DeDecms任意用户登录,管理员密码重置漏洞

最新推荐文章于 2023-09-12 12:15:22 发布
最新推荐文章于 2023-09-12 12:15:22 发布
阅读量3.4k 收藏 12
点赞数
分类专栏： 漏洞复现 文章标签： 安全漏洞 网络安全 渗透测试
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/rpsate/article/details/119178969
版权

基本信息

漏洞编号：SSV-97087 实验版本：dedecms v5.7SP2
下载地址：http://updatenew.dedecms.com/base-v57/package/DedeCMS-V5.7-UTF8-SP2.tar.gz
参考文章：https://www.seebug.org/vuldb/ssvid-97074

前置知识

如果要把一个key存储到cookie中，织梦的存储方式是把key和加密key同时存储在cookie中。每次读取用户传来的key时，将key进行加密后与传来的加密key比对，如果相同则认为这个key合法。

注意！！！如果我们能模拟出这个加密算法，我们将可以从cookie中传递任何key。或者将想要的key传给服务器，让服务器加密后拿来用。这次的漏洞就是需要一个00001的cookie值，所以我们注册一个用户名为00001账号就可以获奖00001加密后的值。

漏洞思路

  1. 首先我们需要知道管理员admin账号信息存在两个表中：管理员账号表dede_admin和会员账号表dede_member。两张表中密码相同。
  2. 我们通过修改cookie中的mid（用户id）来登录其他账号，本次就是将mid修改为1来登录admin的前台。
  3. 然后前台处可以修改密码，此处修改会将两个表dede_admin和dede_member中的密码同时修改。

Q：修改密码时需要原密码，怎么获得原密码？

A：原密码可以通过利用前台任意密码修改漏洞获取。

Q：前台任意密码修改漏洞不会同时修改dede_admin和dede_member两个表的密码吗？

A：不会，此漏洞只会修改dede_member表的密码。

Q：既然可以获取admin的前台密码，为什么不直接登录然后修改密码？

A：admin是不能直接登录前台的。

前台任意密码修改漏洞链接：

https://www.cnblogs.com/masses0x1/articles/14433241.html

漏洞分析

首先我们来看一下是怎么写cookie的：

文件位置：dedecms/include/helpers/cookie.helper.php，21行。

if ( ! function_exists('PutCookie'))
{
    function PutCookie($key, $value, $kptime=0, $pa="/")
    {
        global $cfg_cookie_encode,$cfg_domain_cookie;
        setcookie($key, $value, time()+$kptime, $pa,$cfg_domain_cookie);
        setcookie($key.'__ckMd5', substr(md5($cfg_cookie_encode.$value),0,16), time()+$kptime, $pa,$cfg_domain_cookie);
    }
}

我们再看一下$cfg_cookie_encode变量：

$cfg_cookie_encode = '~cookieEncode~';

假如我们存个mid=1，那么cookie会存两个变量：分别为mid=1和mid_ckMd5=fd3b4f2a75d4965a。

其中fd3b4f2a75d4965a是通过函数substr(md5(~cookieEncode~1),0,16)得到。

然后我们再看一下cookie是怎么获取的：

文件位置：dedecms/include/helpers/cookie.helper.php，54行。

if ( !function_exists('GetCookie'))
{
    function GetCookie($key)
    {
        global $cfg_cookie_encode;
        if( !isset($_COOKIE[$key]) || !isset($_COOKIE[$key.'__ckMd5']) )
        {
            return '';
        }
        else
        {
            if($_COOKIE[$key.'__ckMd5']!=substr(md5($cfg_cookie_encode.$_COOKIE[$key]),0,16))
            {
                return '';
            }
            else
            {
                return $_COOKIE[$key];
            }
        }
    }
}

只有key与key__ckMd5相对应才能获取cookie。

下面我们来看看怎么获取1对应的__ckMd5,下面是访问dedecms/member/index.php时提交的cookie：

Cookie: PHPSESSID=ddafb3894d16a96197233b6ab28c98ba; 
last_vtime=1614052745;
last_vtime__ckMd5=6cc13992c8ce524d; 
last_vid=00001; last_vid__ckMd5=6d9d0779185557cd; 
_csrf_name_66650920=cc35349958296fded35969877cf44b84;
_csrf_name_66650920__ckMd5=d389d371487e2e14; DedeUserID=5;
DedeUserID__ckMd5=d1ff790bc9a1a796; DedeLoginTime=1614086248;
DedeLoginTime__ckMd5=a041486d5d63ce4d

以上cookie我们可控的只有last_vid,那我们怎样控制last_vid呢？

再看看关于last_vid的代码：

文件位置：dedecms/member/index.php，123行

require_once(DEDEMEMBER . '/inc/config_space.php');
if ($action == '') {
    include_once(DEDEINC . "/channelunit.func.php");
    $dpl = new DedeTemplate();
    $tplfile = DEDEMEMBER . "/space/{$_vars['spacestyle']}/index.htm";
    //更新最近访客记录及站点统计记录
    $vtime = time();
    $last_vtime = GetCookie('last_vtime');
    $last_vid = GetCookie('last_vid');
    if (empty($last_vtime)) {
        $last_vtime = 0;
    }
    if ($vtime - $last_vtime > 3600 || !preg_match('#,' . $uid . ',#i', ',' . $last_vid . ',')) {

        if ($last_vid != '') {
            $last_vids = explode(',', $last_vid);
            $i = 0;
            $last_vid = $uid;
            foreach ($last_vids as $lsid) {
                if ($i > 10) {
                    break;
                } else if ($lsid != $uid) {
                    $i++;
                    $last_vid .= ',' . $last_vid;
                }
            }
        } else {
            $last_vid = $uid;
        }
        PutCookie('last_vtime', $vtime, 3600 * 24, '/');
        PutCookie('last_vid', $last_vid, 3600 * 24, '/');

last_vid 保存的数据就是以前登录过得uid。所以我们只要用一个名为1的用户登录，last_vid就会保存1，last_vid__ckMd5保存的数据就是1对应的__ckMd5。

最后我们看一下登录代码：

文件位置:dedecms/include/memberlogin.class.php，161行

function __construct($kptime = -1, $cache=FALSE)
{
    global $dsql;
    if($kptime==-1){
        $this->M_KeepTime = 3600 * 24 * 7;
    }else{
        $this->M_KeepTime = $kptime;
    }
    $formcache = FALSE;
    $this->M_ID = $this->GetNum(GetCookie("DedeUserID"));
    $this->M_LoginTime = GetCookie("DedeLoginTime");
    $this->fields = array();
    $this->isAdmin = FALSE;
    if(empty($this->M_ID))
    {
        $this->ResetUser();
    }else{
        $this->M_ID = intval($this->M_ID);
        if ($cache)
        {
            $this->fields = GetCache($this->memberCache, $this->M_ID);
            if( empty($this->fields) )
            {
                $this->fields = $dsql->GetOne("Select * From `#@__member` where mid='{$this->M_ID}' ");
            } else {
                $formcache = TRUE;
            }
        } else {
            $this->fields = $dsql->GetOne("Select * From `#@__member` where mid='{$this->M_ID}' ");
        }

        if(is_array($this->fields)){
            #api{{
            if(defined('UC_API') && @include_once DEDEROOT.'/uc_client/client.php')
            {
                if($data = uc_get_user($this->fields['userid']))
                {
                    if(uc_check_avatar($data[0]) && !strstr($this->fields['face'],UC_API))
                    {
                        $this->fields['face'] = UC_API.'/avatar.php?uid='.$data[0].'&size=middle';
                        $dsql->ExecuteNoneQuery("UPDATE `#@__member` SET `face`='".$this->fields['face']."' WHERE `mid`='{$this->M_ID}'");
                    }
                }
            }
            #/aip}}

            //间隔一小时更新一次用户登录时间
            if(time() - $this->M_LoginTime > 3600)
            {
                $dsql->ExecuteNoneQuery("update `#@__member` set logintime='".time()."',loginip='".GetIP()."' where mid='".$this->fields['mid']."';");
                PutCookie("DedeLoginTime",time(),$this->M_KeepTime);
            }
            $this->M_LoginID = $this->fields['userid'];
            $this->M_MbType = $this->fields['mtype'];
            $this->M_Money = $this->fields['money'];
            $this->M_UserName = FormatUsername($this->fields['uname']);
            $this->M_Scores = $this->fields['scores'];
            $this->M_Face = $this->fields['face'];
            $this->M_Rank = $this->fields['rank'];
            $this->M_Spacesta = $this->fields['spacesta'];
            $sql = "Select titles From #@__scores where integral<={$this->fields['scores']} order by integral desc";
            $scrow = $dsql->GetOne($sql);
            $this->fields['honor'] = $scrow['titles'];
            $this->M_Honor = $this->fields['honor'];
            if($this->fields['matt']==10) $this->isAdmin = TRUE;
            $this->M_UpTime = $this->fields['uptime'];
            $this->M_ExpTime = $this->fields['exptime'];
            $this->M_JoinTime = MyDate('Y-m-d',$this->fields['jointime']);
            if($this->M_Rank>10 && $this->M_UpTime>0){
                $this->M_HasDay = $this->Judgemember();
            }
            if( !$formcache )
            {
                SetCache($this->memberCache, $this->M_ID, $this->fields, 1800);
            }
        }else{
            $this->ResetUser();
        }
    }
}

我们只要修改DedeUserID和DedeUserID__ckMd5为1和1对应的__ckMd5就可以用admin登录前台。

再看一下上面代码的这一句：

$this->M_ID = intval($this->M_ID);

所以这个DedeUserID不一定要为1，也可以为01,0001等等，是要intval(DedeUserID)==1即可。

漏洞复现

1.下载dedemcs v5.7SP2并开启会员模块

此处不再复述环境搭建，可参考https://www.cnblogs.com/masses0x1/articles/14433241.html

5.7版本首页打开缓慢，可删除广告模块和生成静态页面来提高速度。

在这里插入图片描述

2.注册会员

注册会员名为00001。会员名不一定要为00001，会员名通过intval()函数转化后等于1就可以。

在这里插入图片描述

3.登录，查看last_vid和last_vid_ckMd5

需访问uploads/member/index.php?uid=00001才能生成last_vid。记住last_vid和last_vid_cMd5的值。

此处用的cookie管理插件是“Cookie Quick Manager”。

在这里插入图片描述

4.修改cookie中的DedeUserID和DedeUserID__ckMd5

分别将last_vid和last_vid_ckMd5的值赋给cookie中的DedeUserID和DedeUserID_ckMd5。

在这里插入图片描述

5.登录成功

在这里插入图片描述

6.修改密码

此处修改密码需要原密码，原密码的获取方法可通过另一个漏洞获取，链接如下：

https://www.cnblogs.com/masses0x1/articles/14433241.html

在这里插入图片描述

到此已获取后台密码，感谢师傅们阅读！

rpsate
关注
  • 0
    点赞
  • 踩
  • 12
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
基于PHP的Dedecms管理员账号密码重置php文件(dedecms源码.zip
08-13
基于PHP的Dedecms管理员账号密码重置php文件(dedecms源码.zip
DedeCMS V5.7sp2最新版本parse_str函数SQL注入漏洞
网站安全专家
08-10 3756
织梦dedecms，在整个互联网中许多企业网站，个人网站，优化网站都在使用dede作为整个网站的开发架构，dedecms采用php+mysql数据库的架构来承载整个网站的运行与用户的访问，首页以及栏目页生成html静态化，大大的加快的网站访问速度，以及搜索引擎的友好度，利于百度蜘蛛的抓取，深受广大站长以及网站运营者的喜欢。最近我们发现dedecms漏洞，存在高危的parse_str函数sql注入漏...
Dedecms 5.7 SP2后台getshell
一个安全研究员
07-02 9783
前言 最近也打算研究研究各大cms的漏洞了，正好看到一篇关于dedecms后台getshell的文章，所以也自己动手复现一下，这样以后遇到了也更容易上手。该漏洞涉及的版本是dedecms的最新版吧，下载地址： http://www.dedecms.com/products/dedecms/downloads/ 复现 版本： 我这里测试的是utf8版，这个版本应该不影响。 漏洞位...
DedeCMS_v5.7漏洞复现
热门推荐
qq_51459600的博客
04-06 1万+
DedeCMS_v5.7漏洞复现 环境搭建： 服务器：WinServer2008（10.10.10.143） + phpstudy2018 DedeCMS版本：DedeCMS-V5.7-UTF8-SP2 下载地址：https://pan.baidu.com/s/1GQjWSDe7IlMVsVJ7HvrBOw 提取码: i4wk 0x01 URL重定向 版本<=5.7sp2 漏洞复现 payload： http://10.10.10.143/Dedecms/plus/download.php?open
dedecms批量漏洞扫描.zip_dedecms_dedecms 扫描器_dedecms漏洞_dedecms路径扫描_批量扫描
07-13
dedecms批量漏洞扫描，大家可以自己试试效果
DedeCMS_v5.7其他漏洞复现
wutiangui的博客
09-12 269
其中aHR0cDovL3d3dy5iYWlkdS5jb20=是http://www.baidu.com的base64编码。管理员在添加用户购买商品的配送方式时，可能会触发存储型xss。进入后台—>会员—>配货方式设置—>增加一个配货方式。二、后台shops_delivery_存储型XSS。后台modifytmp.inc被写入了新内容。三、sys_verifies后台文件写入。用户在购买商品时会自动弹出配送方式列表。版本：5.7sp1、5.7sp2。访问后发现直接转到百度。
DedeCMS5.7-前台文件上传漏洞
LYJ20010728的博客
06-10 1183
DedeCMS5.7-前台文件上传漏洞环境搭建漏洞复现漏洞分析 环境搭建 官方下载DeDeCMS V5.7 SP2(UTF-8)，下载地址 使用phpstudy搭建web环境 把下载好的源码放到网站根目录下，开启phpstudy,，浏览器访问即可 点击我已阅读并继续，进行环境检测，保存默认即可 接下来是参数配置，需要设置的只有数据库密码，将本地数据库的密码填上即可 环境搭建完成后，登录后台，开启会员功能 漏洞复现 进入会员中心，由于后面上传文件有权限限制，所以我们必
dede cookie.helper.php,dedecms前台任意用户登录漏洞重现及分析
weixin_42364539的博客
03-18 545
0x00概述2018年1月，网上爆出dedecmsv5.7sp2前台任意用户登录漏洞，利用此漏洞可以让管理员登录前台，是重置管理员后台密码的组合拳中的第二式。组合拳第一式：dedecms前台任意用户密码重置漏洞重现及分析0x01漏洞重现需要先将用户0000001通过审核，再访问http://127.0.0.1:8999/lsawebtest/vulnenvs/dedecms/dedecms-...
织梦CMS_V5.7任意用户密码重置漏洞复现
wutiangui的博客
09-12 638
漏洞位于member/resetpassword.php文件中，因未对传入的参数safeanswer进行严格类型检查，导致可使用弱类型比较绕过。在代码分析中，当 d o p o s t 等于 s a f e q u e s t i o n 时，通过传入的 dopost等于safequestion时，通过传入的 dopost等于safequestion时，通过传入的mid查询用户信息，判断安全问题和答案是否匹配。输入新密码，比如admin,然后登录试下，发现登录成功，数据库里查到的也是admin。
DedeCMS V57_UTF8_SP2后台任意文件上传(CVE-2018-20129)
公众号shadow sock7
01-24 4238
漏洞触发点在： include/dialog/select_images.php 即选择图片文件处。 提交点请求是向这个文件： include/dialog/select_images_post.php 该文件的第一个有效行： require_once(dirname(__FILE__).&quot;/config.php&quot;); config.php第一个有效行： require_once(dirn...
pinohans#pinohans.github.io#Dedecms 前台任意用户密码修改1
07-25
Dedecms 前台任意用户密码修改影响版本漏洞成因在用户密码重置功能处，php 存在弱类型比较，导致如果用户没有设置密保问题的情况下可以绕过验证密保问题，直接
织梦dede管理员密码修改工具
01-22
织梦dede管理员密码修改工具，如果管理密码忘了、可以这个程序重置密码。
一文解读，网络安全行业人才需求情况《网络安全产业人才发展报告》
weixin_59086772的博客
10-18 8199
随着近几天国家网络安全宣传周在全国各地开展活动，网络安全再一次成为热门话题。网络安全不再缩在小小的安全圈子里，惠及面越来越广。不少对网络安全颇有兴趣的朋友非常关心行业前景如何？该怎么提升自我能力，更快地加入网安行列。 今天雨笋君就10月13日在网络安全宣传周上发布的《2021网络安全人才报告》进行一个简单的行业前景分析。 一、网络安全行业市场发展情况 网络时代生活越来越离不开网络，与此同时发生的网络安全攻击事件、非法入侵等等一系列事件都威胁着普通人的生活。没有网络安全保障，个人和企业等重.
基于matlab实现的相移光纤光栅(FBG.rar
05-04
基于matlab实现的相移光纤光栅(FBG.rar
nfcPro-2020071702 id、ic读卡器软件
05-04
配套设备仪器用
数据更新至2020年分地区电源项目 建设本年施工规模.xls
05-05
数据来源：中国电力统计NJ-2021版
基于matlab实现烟花寻优算法，自己编的.rar
05-04
基于matlab实现烟花寻优算法，自己编的.rar
数据更新至2020年分电压等级35千伏及以上 企业自备变压器情况.xls
最新发布
05-05
数据来源：中国电力统计NJ-2021版
dedecms漏洞复现
03-28
由于 Dedecms 平台存在多个漏洞，以下是一个常见的 Dedecms 漏洞复现过程： 1. 扫描目标 Dedecms 站点，确定其版本号和漏洞类型。 2. 找到对应的漏洞利用代码，例如 Dedecms v5.7 SP2 sql注入漏洞利用代码： ``` http://www.target.com/search.php?kw=%27%20and%201=2%20union%20select%201,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28,29,30,31,32,33,34,35,36,37,38,39,40,41,42,43,44,45,46,47,48,49,50,51,52,53,54,55,56,57,58,59,60,61,62,63,64,65,66,67,68,69,70,71,72,73,74,75,76,77,78,79,80,81,82,83,84,85,86,87,88,89,90,91,92,93,94,95,96,97,98,99,100%23 ``` 3. 将漏洞利用代码粘贴到浏览器地址栏并访问，如果出现错误信息或页面内容发生变化，则说明漏洞存在。 4. 利用漏洞进行攻击，例如获取敏感数据、添加管理员账户等。 需要注意的是，任何未经授权的攻击行为都是违法的，建议仅在合法的安全测试环境中进行漏洞复现和攻击。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

rpsate

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值