搜索

[13124] 2018-08-30_代码审计DedeCMSv5.7sp2RemoveXSSbypass

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-08-30_代码审计DedeCMSv5.7sp2RemoveXSSbypass 代 码 审 计   |   D e d e C M S   v   5 . 7   s p 2   R e m o v e X S S   b y p a s s q 6 0 1 3 3 3 8 2 4   F r e e B u f   2 0 1 8 - 0 8 - 3 0 概 述 概 述 D e d e C M S   简 称 织 梦 简 称 织 梦 C M S ， 当 前 最 新 版 为 ， 当 前 最 新 版 为   5 . 7   s p 2 , 最 近 又 去 挖 了 挖 这 个 最 近 又 去 挖 了 挖 这 个 C M S , 发 现 过 滤 发 现 过 滤 X S S 的 的 R e m o v e X S S 函 数 函 数 存 在 缺 陷 导 致 可 以 被 绕 过 。 存 在 缺 陷 导 致 可 以 被 绕 过 。 相 关 环 境 相 关 环 境 源 码 信 息 ： D e d e C M S - V 5 . 7 - U T F 8 - S P 2 漏 洞 类 型 ： 反 射 型 X S S 下 载 地 址 ： h t t p : / / w w w . d e d e c m s . c o m / p r o d u c t s / d e d e c m s / d o w n l o a d s / 漏 洞 文 件 ： / i n c l u d e / h e l p e r s / f i l t e r . h e l p e r . p h p 漏 洞 分 析 漏 洞 分 析 1 . 先 查 看 / i n c l u d e / h e l p e r s / f i l t e r . h e l p e r . p h p 文 件 ， 其 中 的 R e m o v e X S S 函 数 ， 其 中 代 码 如 下 ：
2 . 过 滤 的 大 概 流 程 是 , 前 面 先 把 例 如 十 进 制 和 十 六 进 制 的 ( & # x x x x x x x x x x ; ) 这 种 编 码 , 转 换 回 原 来 的 字 符 , 后 面 就 是 根 据 $ r a 1 和 $ r a 2 里 的 黑 名 单 进 行 过 滤 替 换 , 例 如 j a v a s c r i p t : a l e r t ( 1 ) 会 被 过 滤 成   j a v a s c r i p t : a l e r t ( 1 ) ； 3 . 如 果 这 个 时 候 , 我 输 入 的 内 容 是 4 . u r l 解 码 得 到 5 . 这 个 时 候 进 去 R e m o v e X S S , 进 行 第 一 次 处 理 , 也 就 是 把 ( & # x x x x x x x x x x ; ) 这 种 编 码 , 转 换 回 原 来 的 字 符 , 得 到 6 . 后 面 的 过 滤 步 骤 就 是 黑 名 单 过 滤 了 , 然 而 j a v a s c r i p t 并 不 在 黑 名 单 之 内 , 所 以 不 会 过 滤 , 最 后 就 是 输 出 内 容 了 ； 7 . 这 个 时 候 输 出 t 在 标 签 的 属 性 里 面 会 重 新 还 原 成 字 母 t , 所 以 最 后 会 在 h t m l 输 出 j a v a s c r i p t : a l e r t ( 1 ) ； j a v a s c r i p % 2 6 % 2 3 3 8 % 3 B % 2 6 % 2 3 3 5 % 3 B % 2 6 % 2 3 4 9 % 3 B % 2 6 % 2 3 4 9 % 3 B % 2 6 % 2 3 5 4 % 3 B % 2 6 % 2 3 5 9 % 3 B : a l e r t ( 1 ) ； j a v a s c r i p & # 3 8 ; & # 3 5 ; & # 4 9 ; & # 4 9 ; & # 5 4 ; & # 5 9 ; : a l e r t ( 1 ) ； j a v a s c r i p & # 1 1 6 ; : a l e r t ( 1 ) ；
8 . 下 面 是 测 试 效 果 图 ： 总 结 总 结 1 . 我 画 了 草 图 ， 两 次 和 一 次 编 码 的 区 别 如 下 ：
2 . 另 外 后 面 的 代 码 会 根 据 黑 名 单 生 成 正 则 表 达 式 ， 我 拿 其 中 一 个 测 试 , 这 段 代 码 会 生 成 正 则 表 达 式 ： 3 . 根 据 生 成 的 其 中 一 条 正 则 表 达 式 , 可 以 看 出 , 他 应 该 是 匹 配 j a v a s c r i p t 之 间 有 没 有 恶 意 字 符 防 止 绕 过 , 例 如 j   a v a s c r i p t 会 被 匹 配 到
4 . 正 则 匹 配 的 是 恶 意 字 符 之 间 的 & # x x x x x x ; , 以 分 号 结 尾 , 但 是 有 一 点 要 注 意 的 就 是   等 于   & # x 0 a   , 不 需 要 分 号 结 尾 也 是 可 以 的 , 例 如 , 不 加 分 号 正 则 就 匹 配 不 到 , 但 是 效 果 也 是 一 样 的 , 也 是 可 以 弹 窗 。 5 . 还 有 一 个 问 题 , 就 是 织 梦 的 正 则 匹 配 & # [ x X ] 0 { 0 , 8 } ( [ 9 a b ] ) ;   , 注 意 { 0 , 8 } , 大 概 是 八 位 左 右 , 如 果 我 超 过 八 位 , 就 算 加 上 分 号 过 滤 器 也 匹 配 不 到 ， 正 好 十 六 进 制 格 式 的 时 候 可 以 有 很 多 0 , 足 够 超 过 八 位 了 , 例 如 ：
最 终 总 结 最 终 总 结 漏 洞 挖 挖 总 还 是 有 的 , 织 梦 的 X S S 过 滤 器 有 三 个 问 题 ： 1 . 两 次 编 码 的 时 候 , 正 则 和 黑 名 单 就 没 软 用 了 ； 2 . 黑 名 单 匹 配 的 时 候 ， 正 则 无 法 匹 配 到 没 有 分 号 结 尾 的 编 码 ； 3 . 也 是 黑 名 单 匹 配 的 时 候 ， 匹 配 编 码 字 符 大 概 在 0 - 8 个 字 符 之 内 , 但 是 十 六 进 制 可 以 超 过 八 个 字 符 , 这 个 时 候 也 无 法 匹 配 。 * 本 文 作 者 ： 本 文 作 者 ： q 6 0 1 3 3 3 8 2 4 ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 。 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理