击查看如果不是最新版的话，请点击升级！
4，如果是本地环境的话，会提示域名不合法升级失败，这个问题很好解决
5，搜索文件74cms\upload\Application\Admin\Controller\ApplyController.class.php
6，查找所有$_SERVER[‘HTTP_HOST’] 改为 http://baidu.com 即可

0x02突突突突突突突

文件： 74cms\upload\Application\Home\Controller\ApiController.class.php
方法：members_edit(

从这里看漏洞整体都很简单。没有过多的套路的，有的只是中规中矩。
那么就让我们直接利用试试。

先看看数据库现在的数据

接着让我们来调接口看看

文件： 74cms\upload\Application\Home\Controller\ApiController.class.php
方法：check_token(

接口调用失败的原因是因为，上图的析构函数调用了方法 check_token 进行了token验证

这些都没有问题， $token 也是我们可以操控的。

现在的问题就是C(‘PWDHASH’) 我们现在无法得到。

好在，我们还可以通过组合漏洞的形式来获取。

想要利用此漏洞，我的想法是先通过，任意读取漏洞，先把C(‘PWDHASH’) 的值读取出来，然后在加密验证一下即可

而加密的代码其实我们不需要去看，因为这是全局通用的代码，所以我们正式环境中复制出来加密一下就可以利用了。

思路：
先下载此源码然后本地把此加密函数保存下来即可。（因为没人会没事去改加密函数）
然后在通过 “任意文件读取漏洞” 读取目标站点的C(‘PWDHASH’) 的值，接着本地加密成token 这样漏洞就可以使用了

任意文件读取的小脚本下载: 74cms_file_read.zip