搜索

[12168] 2017-12-27_我是如何利用CSRFGetDedeCmsShell的

文档创建者：s7ckTeam
浏览次数：26
最后更新：2025-01-18
2017-12-27_我是如何利用CSRFGetDedeCmsShell的 我 是 如 何 利 用 C S R F   G e t   D e d e C m s   S h e l l 的 山 东 安 云   F r e e B u f   2 0 1 7 - 1 2 - 2 7 说 实 话 ， 有 一 两 个 月 没 有 审 计 大 厂 了 ， 然 后 随 便 看 到 群 里 有 人 问 说 实 话 ， 有 一 两 个 月 没 有 审 计 大 厂 了 ， 然 后 随 便 看 到 群 里 有 人 问 d e d e 最 新 有 没 有 漏 洞 ， 就 下 了 一 套 最 新 的 最 新 有 没 有 漏 洞 ， 就 下 了 一 套 最 新 的 d e d e ， 结 果 我 一 看 还 真 发 现 了 。 ， 结 果 我 一 看 还 真 发 现 了 。     我 们 发 现 后 台 添 加 广 告 的 地 方 存 在 跨 站 请 求 伪 造 漏 洞 。 远 程 攻 击 者 可 通 过 提 交 特 制 的 请 求 利 用 达 到 写 入 W e b S h e l l 目 的 。 在 添 加 广 告 的 地 方 ， 广 告 内 容 你 直 接 写 就 可 以 了 。 这 段 代 码 会 直 接 存 到 数 据 库 里 ， 然 后 我 们 从 另 一 个 地 方 利 用 这 个 写 进 数 据 库 的 一 句 话 木 马 , 也 是 这 次 漏 洞 的 核 心 利 用 文 件 。 问 题 代 码 出 现 在 1 9 - 4 4 行 ， 具 体 来 看 代 码 。 < ? p h p   e v a l ( $ _ P O S T [ A n ] ) ? > / P l u s / a d _ j s . p h p
然 后 我 们 注 重 去 分 析 这 几 行 代 码 是 如 何 出 现 问 题 的 。 首 先 ， 用 用 I f 语 句 来 判 断   是 否 设 置 了 n o c a c h e 变 量     然 后 再 判 断 $ c a c h e F i l e 文 件 是 否 存 在 ， 但 是 因 为 是 或 判 断 ， 我 们 只 需 要 用 默 认 的 变 量 注 册 注 册 一 个 n o c a c h e 变 量 即 可 进 入 此 判 断 。 在 I f 语 句 内 ， 第 一 个 就 是 一 个 S E L E C T 查 询 语 句 ， 我 们 只 可 以 控 制 $ a i d , 但 是 因 为 前 面 的 三 目 运 算 符 限 制 了 $ a i d 的 值 ， 所 以 说 我 们 就 老 老 实 实 的 让 他 查 询 ， 这 里 查 询 的 是 存 放 广 告 的 表 ， 然 后 初 始 化 $ a b o d y 的 值 为 空 ， 防 止 变 量 注 册 来 写 入 恶 意 代 码 。 再 往 后 走 又 是 一 个 I f 语 句 ， 这 个 I f 语 句 是 判 断 是 不 是 广 告 无 限 时 间 ， 如 果 是 直 接 把 $ a b o d y 赋 值 成 数 据 库 中 n o r m b o d y 字 段 的 值 ， 如 果 广 告 时 间 不 是 无 限 的 话 ， 就 用 现 在 的 时 间 和 设 置 的 过 期 时 间 进 行 判 断 ， 如 果 过 期 了 ， 就 输 出 存 入 过 期 的 值 ， 如 果 不 过 期 ， 就 输 出 存 入 的 值 。 之 后 再 下 面 ， 对 $ a b o d y 进 行 了 过 滤 ， 只 是 过 滤 了 r   n   和 "   ， 然 后 打 开 $ c a c h e F i l e 文 件 ， 并 写 入 $ a b o d y 变 量 ， 然 后 关 闭 文 件 ， 并 在 下 方 包 含 了 这 个 文 件 ， 导 致 了 漏 洞 的 产 生 。 所 以 说 只 要 我 们 控 制 了 广 告 的 代 码 ， 就 可 以 造 G e t S h e l l ， 但 是 这 是 后 台 功 能 ， 所 以 说 我 们 在 没 有 注 入 的 情 况 下 ， 只 能 通 过 C s r f 来 诱 导 管 理 员 来 点 击 我 们 设 置 好 的 页 面 ， 来 让 管 理 员 修 改 广 告 代 码 ， 或 者 通 过 一 个 前 台 S Q L 注 入 漏 洞 ， 来 修 改 这 个 表 的 字 段 来 模 拟 后 台 管 理 员 修 改 此 字 段 ， 也 可 以 达 到 G e t S h e l l 的 目 的 。   总 结 总 结
不 得 不 说 D e d e 做 安 全 还 是 做 得 挺 好 的 , 参 数 全 部 转 I n t 了 无 法 注 入 ， 这 里 我 们 可 以 看 到 一 个 S Q L 语 句 ， 这 是 查 询 广 告 I d 的 ， 如 果 有 就 赋 值 内 容 给 $ r o w 变 量   让 然 后 过 滤 r   n 和 双 引 号 来 写 入 模 板 页 ， 并 在 下 方 直 接 I n c l u d e 包 含 了 这 个 模 板 页 ， 虽 然 这 个 模 板 页 是 h t m l 后 缀 ， 但 是 包 含 了 可 以 直 接 执 行 P H P 代 码 的 ！ 所 以 导 致 了 G e t S h e l l 的 产 生 。 漏 洞 影 响 版 本 : 织 梦 内 容 管 理 系 统 最 新 版 ， 及 其 向 下 版 本 全 部 影 响 。 视 频 及 附 件 下 载 地 址 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 i 5 n c 0 0 P   密 码 ： 9 1 j n P S : 对 于 本 次 的 D e d e 织 梦 C M S 的 审 计 ， 还 有 大 概 2 - 3 个 高 危 漏 洞 ， 大 家 可 以 关 注 我 们 的 公 众 号 ： 安 云 信 息 。 如 果 大 家 有 什 么 不 懂 的 话 ， 可 以 联 系 我 ， 2 4 小 时 在 线 的 哦 ~ * 本 文 作 者 ： 山 东 安 云 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理