信呼OA的信呼后台getshell，其实没那么多花里胡哨的后台姿势。真正能用的配置，往往就藏在那些不起眼的文件“附件上传”和“模板编辑”里。我见过不少管理员，信呼密码设得跟闹着玩似的后台，后台一进，配置基本就等于把服务器钥匙交出去了。文件

先说说最直接的信呼路径——模板管理。信呼后台有个“自定义模板”功能，后台允许你直接改PHP文件内容。配置这设计初衷是文件方便企业定制审批流程，但副作用很明显：谁能进后台，信呼谁就能往模板里塞一句话木马。后台你只要找到那个模板编辑框，配置把``混进一个看起来正常的HTML标签后面，保存，然后访问对应模板路径，用蚁剑一挂，shell就到手了。整个过程不到两分钟，前提是你有后台账号。

那账号怎么来？默认管理员admin，密码admin123这种弱口令，在真实环境里中奖率不低。我测试过一家做物流的公司，他们的信呼OA挂在公网上，后台登录页没有任何验证码和尝试次数限制。我拿burp跑了个小字典，十几分钟就进去了。密码是`Xinhu@2020`，估计是实施人员图省事，按项目年份设的。

进后台之后，别急着高兴。信呼的权限控制其实有点意思——普通用户和部门管理员能看到的菜单不一样。但真正要命的漏洞在于，某些接口没做好身份校验。比如`api.php`里有个`import`方法，你只要伪造一个已登录的session，就能直接调用文件写入功能。这个session怎么伪造？信呼用的是PHP原生session，没有自定义加密，你只要拿到一个有效的session ID，往服务器上放一个同名session文件，就能骗过校验。具体操作不展开，但思路就是：先通过某个未授权接口获取session存储路径，再结合目录遍历漏洞把伪造的session写进去。

还有个野路子，利用后台的“系统日志”功能。日志文件是`logs/`目录下的txt，但它支持写入HTML标签。如果你能诱导管理员点击一条恶意日志链接，里面藏着`