DedeCms V5.1 tag.php注入漏洞

發(fā)布時間：2011-03-11 12:11:41 作者：佚名

DedeCms V5.1 [sp1]漏洞描述: 　　Dedecms算是使用比較廣泛的PHP整站系統(tǒng)了，在被使用的同時系統(tǒng)的安全性也被人們關(guān)注目錄下的tag.php文件對變量$tag處理不當，導致注入漏洞的形成　

SEBUG-ID:3885
SEBUG-Appdir:織夢(DedeCms)
發(fā)布時間:2008-08-20
影響版本:
DedeCms V5.1 [sp1]漏洞描述:
Dedecms算是使用比較廣泛的PHP整站系統(tǒng)了，在被使用的同時系統(tǒng)的安全性也被人們關(guān)注

目錄下的tag.php文件對變量$tag處理不當，導致注入漏洞的形成
因為可以使用“'”,所以如果條件可以的話可以直接into file得SHELL。
<*參考
toby57 [www.toby57.cn]
*>
測試方法:
[www.sebug.net]
本站提供程序(方法)可能帶有攻擊性,僅供安全研究與教學之用,風險自負!http://www.sebug.net/bbs/thread-332-1-1.htmlSEBUG安全建議:
暫無
www.dedecms.com// sebug.net [2008-08-20]
Dedecms算是使用比較廣泛的PHP整站系統(tǒng)了，在被使用的同時系統(tǒng)的安全性也被人們關(guān)注。在以前dedecms也爆過不少漏洞，官方都很快出了補丁，前幾天公布了注射漏洞，其實這個系統(tǒng)也受最近很流行的多字節(jié)編碼漏洞影響。不過今天說的這個漏洞與多字節(jié)編碼無關(guān)，倒跟URL編解碼有關(guān)系，

呵呵。僅測試了DedeCms2007(DedeCms V5.1 [sp1])。
目錄下的tag.php文件對變量$tag處理不當，導致注入漏洞的形成，話不多說，貼代碼：

復制代碼

代碼如下:

if(isset($_SERVER["QUERY_STRING"])){
$tag = trim($_SERVER["QUERY_STRING"]); //得到GET的參數(shù)
$tags = explode(’/’,$tag); //以“/”分隔為數(shù)組$tags
$tag = $tags[1]; //取數(shù)組$tags的第二個元素
if(count($tags)>3) $PageNo = intval($tags[2]);
}else{
$tag = "";
}
$tag = urldecode($tag); //對變量$tag做URL解碼處理，%27解碼后就成了“’”
//如果沒有Tag或Tag不合法，顯示所有Tag
if($tag=="" || $tag!=addslashes($tag) ){ //如果$tag為空或有’、"、\等字符則執(zhí)行
$dlist = new TagList($tag,’tag.htm’); //創(chuàng)建類TagList的實例,$tag傳給其構(gòu)造函數(shù)，此時$tag可能包含“’”
}
//如果有Tag，顯示文檔列表
else{
$dlist = new TagList($tag,’taglist.htm’);
}
類TagList相關(guān)代碼：(./include/inc_taglist_view.php)
class TagList
{
..
var $Tag;
..
//php5構(gòu)造函數(shù)
function __construct($keyword,$templet) //$keyword=$tag
{
..
$this->Tag = $keyword; //$this->Tag=$tag
..
if($this->Tag!=’’)
{
$this->TagInfos = $this->dsql->GetOne("Select * From `cms_tag_index` where tagname like ’{$this->Tag}’ "); //查詢執(zhí)行，漏洞產(chǎn)生！
}

以上就是代碼的分析，可能說得不太清楚，這樣的漏洞因為可以使用“'”,所以如果條件可以的話可以直接into file得SHELL。
利用方面大家自由發(fā)揮。為了方面我自己寫了一個利用程序:

dedeExp.exe

當File_priv為YES并得到了物理路徑的時候就可以直接Get the shell了。其中得到物理路徑的方法是利用了./include/htmledit/index.php的一個漏洞，我們提交./include/htmledit/index.php?modetype=basic&height[]=toby57就可能得到路徑。

如果這樣得不到的話，還可利用重新安裝漏洞，提交./install/index.php?step=2可以重新安裝系統(tǒng)，當然也可以得到物理路徑。

因為不能union查詢，所以運氣差的只有自己Get the hash再破解進后臺拿SHELL了。