DedeCMS V5.7 SP2存在代码执行漏洞分析(CNVD-2018-01221)

该问题是一个由任意文件上传带来的代码执行漏洞,由于本身要求上传php结尾文件,再加上未对上传文件内容进行检查,所以导致了该漏洞,漏洞产生在/dede/tpl.php,由此可见要利用该漏洞你得登录进后台。问题产生在代码251行开始。代码详解如下图

漏洞复现:

  1. 前提是你得通过其他方法进入到dede的后台,比如弱口令啥的。

  2. 然后由上述图片中csrf_check()函数会校验token,所以我们得先获取到token。

  3. 要怎么才能获取到token呢?我们再去tpl.php里看一下,发现action的参数有很多,比如del,upoladok,edit,upload等等,但只有传入upload的时候页面才会回显正常,而其他的都会显示token异常,所以只能通过action=upload来获取token。

  4. 访问连接http://你的ip/dede/tpl.php?action=upload,右键点击查看页面源码,可以看到token

  5. 拼接payload

    http://你的ip/dede/tpl.php?filename=(文件名随意).lib.php&action=savetagfile&content=%3C?php%20phpinfo();?%3E&token=(替换你复制的token)
    

  6. 访问上传的php脚本,由上面代码审计得知上传到的路径是/include/taglib/xxx.lib.php,访问该文件。getshell 

     

  • 0
    点赞
  • 0
    收藏
    觉得还不错? 一键收藏
  • 3
    评论
漏洞描述: ThinkPHP是一款快速、简单的PHP开发框架,该框架在处理某些特定情况下的输入时存在代码执行漏洞。攻击者可以通过构造恶意的输入数据,利用该漏洞执行任意代码,从而控制服务器。 漏洞影响: ThinkPHP 5.0.x - 5.0.18 版本 ThinkPHP 5.1.x - 5.1.0-beta.5 版本 漏洞利用: 攻击者可以通过在URL中添加参数,或者在POST请求中添加参数,来触发该漏洞。下面是一个简单的例子: http://example.com/index.php?s=/index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=whoami 漏洞修复: 1.升级到最新版本的ThinkPHP 2.禁用动态调用方法 在config.php文件中添加以下配置: 'APP_DEBUG' => false, 'APP_USE_NAMESPACE' => true, 'DEFAULT_FILTER' => 'htmlspecialchars', 'DEFAULT_CONTROLLER' => 'index', 'URL_CASE_INSENSITIVE' => true, 'URL_MODEL' => '2', 'URL_PATHINFO_DEPR' => '/', 'URL_ROUTER_ON' => true, 'URL_ROUTE_RULES' => array( ), 'DEFAULT_MODULE' => 'index', 'URL_HTML_SUFFIX' => '.html', 'APP_AUTOLOAD_PATH' => '@.TagLib', 'APP_AUTOLOAD_LAYER' => 'Controller,Model', 'APP_AUTOLOAD_PATH' => '@.TagLib', 'APP_AUTOLOAD_LAYER' => 'Controller,Model', 'DEFAULT_FILTER' => 'htmlspecialchars', 'DEFAULT_TIMEZONE' => 'Asia/Shanghai', 'TMPL_ACTION_ERROR' => APP_PATH . 'Tpl/error.tpl', 'TMPL_ACTION_SUCCESS' => APP_PATH . 'Tpl/success.tpl', 'DEFAULT_AJAX_RETURN' => 'JSON', 'TOKEN_ON' => true, 'TOKEN_NAME' => '__hash__', 'TOKEN_TYPE' => 'md5', 'TOKEN_RESET' => true, 'VAR_FILTERS' => 'htmlspecialchars', 'SESSION_AUTO_START' => true, 'DEFAULT_LANG' => 'zh-cn', 'APP_GROUP_LIST' => 'Home,Admin', 'APP_GROUP_MODE' => 1, 'APP_GROUP_PATH' => 'Modules', 'AUTOLOAD_PATH' => 'Think.Util', 'APP_TAGS_ON' => true, 'APP_SUB_DOMAIN_DEPLOY' => false, 'APP_SUB_DOMAIN_RULES' => array(), 'OUTPUT_ENCODE' => false, 'COOKIE_EXPIRE' => 0, 'COOKIE_DOMAIN' => '', 'COOKIE_PATH' => '/', 'COOKIE_PREFIX' => '', 'URL_PARAMS_BIND' => true, 'URL_404_REDIRECT' => '', 'DB_TYPE' => 'mysql', 'DB_HOST' => '127.0.0.1', 'DB_NAME' => 'thinkphp', 'DB_USER' => 'root', 'DB_PWD' => '', 'DB_PORT' => '3306', 'DB_PREFIX' => 'tp_', 'DB_FIELDTYPE_CHECK' => false, 'DB_FIELDS_CACHE' => true, 'DB_CHARSET' => 'utf8', 'DB_DEBUG' => true, 'DB_LITE' => false, 'DB_DEPLOY_TYPE' => 0, 'DB_RW_SEPARATE' => false, 'DB_MASTER_NUM' => 1, 'DB_SLAVE_NO' => '', 'DB_SQL_BUILD_CACHE' => false, 'DB_SQL_BUILD_LENGTH' => 20, 'TIME_ZONE' => 'PRC', 'SHOW_PAGE_TRACE' => false, 'LOG_RECORD' => true, 'LOG_TYPE' => 'File', 'LOG_LEVEL' => 'EMERG,ALERT,CRIT,ERR', 'LOG_FILE_SIZE' => 2097152, 'LOG_EXCEPTION_RECORD' => false, 'LOG_AUTO_RECORD' => true, 'SESSION_OPTIONS' => array(), 'SESSION_TYPE' => '', 'SESSION_PREFIX' => 'think', 'SESSION_EXPIRE' => 3600, 'SESSION_TABLE' => '', 'SESSION_COOKIE_NAME' => '', 'SESSION_AUTO_START' => true, 'SESSION_GC_DIVISOR' => 10000, 'SESSION_GC_MAXLIFETIME' => 1440, 'SESSION_DOMAIN' => '', 'SESSION_PATH' => '/', 'SESSION_SECURE' => false, 'SESSION_HTTPONLY' => true, 'VAR_SESSION_ID' => 'session_id', 'CACHE_TYPE' => 'File', 'CACHE_EXPIRE' => 0, 'CACHE_PREFIX' => '', 'CACHE_PATH' => TEMP_PATH, 'CACHE_FILE_SUFFIX' => '.php', 'CACHE_SERIALIZE' => true, 'CACHE_CHECK' => false, 'TMPL_CACHE_ON' => true, 'TMPL_CACHE_PREFIX' => '', 'TMPL_CACHE_TIME' => 0, 'TMPL_CACHE_PATH' => CACHE_PATH, 'TMPL_CACHE_FILE_SUFFIX' => '.php', 'TMPL_CACHE_FILE_EXT' => '.php', 'TMPL_CACHE_CHECK' => true, 'TMPL_EXCEPTION_FILE' => THINK_PATH . 'Tpl/think_exception.tpl', 'TMPL_ACTION_ERROR' => APP_PATH . 'Tpl/error.tpl', 'TMPL_ACTION_SUCCESS' => APP_PATH . 'Tpl/success.tpl', 'TMPL_DETECT_THEME' => false, 'TMPL_TEMPLATE_SUFFIX' => '.html', 'TMPL_ENGINE_TYPE' => 'Think', 'TMPL_CACHFILE_SUFFIX' => '.php', 'TMPL_DENY_FUNC_LIST' => 'echo,exit', 'TMPL_DENY_PHP' => false, 'TMPL_L_DELIM' => '{', 'TMPL_R_DELIM' => '}', 'TMPL_VAR_IDENTIFY' => 'array', 'TMPL_STRIP_SPACE' => true, 'TMPL_CACHE_ON' => false, 'TMPL_LAYOUT_ITEM' => '{__CONTENT__}', 'TMPL_CONTENT_TYPE' => 'text/html', 'TMPL_ACTION_ERROR' => APP_PATH . 'Tpl/error.tpl', 'TMPL_ACTION_SUCCESS' => APP_PATH . 'Tpl/success.tpl', 'LANG_SWITCH_ON' => false, 'LANG_AUTO_DETECT' => true, 'LANG_LIST' => 'zh-cn', 'VAR_LANGUAGE' => 'l', 'LANG_AUTO_REDIRECT' => false, 'TEMPLATE_CHARSET' => 'utf-8', 'COOKIE_HTTPONLY' => '', 'SECURE_FILTER' => '', 'CRYPT_TYPE' => 'Think', 'AUTH_KEY' => 'AuthKey', 'SECURITY_KEY' => 'SecurityKey', 'TOKEN_ON' => false, 'TOKEN_NAME' => '__hash__', 'TOKEN_TYPE' => 'md5', 'TOKEN_RESET' => true, 'TOKEN_CRYPT' => false, 'VAR_FILTERS' => '', 'DEFAULT_MODULE' => 'Home', 'DEFAULT_ACTION' => 'index', 'DEFAULT_THEME' => '', 'THEME_LIST' => '', 'THEME_DEFAULT' => '', 'THEME_ON' => false, 'THEME_FILE_SUFFIX' => '.html', 'THEME_TEMPLATE_SUFFIX' => '.html', 'THEME_TEMPLATE_PREFIX' => '', 'THEME_TEMPLATE_SUFFIX' => '.html', 'THEME_TEMPLATE_SEPARATOR' => '_',

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 3
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值