织梦cms

前言:织梦内容管理系统(DedeCms) 以简单、实用、开源而闻名，是国内最知名的PHP开源网站管理系统，也是使用用户最多的PHP类CMS系。

本次渗透测试主要针对用实战项目来增强小白的渗透意识和思路,让小白学会在网上搜Nday漏洞来一步一步形成自己的渗透思维。

初衷:写文章只是想让一些小白能得到更好的资料文章去学习,自学的最大误区就是迷茫,不知从何学起,要学什么,学到什么程度,学到后面自己连自己学什么都不知道。

项目介绍

本项目是把cms源码二改之后的真实项目,贴近于实战,项目简单偏一点难度,与网上公布的漏洞和文章有所偏差,但二改的目的也是为了学会如何利用Nday拿下服务器,主要增强渗透小白的实战经验,如果想要二改项目的源码评论留言.

实战复现

首先访问网站www.dede.com

拿到网站先对其信息收集,网站的信息收集分为目录(敏感文件),api接口,端口,用什么中间件搭建的,网站的语言是用什么写的,用的什么cms框架等一些信息

信息搜集以后有时间会出一篇详细的文章

先使用浏览器插件简单查看

可以发现cms是织梦的dedecms,操作系统是windows server ,使用apache中间件搭建的,网站语言是用php语言写的

从这些信息我们就有一个思路去测试了,那就是这个织梦的cms是比较老的系统了,而且爆出的漏洞也多我们可以尝试去网上查找Nday去测试,对于脚本语言的收集也是很重要的,比如apache中的有解析漏洞,任何版本都能使用,还有一个低于5.3版本可以使用%00截断,IIS6.0会有文件名解析漏洞、IIS7.0或者7.5会有畸形解析漏洞等。不同的web服务器版本，存在着不同漏洞。

先不着急,我们已经收集到了是用php写的,那么我们就要联想到一个特殊文件,那就是robots.txt文件,我们可以尝试访问这个文件看看有没有

有个敏感信息,得到一个test1的账号,但是没有密码,我们可以尝试对网站目录进行深入的扫描,看看还有没有敏感文件泄露

使用御剑进行目录深度扫描

大概这些都看了一遍,有一个网站源码压缩包,一个robots刚刚看过了,还有一个前台登录地址这些比较重要的信息

我们在看看他网站的网络里面还请求了哪些东西

这两个是带有参数请求的点进去看看

里面的参数测了半天也没啥反应,应该是没有什么信息了,最后试了一下出来了一个xss

但是这个没有用处我们目的是拿下服务器

压缩包里面有个提示

这里提示了很清楚Nday,不就是我们一开始收集信息时的织梦cms的Nday吗

尝试网上查找Nday

在网上找了一个前台任意密码修改的漏洞,那我们一开始获取的test1不就是能利用这个漏洞吗,开始攻击

漏洞paload

dopost=safequestion&id=1&userid=admin&safequestion=00&safeanswer=0&vdcode=这里是填验证码

替换我们自己的payload

访问这个返回包的网址,注意:这个地址里面带有一些特殊字符amp;得删掉,可能是bp自带的空格编码

从这里发现了一个问题id为2就是test1,那有没有可能修改id能访问其他用户,尝试修改

发现真的修改id可以发现其他用户,尝试用bp爆破遍历

可以发现里面有5个用户,1很有可能就是管理员,就是我们刚刚得到的hejun,同样的漏洞payload尝试修改hejun的密码,修改成功,发现用前台登不进去,test1就能登进去,这就很离谱了

登进后台点功能点看看哪里有可用信息

然而发现点了很多功能都显示错误,跳回用户界面,最后点到test4用户,能进到该用户的空间里

这里有什么就点什么,也没发现能getshell的点

最后点到test1用户时发现了一个重要的点

既然uid=什么用户就是什么用户,那这个点就有可能存在越权了

修改uid=hejun看看返回什么

并发现在留言板的地方有个提示,后台账户,密码要猜,说明是弱口令,只要爆破进后台就可以getshell了拿下服务器了,那我们的思路就要到后台去了,寻找这个网站的后台

这个cms是开源的cms我们可以尝试网上去找后台路径

网上说cms默认为dede

文件目录不存在,尝试使用login的路径,大多数都是login目录或者admin

都找不到那只能使用工具爆破了,工具是github里面找的现成工具

发现后台地址

先尝试用admin弱口令手动测试,发现密码错误

上bp工具去弱口令爆破

注意:这里是有验证码的所以我们如果要爆破必须要识别验证码,我使用的是bp的一个验证码识别的插件

如果想用这个验证码识别工具的,给我留言评论我会发安装教程与使用方法

发现密码是admin888登录成功,翻看后台查找能利用的点,发现上传文件的点,尝试上传木马

上传图片马

修改后缀跟对一句话木马做一个伪装绕过的内容,防止waf拦截,详情想了解文件上传绕过的联系我也会有资料分享

访问文件

用蚁剑连接

找到flag

这种是base64加密,拿去解密两次得到结果

结语

做渗透一定要细心,培养自己的自信心,先尝试从简单的做起让自己形成一种渗透思维,有了成就感才会产生兴趣,所以希望在迷茫中的小白们一定不要轻言放弃,说不定再坚持一下就会有惊喜!

本文作者：知秋的逆袭之路， 转载请注明来自FreeBuf.COM

【Hacking黑白红】，一线渗透攻防实战交流公众号

回复“电子书”获取web渗透、CTF电子书:
回复“视频教程”获取渗透测试视频教程;  
回复“内网书籍”获取内网学习书籍;        
回复“CTF工具”获取渗透、CTF全套工具;
回复“内网渗透”；获取内网渗透资料;
回复“护网”；获取护网学习资料 ;
回复“python”,获取python视频教程；
回复“java”，获取Java视频教程;
回复“go”，获取go视频教程

知识星球

欢迎加入99米/年，平均每天2毛7分钱，学习网络安全一整年。

原文始发于微信公众号（Hacking黑白红）：实战项目|对dedecms二改后的真实渗透