Dedecms_V5.7 getshell 利用后臺(tái)文件上傳功能漏洞

2024-08-30 19:08:07

字體：大中小

供稿：網(wǎng)友

雖然是復(fù)現(xiàn)文章，不過(guò)會(huì)更詳細(xì)地來(lái)闡釋這個(gè)漏洞，，因?yàn)楝F(xiàn)在后臺(tái)getshell花樣層出不窮，因此想要復(fù)現(xiàn)一波來(lái)學(xué)習(xí)一波getshell姿勢(shì)~

因?yàn)槭亲钚碌膁edecms版本，因此我們直接在織夢(mèng)官網(wǎng)上下載即可~

http://www.dedecms.com/products/dedecms/downloads/

DedeCMS V5.7 SP2正式版

發(fā)布日期： 2017-04-05

這里我測(cè)試的是utf-8版本，，感覺(jué)版本這個(gè)無(wú)所謂~

下載下來(lái)然后安裝什么的就不說(shuō)了，，直接進(jìn)后臺(tái)，找到漏洞功能以及對(duì)應(yīng)的功能函數(shù)

Dedecms_V5.7 getshell 利用后臺(tái)文件上傳功能漏洞

漏洞在”模塊”下的”廣告管理”處，這里我們點(diǎn)擊“添加一個(gè)新廣告”

Dedecms_V5.7 getshell 利用后臺(tái)文件上傳功能漏洞

跟原文復(fù)現(xiàn)的有一點(diǎn)不一樣，，不過(guò)不影響，，下面我們來(lái)抓包看看參數(shù)

Dedecms_V5.7 getshell 利用后臺(tái)文件上傳功能漏洞

我們的參數(shù)在normbody里，文件為dede/ad_add.php

$query = "

INSERT INTO xiuzhanwang_myad(clsid,typeid,tagname,adname,timeset,starttime,endtime,normbody,expbody)

VALUES('$clsid','$typeid','$tagname','$adname','$timeset','$starttime','$endtime','$normbody','$expbody');

$dsql->ExecuteNoneQuery($query);

ShowMsg("成功增加一個(gè)廣告！","ad_main.php");

exit();

在這里我們看到了我們的代碼已經(jīng)插入到了數(shù)據(jù)庫(kù)，，一般的思路應(yīng)該是找哪些php文件調(diào)用了這個(gè)廣告代碼，但是點(diǎn)擊我們的廣告代碼就出現(xiàn)了地址。

Dedecms_V5.7 getshell 利用后臺(tái)文件上傳功能漏洞

$cacheFile = DEDEDATA.'/cache/myad-'.$aid.'.htm';

if( isset($nocache) || !file_exists($cacheFile) || time() - filemtime($cacheFile) > $cfg_puccache_time )

{

$row = $dsql->GetOne("SELECT * FROM `xiuzhanwang_myad` WHERE aid='$aid' ");

$adbody = '';

if($row['timeset']==0)

{

$adbody = $row['normbody'];

}

else

{

$ntime = time();

if($ntime > $row['endtime'] || $ntime < $row['starttime']) {

$adbody = $row['expbody'];

} else {

$adbody = $row['normbody'];

}

$adbody = str_replace('"', '/"',$adbody);

$adbody = str_replace("/r", "//r",$adbody);

$adbody = str_replace("/n", "//n",$adbody);

$adbody = "/r/n";

$fp = fopen($cacheFile, 'w');

fwrite($fp, $adbody);

fclose($fp);

}

include $cacheFile;

這里首先是三個(gè)判斷條件，nocache不為空，cachefile不為空，這些判斷條件我們都可以通過(guò)GET或者POST來(lái)提交，從而進(jìn)行偽造~

進(jìn)入判斷條件后往下走，首先是從數(shù)據(jù)庫(kù)中select aid，那么這時(shí)候我們到數(shù)據(jù)庫(kù)中去看看：

Dedecms_V5.7 getshell 利用后臺(tái)文件上傳功能漏洞

這里當(dāng)時(shí)在填寫廣告信息的時(shí)候，設(shè)置的timeset為0，因此也就直接令$adbody = $row[‘normbody’];

而這里的normbody也就是我們的evil code，下面我們就應(yīng)該重點(diǎn)看這個(gè)adbody參數(shù)

首先進(jìn)行三個(gè)replace，這里的replace好像對(duì)我們的參數(shù)沒(méi)有影響，因此直接跳過(guò)~

接著將adbody參數(shù)插入到document.write()代碼中，這里如果做過(guò)ctf的人都應(yīng)該有一種感覺(jué)，那就是參數(shù)閉合的話，將會(huì)造成任意代碼執(zhí)行，這里也就是漏洞的成因所在！

最后打開(kāi)cachefile，將adbody寫入到文件中~

這里由于這個(gè)文件是html靜態(tài)文件，，因此沒(méi)有可利用點(diǎn)，，還是找下文件吧，，

WWW/uploads/data/cache/myad-3.html

Dedecms_V5.7 getshell 利用后臺(tái)文件上傳功能漏洞

如果是動(dòng)態(tài)文件，，因此我們也可以利用前后閉合來(lái)實(shí)現(xiàn)任意代碼，，扯遠(yuǎn)了。。

總結(jié)來(lái)說(shuō)其實(shí)就是$adbody = “<!