DeDeCMS v5.7 密码修改漏洞分析

作者:LoRexxar'@知道创宇404实验室

0x01 背景

织梦内容管理系统(DedeCms)以简单、实用、开源而闻名,是国内最知名的PHP开源网站管理系统,也是使用用户最多的PHP类CMS系统,在经历多年的发展,目前的版本无论在功能,还是在易用性方面,都有了长足的发展和进步,DedeCms免费版的主要目标用户锁定在个人站长,功能更专注于个人网站或中小型门户的构建,当然也不乏有企业用户和学校等在使用该系统。 2018年1月10日, 锦行信息安全公众号公开了一个关于DeDeCMS前台任意用户密码修改漏洞的细节[2]。 2018年1月10日,Seebug漏洞平台[3]收录该漏洞,漏洞编号为SSV-97074,知道创宇404漏洞应急团队成功复现该漏洞。 2018年1月17日,阿里先知平台公开了一个任意用户登陆漏洞[4][1],和一个安全隐患[6],通过组合漏洞,导致后台密码可以被修改。 2018年1月18日,知道创宇404漏洞应急团队成功复现该漏洞。

0x02 漏洞简述

整个漏洞利用链包括3个过程:

  1. 前台任意用户密码修改漏洞
  2. 前台任意用户登陆漏洞
  3. 前台管理员密码修改可影响后台的安全隐患

通过3个问题连起来,我们可以重置后台admin密码,如果我们获得了后台地址,就可以进一步登陆后台进行下一步攻击。 1、前台任意用户密码修改漏洞

前台任意用户密码修改漏洞的核心问题是由于DeDeCMS对于部分判断使用错误的弱类型判断,再加上在设置初始值时使用了NULL作为默认填充,导致可以使用弱类型判断的漏洞来绕过判断。 漏洞利用有几个限制:

  1. 漏洞只影响前台账户 admin账户在前台是敏感词无法登陆
  2. admin账户的前后台密码不一致,无法修改后台密码。
  3. 漏洞只影响未设置密保问题的账户

2、前台任意用户登陆漏洞 前台任意用户登陆漏洞主要是利用了DeDeCMS的机制问题,通过一个特殊的机制,我们可以获得任意通过后台加密过的cookie,通过这个cookie我们可以绕过登陆,实现任意用户登陆。 漏洞利用有一个限制:

如果后台开启了账户注册审核,那就必须等待审核通过才能进行下一步利用。 3、前台管理员密码修改可影响后台的安全隐患 在DeDeCMS的设计中,admin被设置为不可从前台登陆,但是当后台登陆admin账户的时候,前台同样会登陆管理员账户。 而且在前台的修改密码接口,如果提供了旧密码,admin同样可以修改密码,并且这里修改密码会同步给后台账户。 通过3个漏洞配合,我们可以避开整个漏洞利用下的大部分问题。 前台任意用户密码修改漏洞->修改admin密码,前台任意用户登录漏洞->登陆admin账户,通过刚才修改的admin密码,来重置admin账户密码。

0x03 漏洞复现

1、 登陆admin前台账户 安装DeDeCMS

注册用户名为000001的账户

由于是本地复现漏洞,所以我们直接从数据库中修改为审核通过

访问

http://your_website/member/index.php?uid=0000001

获取cookie中last_vid_ckMd5值,设置 DeDeUserID_ckMd5为刚才获取的值,并设置DedeUserID为0000001

访问

http://your_website/member/

2、修改admin前台登陆密码 使用DeDeCMS前台任意用户密码修改漏洞修改admin前台密码。

构造漏洞利用请求

http://yourwebsite/member/resetpassword.php dopost=safequestion&safequestion=0.0&safeanswer=&id=1

从Burp获取下一步利用链接

/member/resetpassword.php?dopost=getpasswd&id=1&key=nlszc9Kn

直接访问该链接,修改新密码

成功修改登陆admin密码 3、修改后台密码 访问

http://yourwebsite/member/edit_baseinfo.php

使用刚才修改的密码再次修改密码

成功登陆

0x04 代码分析

1、 前台任意用户登陆 在分析漏洞之前,我们先来看看通过cookie获取登陆状态的代码。

/include/memberlogin.class.php 161行

通过GetCookie函数从DedeUserID取到了明文的M_ID,通过intval转化之后,直接从数据库中读取该id对应的用户数据。 让我们来看看GetCookie函数

/include/helpers/cookie.helper.php 56行

这里的cfg_cookie_encode是未知的,DeDeCMS通过这种加盐的方式,来保证cookie只能是服务端设置的,所以我们没办法通过自己设置cookie来登陆其他账户。 这里我们需要从别的地方获取这个加密后的值。

/member/index.php 161行

161行存在一段特殊的代码,这段代码是用来更新最新的访客记录的,当last_vid 没有设置的时候,会把userid更新到这个变量中,更新到flag中。 而这里的userid就是注册时的用户名(如果不是已存在的用户名的话,会因为用户不存在无法访问这个页面)。 通过这种方式,我们就可以通过已知明文来获取我们想要的密文。 这里我们通过注册userid为形似00001或者1aaa这样的用户,在获取登陆状态时,mid会经过intval的转化变为1,我们就成功的登陆到admin的账户下。 ps:该漏洞影响所有用户 2、前台任意用户密码修改 漏洞主要逻辑在 /member/resetpassword.php 75行至95行

当找回密码的方式为安全问题时 dedecms会从数据库中获取用户的安全问题、回答进行比对,当我们在注册时没设置安全问题时。 从数据库中可以看到默认值为NULL(admin默认没有设置安全问题)

下面是设置了安全问题时数据库的样子,safequestion代表问题的id,safeanswer代表安全问题的回答。 我们需要绕过第一个判断

if(empty($safequestion)) $safequestion = '';

这里我们只要传入 0.0 就可以绕过这里,然后0.0 == 0为True,第二个判断NULL==""为True,成功进入sn函数。 跟入/member/inc/inc_pwd_functions.php 第150行

有效时间10分钟,进入newmail函数 跟入/member/inc/inc_pwd_functions.php第73行

77行通过random生成了8位的临时密码。 这里我们使用的是安全问题修改密码,所以直接进入94行,将key代入修改页。 跳转进入形似

/member/resetpassword.php?dopost=getpasswd&id=1&key=nlszc9Kn

的链接,进入修改密码流程 唯一存在问题的是,这里&错误的经过一次编码,所以这里我们只能手动从流量中抓到这个链接,访问修改密码。 3、修改后台密码安全隐患 在DeDeCMS的代码中,专门对前台修改管理员密码做了设置,如果是管理员,则一并更新后台密码,也就是这个安全隐患导致了这个问题。

/member/edit_baseinfo.php 119行

0x05 修复方案

截至该文章完成时,DeDeCMS的官方仍然没有修复该漏洞,所以需要采用临时修复方案,等待官方正式修复更新。 由于攻击漏洞涉及到3个漏洞,但官方仍然没有公开补丁,所以只能从一定程度上减小各个漏洞的影响。

  • 前台任意用户登陆漏洞:开启新用户注册审核,当发现userid为1xxxx或1时,不予以通过审核。

在官方更新正式补丁之前,可以尝试暂时注释该部分代码,以避免更大的安全隐患

/member/index.php 161-162行

  • 前台修改后台管理员密码:设置较为复杂的后台地址,如果后台地址不可发现,则无法登陆后台。
  • 前台任意用户密码修改漏洞:

修改文件/member/resetpassword.php 第84行

将其中的==修改为===

即可临时防护该该漏洞。

参 考 链 接 [1] DeDeCMS官网 http://www.dedecms.com/ [2] 漏洞详情原文 https://mp.weixin.qq.com/s/2ULQj2risPKzskX32WRMeg [3] Seebug漏洞平台 https://www.seebug.org/vuldb/ssvid-97074 [4] 阿里先知平台漏洞分析1 https://xianzhi.aliyun.com/forum/topic/1959 [5] 阿里先知平台漏洞分析2 https://xianzhi.aliyun.com/forum/topic/1961 [6] 漏洞最早分析原文 http://www.cnblogs.com/iamstudy/articles/dedecms_old_version_method.html

原文发布于微信公众号 - Seebug漏洞平台(seebug_org)

原文发表时间:2018-01-18

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏小文博客

app防盗——一键加密

2815
来自专栏Java工程师日常干货

【SpringBoot专题】监控健康状况前言监控插件:actuatorSpring Boot Admin:可视化后台管理系统总结

想一想,我们以前是如何监控一个Java应用的监控状况的?一般而言,我们会在Linux服务器上通过一些命令,比如通过jstat来统计堆内存的使用情况/垃圾回收的情...

6732
来自专栏编程微刊

在本地运行查看github上的开源项目

2573
来自专栏24K纯开源

mac下利用Breakpad的dump文件进行调试

一、前情回顾 最近把公司的一个视频处理程序更新了一个版本,准备提交测试的发现了崩溃的情况。这个程序采用Qt和ffmpeg技术栈开发,主要用于对视频进行渲染拼接处...

6489
来自专栏实用工具入门教程

如何部署邮件服务

邮件服务器是一种应用程序,它使我们能够以电子邮件的形式在组织的不同用户之间或在其外部发送消息,而不依赖于他们所连接的网络。我们将在邮件服务器中使用的基本术语是:...

5803
来自专栏Seebug漏洞平台

DeDeCMS v5.7 密码修改漏洞分析

织梦内容管理系统(DedeCms)以简单、实用、开源而闻名,是国内最知名的PHP开源网站管理系统,也是使用用户最多的PHP类CMS系统,在经历多年的发展,目前的...

4738
来自专栏java一日一条

JVM 开发者必看:傻瓜式编译 OpenJDK 7

LZ经过一个星期断断续续的研究,终于成功的搞定了JDK的成功编译与调试。尽管网络上的教程也有不少,包括源码中也有自带的编译步骤说明,但真正自己动手的话,还是会遇...

1012
来自专栏快乐八哥

搭建AngualarJS开发环境

1.选择Web浏览器 Chrome和Firefox浏览器 2.选择代码编辑器 Subline Text和Visual Studio Code 3.安装Web...

1986
来自专栏Rainbond开源「容器云平台」

好雨云帮每周更新日志(2017.02.27-2017.03.12)

1173
来自专栏Java成长之路

线程的实现方式

本文主要介绍线程的3种实现方式和java线程的实现方式。线程是比进程更轻量级的调度执行单位,线程的引入,可以把一个进程的资源分配 和执行调度分开,各个进程既可以...

1385

扫码关注云+社区

领取腾讯云代金券