极品分享

dedecms变量覆盖漏洞/include/dedesql.class.php

标题:dedecms变量覆盖漏洞

描述:dedecms变量未初始化导致本地变量注入。

文件:/include/dedesql.class.php

解决方案:

大约在595行 

//特殊操作
if(isset($GLOBALS['arrs1']))

在该段代码前面增加如下代码:

$arrs1 = array(); 
$arrs2 = array();





延伸说明:漏洞原理


最近很多人反馈说阿里云后台提示织梦dedesql.class.php文件变量覆盖漏洞会导致SQL注入,可被攻击者构造恶意SQL语句,重置管理员密码,写入webshell等,进而获取服务器权限。下面告诉大家怎么修复这个漏洞:


首先说一下dedecms不安全的参数处理机制,这里我们看一下/include/common.inc.php代码的第106行:

14962999151-1.png


万恶之源其实就在这里,基本上目前dede被发现的漏洞全都死在这里。我们可以看到,程序从GPC数组中取出名值对后,只是对$_v做了简单的addslashes处理,就直接赋给了${$_k},实现了类似全局变量覆盖的机制,设计的初衷是为了开发方便,但却存在着严重的安全问题。PHP在经历了这么多年的更新换代终于修补了register_globals问题,但是dede的这段代码使php付出的努力全部白费。


下面我们回归漏洞。


首先是/include/dedesql.class.php的第595-607行,

14962999161-3.png



在执行这段代码之前,程序未初始化$arrs1和$arrs2这两个数组。结合前面提到的dede不安全的参数处理机制,利用这段代码我们可以覆盖任意全局变量。例如在这个漏洞中,我们可以控制$GLOBALS['cfg_dbprefix']的值。



解决方案:

修改/include/dedesql.class.php页面第595行,新增代码如下图

$arrs1 = array(); 
$arrs2 = array();



14962999167-2.png

2018-06-27 0 /
PHP学习
/
标签: 

评论回复

回到顶部