导读:织梦技术织梦技术此漏洞无视gpc转义，过80sec注入防御。 补充下，不用担心后台找不到。这只是一个demo，都能修改任意数据库了，还怕拿不到SHELL？ 起因是全局变量$GLdede手机模板织梦模板。
此漏洞无视gpc转义，过80sec注入防御。
补充下，不用担心后台找不到。这只是一个demo，都能修改任意数据库了，还怕拿不到SHELL？
起因是全局变量$GLOBALS可以被任意修改，随便看了下，漏洞一堆，我只找了一处。
include/dedesql.class.php
if(isset($GLOBALS['arrs1'])) { $v1 = $v2 = ''; for($i=0;isset($arrs1[$i]);$i++) { $v1 .= chr($arrs1[$i]); } for($i=0;isset($arrs2[$i]);$i++) { $v2 .= chr($arrs2[$i]); //解码ascii } $GLOBALS[$v1] .= $v2; //注意这里不是覆盖，是+ }
function SetQuery($sql) { $prefix="ddmx_"; $sql = str_replace($prefix,$GLOBALS['cfg_dbprefix'],$sql); //看到这里无话可说，不明白为什么要这样做。 $this->queryString = $sql; }
另外说下绕过80sec防注入的方法。
同一文件中，有两个执行SQL的函数。ExecuteNoneQuery和ExecuteNoneQuery2
而用ExecuteNoneQuery2执行SQL并没有防注入，于是随便找个用ExecuteNoneQuery2执行的文件。
plus/download.php
else if($open==1) { $id = isset($id) && is_numeric($id) ? $id : 0; $link = base64_decode(urldecode($link)); $hash = md5($link); //这里的#@_是可以控制的 $rs = $dsql->ExecuteNoneQuery2("UPDATE `ddmx_downloads` SET downloadsdownloads = downloads + 1 WHERE hash='$hash' "); if($rs <= 0) &nbdede,模板sp; { $query = " INSERT INTO `ddmx_downloads`(`hash`,`id`,`downloads`) VALUES('$hash','$id',1); "; $dsql->ExecNoneQuery($query);
关键词标签: 织梦 漏洞 最新版本
声明: 本文由我的SEOUC技术文章主页发布于:2023-07-18 ，文章dedecms最新版本修改任意管理员漏洞+getshell+exp【配主要讲述最新版本,漏洞,织梦网站建设源码以及服务器配置搭建相关技术文章。转载请保留链接: https://www.seouc.com/article/web_29872.html
