搜索

[26596] 2018-01-27_【转载】蛙啊！老母亲给你整理了DEDECMS漏洞集合，快回家！

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-19
2018-01-27_【转载】蛙啊！老母亲给你整理了DEDECMS漏洞集合，快回家！ 【 转 载 】 蛙 啊 ！ 老 母 亲 给 你 整 理 了 D E D E C M S 漏 洞 集 合 ， 快 回 家 ！ T h i n k i n g   m o o n s e c   2 0 1 8 - 0 1 - 2 7 最 近 d e d e C M S 爆 了 好 多 洞 ( 0 d a y ) ， 于 是 将 最 近 的 漏 洞 进 行 复 现 和 整 理 便 成 为 了 本 篇 漏 洞 集 合 。 期 待 师 傅 们 的 指 导 与 交 流 。 c o o k i e 伪 造 导 致 任 意 前 台 用 户 登 录 伪 造 导 致 任 意 前 台 用 户 登 录 0 x 0 0   相 关 环 境 相 关 环 境 源 码 信 息 ： D e d e C M S - V 5 . 7 - U T F 8 - S P 2 - 2 0 1 8 0 1 0 9   问 题 文 件 ：   D e d e C M S - V 5 . 7 - U T F 8 - S P 2 u p l o a d s m e m b e r i n d e x . p h p   漏 洞 类 型 ： c o o k i e 伪 造 导 致 前 台 任 意 用 户 登 录   站 点 地 址 ： h t t p : / / w w w . d e d e c m s . c o m / 0 x 0 1   漏 洞 分 析 漏 洞 分 析 在 文 件 D e d e C M S - V 5 . 7 - U T F 8 - S P 2 u p l o a d s m e m b e r i n d e x . p h p 中 的 第 1 2 5 - 1 6 6 行 中 的 代 码 块 ， 用 于 更 新 最 近 访 客 记 录 及 站 点 统 计 记 录 的 代 码 ， 当 满 足 $ v t i m e   -   $ l a s t _ v t i m e   >   3 6 0 0   | |   ! p r e g _ m a t c h ( ' # , ' . $ u i d . ' , # i ' ,   ' , ' . $ l a s t _ v i d . ' , ' ) 的 时 候 且 $ l a s t _ v i d 的 值 为 空 的 时 候 ， 会 令 $ l a s t _ v i d   = $ u i d ， 然 后 在 第 1 6 4 行 中 使 用 P u t C o o k i e ( ' l a s t _ v i d ' ,   $ l a s t _ v i d ,   3 6 0 0 * 2 4 ,   ' / ' ) ; 将 c o o k i e 下 发 的 客 户 端 。
而 d e d e 在 D e d e C M S - V 5 . 7 - U T F 8 - S P 2 u p l o a d s i n c l u d e c o m m o n . i n c . p h p 中 的 第 1 0 8 - 1 1 7 行 中 ， 使 用 的 外 部 变 量 注 册 的 方 法 进 行 变 量 声 明 ， 因 此 此 处 的 $ u i d 是 用 户 可 控 的 位 置 。
跟 入 P u t C o o k i e 方 法 ， 在 文 件 D e d e C M S - V 5 . 7 - U T F 8 - S P 2 u p l o a d s i n c l u d e h e l p e r s c o o k i e . h e l p e r . p h p 中 的 第 2 1 - 2 9 行 中 ， 发 现 该 方 法 ， 在 该 方 法 中 的 第 2 7 行 中 将 值 与 配 置 文 件 中 的 $ c f g _ c o o k i e _ e n c o d e 进 行 拼 接 ， 然 后 进 行 M D 5 和 截 断 处 理 s u b s t r ( m d 5 ( $ c f g _ c o o k i e _ e n c o d e . $ v a l u e ) , 0 , 1 6 ) ， 然 后 下 发 到 客 户 端 。 而 在 文 件 D e d e C M S - V 5 . 7 - U T F 8 - S P 2 u p l o a d s i n c l u d e h e l p e r s c o o k i e . h e l p e r . p h p 中 的 第 5 4 - 7 5 行 中 发 现 G e t C o o k i e 方 法 的 代 码 块 ， 其 中 第 6 5 行 用 于 校 验 客 户 端 c o o k i e 是 否 进 行 了 伪 造 ， 因 此 要 进 行 c o o k i e 就 自 然 想 到 要 获 取 D e d e C M S - V 5 . 7 - U T F 8 - S P 2 u p l o a d s d a t a c o n f i g . c a c h e . i n c . p h p 文 件 中 的 内 容 ， 需 要 存 在 任 意 文 件 读 取 或 下 载 的 漏 洞 ， 当 然 还 有 另 外 一 种 方 式 ， 就 是 利 用 用 户 第 一 次 登 录 时 候 下 发 c o o k i e 的 方 法 ( P u t C o o k i e ) 直 接 生 成 c o o k i e ， 这 样 的 c o o k i e 定 会 通 过 c o o k i e 校 验 的 方 法 ( G e t C o o k i e ) 。 接 下 来 需 要 查 看 登 录 位 置 的 代 码 块 ， 知 晓 登 录 时 候 c o o k i e 的 生 成 规 则 是 否 是 P u t C o o k i e ， 在 文 件 D e d e C M S - V 5 . 7 - U T F 8 - S P 2 u p l o a d s i n c l u d e m e m b e r l o g i n . c l a s s . p h p 中 输 入 合 规 的 l o g i n u s e r 和 l o g i n p w d 便 会 执 行 P u t L o g i n I n f o 。 跟 入 P u t L o g i n I n f o 方 法 ， 在 文 件 D e d e C M S - V 5 . 7 - U T F 8 - S P 2 u p l o a d s i n c l u d e m e m b e r l o g i n . c l a s s . p h p 中 的 第 5 1 7 - 5 4 0 行 中 发 现 了 该 方 法 的 代 码 块 ， 且 在 第 5 3 1 - 5 3 9 行 中 使 用 了 P u t C o o k i e 下 发 c o o k i e 。 因 此 存 在 c o o k i e 的 伪 造 漏 洞 。
跟 入 检 测 登 录 状 态 的 代 码 ， 在 文 件 D e d e C M S - V 5 . 7 - U T F 8 - S P 2 u p l o a d s i n c l u d e m e m b e r l o g i n . c l a s s . p h p 的 第 1 6 0 - 2 4 1 行 发 现 代 码 块 ， 其 中 第 1 7 0 行 检 测 c o o k i e 中 的 D e d e U s e r I D 参 数 的 值 ， 合 规 在 第 1 8 5 行 中 ， 传 入 数 据 库 查 询 获 得 结 果 后 ， 把 结 果 展 示 在 页 面 上 。 0 x 0 2   漏 洞 复 现 漏 洞 复 现 情 况 一 ：   由 于 m i d 在 数 据 库 中 是 i n t ， 所 以 要 进 行 c o o k i e 的 伪 造 需 要 注 册 用 户 名 为 要 越 权 的 用 户 m i d 数 值 ， 而 a d m i n 默 认 为 1 。 因 此 可 以 直 接 登 录 为 a d m i n 。 需 要 注 册 用 户 名 为 对 应 数 据 库 中 d e d e _ m e m b e r 表 中 m i d 对 应 的 值 。 如 注 册 用 户 名 为 0 0 0 1 对 应 d e d e _ m e m b e r 表 中 m i d 为 1 ， 便 是 a d m i n 的 m i d 。
然 后 访 问 如 下 请 求 获 取 伪 造 的 c o o k i e ,   h t t p : / / 1 2 7 . 0 . 0 . 1 / m e m b e r / i n d e x . p h p ? u i d = 0 0 0 1 接 下 来 使 用 0 0 0 1 账 号 登 录 ， 登 录 后 的 未 修 改 的 c o o k i e 。 将 l a s t _ v i d 的 值 赋 给 D e d e U s e r I D ， l a s t _ v i d _ _ c k M d 5 的 值 赋 给 D e d e U s e r I D _ _ c k M d 5 修 改 后 的 c o o k i e 。
修 改 后 刷 新 页 面 登 录 到 a d m i n 用 户 中 。 情 况 二 ：   由 于 在 D e d e C M S - V 5 . 7 - U T F 8 - S P 2 u p l o a d s i n c l u d e m e m b e r l o g i n . c l a s s . p h p 中 的 第 1 7 0 行 中 先 进 行 c o o k i e 的 校 验 再 使 用 G e t N u m 进 行 非 数 字 和 点 的 数 据 的 替 换 ， 然 后 转 成 使 用 i n t 型 ， 拼 接 进 入 s q l 语 句 。
在 D e d e C M S - V 5 . 7 - U T F 8 - S P 2 u p l o a d s m e m b e r i n d e x . p h p 文 件 中 的 第 1 2 4 行 ， 当 u i d 不 为 空 的 时 候 会 r e q u i r e _ o n c e ( D E D E M E M B E R . ' / i n c / c o n f i g _ s p a c e . p h p ' ) 跟 入 c o n f i g _ s p a c e . p h p 在 D e d e C M S - V 5 . 7 - U T F 8 - S P 2 u p l o a d s m e m b e r i n c c o n f i g _ s p a c e . p h p 文 件 中 第 2 9 行 使 用 了 G e t U s e r S p a c e I n f o s 方 法 。 跟 入 G e t U s e r S p a c e I n f o s 方 法 在 D e d e C M S - V 5 . 7 - U T F 8 - S P 2 u p l o a d s m e m b e r i n c c o n f i g _ s p a c e . p h p 文 件 中 第 1 1 8 行 发 现 该 方 法 ， 且 在 第 1 3 1 行 中 使 用 了 l i k e 的 方 式 获 取 用 户 数 据 。 因 此 可 以 注 册 类 似 于 x x x 1 x x 的 用 户 ， 如 b a l a 1 b a l a ( 当 然 仅 需 要 实 际 环 境 中 有 包 含 用 户 名 有 包 含 1 的 即 可 ) ， 然 后 在 u i d 位 置 使 用 % 1 % 让 G e t U s e r S p a c e I n f o s 方 法 可 以 正 常 获 取 数 据 ， 从 而 使 代 码 能 够 进 入 P u t C o o k i e 方 法 ， 从 而 生 成 伪 造 的 c o o k i e 。
然 后 对 c o o k i e 进 行 替 换 ， D e d e U s e r I D = % 1 % ;   D e d e U s e r I D _ _ c k M d 5 = 8 9 8 3 2 6 5 c 6 5 c 8 d 1 c a ; 中 会 满 足 G e t N u m ( G e t C o o k i e ( " D e d e U s e r I D " ) ) ; 后 并 转 成 i n t 型 1   ， 再 进 行 S Q L 拼 接 ， 因 此 便 可 以 登 录 到 a d m i n 。 任 意 修 改 前 台 用 户 密 码 任 意 修 改 前 台 用 户 密 码 0 x 0 0   相 关 环 境 相 关 环 境 源 码 信 息 ： D e d e C M S - V 5 . 7 - U T F 8 - S P 2 - 2 0 1 8 0 1 0 9   问 题 文 件 ：   D e d e C M S - V 5 . 7 - U T F 8 - S P 2 u p l o a d s m e m b e r r e s e t p a s s w o r d . p h p   漏 洞 类 型 ： 任 意 用 户 密 码 修 改   站 点 地 址 ： h t t p : / / w w w . d e d e c m s . c o m / 0 x 0 1   漏 洞 分 析 漏 洞 分 析 在 D e d e C M S - V 5 . 7 - U T F 8 - S P 2 u p l o a d s m e m b e r r e s e t p a s s w o r d . p h p 文 件 中 的 第 9 6 - 9 5 行 ， 其 中 $ r o w [ ' s a f e q u e s t i o n ' ]   = =   $ s a f e q u e s t i o n   & & $ r o w [ ' s a f e a n s w e r ' ]   = =   $ s a f e a n s w e r 代 码 是 问 题 的 关 键 ， 默 认 $ r o w [ ' s a f e q u e s t i o n ' ] 在 数 据 中 的 内 容 为 0 ， $ r o w [ ' s a f e a n s w e r ' ] 在 数 据 库 中 的 结 果 为 空 ， 且 变 量 $ s a f e a n s w e r 与 $ s a f e q u e s t i o n 是 用 户 可 控 制 的 变 量 ， 又 使 用 了   = = 进 行 判 断 ，   因 此 该 判 断 规 则 存 在 弱 类 型 问 题 。
而 在 i f ( e m p t y ( $ s a f e q u e s t i o n ) )   $ s a f e q u e s t i o n   =   ' ' ; 语 句 中 ， 要 使 e m p t y ( $ s a f e q u e s t i o n )   为 f a l s e 且 $ r o w [ ' s a f e q u e s t i o n ' ]   = =   $ s a f e q u e s t i o n 未 t r u e ， 所 以 可 以 使 用 字 符 型 的 0 . 0 ， 进 行 绕 过 。 绕 过 后 会 进 入 s n 的 方 法 ， 因 此 跟 入 s n 方 法 ， 在 D e d e C M S - V 5 . 7 - U T F 8 - S P 2 u p l o a d s m e m b e r i n c i n c _ p w d _ f u n c t i o n s . p h p 文 件 中 第 1 5 0 - 1 7 2 行 发 现 代 码 块 ， 且 该 方 法 会 调 用 n e w m a i l 方 法 。
跟 入 n e w m a i l 方 法 ， 在 D e d e C M S - V 5 . 7 - U T F 8 - S P 2 u p l o a d s m e m b e r i n c i n c _ p w d _ f u n c t i o n s . p h p 文 件 中 第 7 3 - 1 2 3 行 中 发 现 代 码 块 ， 然 后 当 传 入 的 $ s e n d 为 N 的 时 候 便 会 下 发 重 置 密 码 的 链 接 ， 进 行 密 码 修 改 操 作 。 0 x 0 2   漏 洞 复 现 漏 洞 复 现 先 进 行 如 下 请 求 获 取 k e y   h t t p : / / 1 2 7 . 0 . 0 . 1 / m e m b e r / r e s e t p a s s w o r d . p h p ? d o p o s t = s a f e q u e s t i o n & s a f e q u e s t i o n = 0 . 0 & s a f e a n s w e r = & i d = 1
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理