织梦CMS RCE(0day)

admin 2023年3月12日22:06:52评论34 views字数 1114阅读3分42秒阅读模式

织梦CMS RCE(0day)

织梦官网:https://www.dedecms.com/download

受影响的版本 <=dedecms v5.7.105

织梦部署量截图

织梦CMS RCE(0day)

织梦CMS RCE(0day)

来看下漏洞源码

uploads/dede/templets_one_edit.php

织梦CMS RCE(0day)

为了方便,我这里就直接在每行代码的后面写注释

织梦CMS RCE(0day)

首先会判断用户提交的数据dopost的值是否等于saveedit,如果是就进入if语句

织梦CMS RCE(0day)

25行然后开始替换字符串

织梦CMS RCE(0day)

这里开始正则匹配替换用户提交的文件名,如下图所示

织梦CMS RCE(0day)

织梦CMS RCE(0day)

然后来到128行,判断dopost的值是否等于view,如果是则进入if语句

织梦CMS RCE(0day)

然后开始判断aid的是否为空,如果为空则进入if语句

织梦CMS RCE(0day)

这个是php构造函数

织梦CMS RCE(0day)

定位这个用户自定义函数

织梦CMS RCE(0day)

得知是输出动态结果,也就是预览文件,这里有个问题,就是在27行替换了用户提交的文件名并没有过滤用户提交的文件名是否合法,导致攻击者可以利用该漏洞非法建立与服务器之间的访问权限,漏洞利用链如下

织梦CMS RCE(0day)

第一步先来到模板这里创建一个新模板

织梦CMS RCE(0day)

内容如图,文件名为78.htm,在内容处写免杀(这里一定要写,不然没法利用)

织梦CMS RCE(0day)

然后来到核心->单页文档管理,创建一个新的文档

织梦CMS RCE(0day)

然后在模板处写入刚刚创建的恶意htm模板(这里会把htm文件里的内容写入到新建的php文件里),文件名后缀改为php

织梦CMS RCE(0day)

创建成功

织梦CMS RCE(0day)

如果不修改目录的话,就在a目录里,然后在访问刚刚创建的恶意文件,成功返回了探针

织梦CMS RCE(0day)


织梦CMS RCE(0day)


免责声明

由于传播、利用本公众号NGC660安全实验室所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,公众号NGC600安全实验室及作者不为此承担任何责任,一旦造成后果请自行承担!如有侵权烦请告知,我们会立即删除并致歉。谢谢!


为了方便师傅们交流学习,我特意创建了一个群聊。内部会分享一些脱敏的漏洞报告,渗透测试实战案例,更有若干大牛巨佬分享经验。后续还会提供一些福利包括送书,小礼物等等,欢迎各位师傅进群交流

由于LK的安全小密圈群聊人数已满200人,扫码进不了的师傅可以添加机器人secbot回复LK安全即可加入群聊

织梦CMS RCE(0day)

织梦CMS RCE(0day)


关于知识星球


在一些师傅的建议和帮助下也是开通了知识星球,在开通不到一个月的时间里加入人数已经达到100+,星球内原创文章数量达到60+。目前星球主打SRC挖掘和渗透测试学习。后续也会加入代码审计,免杀,各类文档资料,各类IT网课等等。星球目前内容百分之九十以上为师傅们原创文章或思路,以及各大SRC平台的脱敏漏洞报告,真实渗透测试案例。星球目前的嘉宾有资深红队成员,某甲方安全团队成员,SRC高级白帽子等等。欢迎各位师傅们加入一起学习!!!




付费圈子


欢 迎 加 入 星 球 !


织梦CMS RCE(0day)


星球内容展示


织梦CMS RCE(0day)

织梦CMS RCE(0day)


织梦CMS RCE(0day)




织梦CMS RCE(0day)

如何加入星球



织梦CMS RCE(0day)

原文始发于微信公众号(LK安全):织梦CMS RCE(0day)

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年3月12日22:06:52
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   织梦CMS RCE(0day)http://cn-sec.com/archives/1598537.html

发表评论

匿名网友 填写信息