DedeCms织梦系统漏洞复现

1 部署好之后 

发现系统默认管理路径是dede，登陆管理后台可以通过地址

127.0.0.1/DedeCMS-V5.7-GBK-SP1/uploads/dede/

然后有dedecms安全提示

直接打开根目录修改dede文件夹为LYP

重新进去管理员后台

127.0.0.1/DedeCMS-V5.7-GBK-SP1/uploads/LYP/

对数据进行还原

看一下网站的地址

接着生成新的网站

然后即可访问网站，CMS搭建完毕

首先打开后台管理页面开启会员功能

这样就可以注册一个账户

1前台任意账号密码修改(账号未设置安全问题)

burpsuite抓包

先进行如下请求获取密钥

http://127.0.0.1/DedeCMS-V5.7-GBK-SP1/uploads/member/resetpassword.php?dopost=safequestion&safequestion=0.0&id=1

key=HUYJwyDZ

找到key之后直接拼接然后访问

http://127.0.0.1/DedeCMS-V5.7-GBK-SP1/uploads/member/resetpassword.php?dopost=getpasswd&id=1&key=key=HUYJwyDZ

2cookie伪造导致任意前台用户登录

访问如下请求获取伪造的cookie,

http://127.0.0.1/DedeCMS-V5.7-GBK-SP1/uploads/member/index.php?uid=001

接下来使用lyp账号登录，登录后修改cookie。

将last_vid的值赋给DedeUserID，last_vid__ckMd5的值赋给DedeUserID__ckMd5

修改完成刷新进入了admin页面实现cookie伪造导致任意前台用户登录

3、任意重置后台用户密码

其实就是上面前台任意账号密码修改和cookie伪造导致任意前台用户登录两个漏洞的结合使用

原理：在\DedeCMS-V5.7-GBK-SP1/uploads//member/edit_baseinfo.php文件中的第118-123行中，当使用admin用户登录前台进行密码修改的时候会顺带将admin的后台密码也进行修改了。

先利用前台用户任意密码重置漏洞重置admin的前台密码，然后使用cookie伪造漏洞使用admin用户登录到前台在如下页面中进行密码重置，旧密码便是利用前台用户任意密码重置漏洞重置admin的前台密码

访问http://127.0.0.1/DedeCMS-V5.7-GBK-SP1/uploads//member/edit_baseinfo.php便可以直接修改密码

4、前台台任意文件上传

原理:dede在uploads\include\dialog\select_images_post.php代码中校验文件名时，不是取文件的后缀名来进行判断的，而是对文件格式进行判断，然后再取后缀名进行拼接上传，便造成了可已使用xxx.jpg.p%php或xxx.jpg.p*hp等方式绕过

前台会员可以通过内容中心的编辑器中上传绕过

配置问题可能会造成如下文件管理器的未授权访问以进行上传绕过

但一般网站会对如下连接做一个跳转

文件上传得到shell