kangle web server目录遍历可getshell下载

淘宝上卖全能虚拟主机空间的10家有9家用的就是这个系统，很多做黑产的，钓鱼的，违法的网站都喜欢用他们的空间，我就发现服务器上有很多类似站点
拿到权限爽歪歪了，做seo也不错

首先去申请试用，或者买一个，总之要先搞到一个账号

默认安装目录如下

X:\Program Files\Bangteng\Kangle\etc/config.xml

拿到账号之后登陆控制面板

浏览器直接打开下面代码，可以看到系统的各种密码

 

javascript:editfrom('/.../.../.../.../.../.../Program Files/Bangteng/Kangle/etc/config.xml')

或者点到在线文件管理跳转目录的时候用.../可以跳转到你想去的目录

传后门到X:\Program Files\Bangteng\Kangle\nodewww目录，

这个目录的执行权限比较大，和空间上给你的那个目录执行权限完全不一样

之后想干什么就干什么

修复方案：

代码加密的，我是菜鸟黑客，我也不知道怎么修复