文章详情
一次旁站信息泄露的dedecms站点渗透
今天又是准备划水认真工作的一天,没想到一到公司领导就甩了个站过来,这可能就是打工人吧
话不多说来看看站,先信息收集一波
初步测试目标站点
打开进去是一个类似购物商城的地方,没有什么特殊的点,想要操作基本都要进行登录,中间件是nginx
再看看插件,惊喜来了,是dedecms
先直接盲打一波后台地址/dede 直接404......
再看看好歹有前台,先注册个用户
再查看最后更新时间
可以知道是dedecms v5.7 sp2的版本
这个版本之后有前台管理员密码重置漏洞和任意密码重置漏洞,可以试一下组合拳
1.先注册个00001账户,因为00001经过intval()后值为1 (用来登录admin)
2.再访问/member/index.php?uid=00001的用户界面,获取响应包的last_vid__ckMd5
值
3.访问/member/,替换DedeUserID
为0001,DedeUserID__ckMd5
的值为刚才的last_vid__ckMd5
的值
这时候就发现已经登录了admin的账户
再将这个修改操作放到浏览器上,修改浏览器的cookie,成功在网页上登录
这时候再配合dedecms最新版任意用户密码重置漏洞修改管理员密码
先点击下面连接请求key
http://X.X.X.X/member/resetpassword.php?dopost=safequestion&safequestion=0.0&safeanswer=&id=1
点击之后,一闪而过的稍后跳转到修改页
马上就变成非法提交。。。
再用开始的链接去访问
但开始有请求成功的跳转连接,应该还是成功生成了key,再看看浏览记录,返回第一次的页面,再用我的黄金右手快速点击立即跳转,成功进入重置界面
这里稍微提一下,这里重置完密码之后还要在前台的账户设置里再次修改密码,因为这个前台修改任意用户密码的洞只能改dede_member表里的用户信息,而管理员信息存在另一个表dede_admin中,所以要从前台登录管理员账户并修改dede_admin表里的密码,才是真正修改了管理员密码。
现在管理员账户密码都有了,就差老大难问题,找后台
网上有些5.7 sp2的前台getshell,但都是伪前台,在sp1之后还是需要后台地址才能getshell
网上有大佬写的爆后台脚本,但只在windwos上能用,现在目标是Linux的系统
旁站数据库报错文件找出后台
经过一番查询,发现dedecms的data下有个mysqli_error_trace.inc文件,此文件记录mysql查询错误,如果有后台查询出现错误则会暴露后台路径。但是主站的报错都是plus目录下的
通过前期的信息收集找到该网站的真实ip,发现是华为云
一般这种站只要有旁站大概率可能也有使用了dedecms的站
通过ip反查域名,发现其旁站大多都是同类型的公司站点
当时我用的云悉,结果只查出来一个.......这个站还不是dede(打脸打脸)
又在fofa上查,结果有一堆旁站,随便挑了一个域名直接把数据库报错文件的路径拼接上去,果然出现了一个没见过的路径
拼接这个路径到主站域名访问,成功找到后台
然后用之前拿到的管理员登陆后台->上传一句话->连接一气呵成
bypass disable_function
准备执行命令验证,发现函数都被禁用了
disable_functions : passthru,exec,system,putenv,chroot,chgrp,chown,shell_exec,popen,proc_open,pcntl_exec,ini_alter,ini_restore,dl,openlog,syslog,readlink,symlink,popepassthru,pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,imap_open,apache_setenv
上一文章:SRC混子的漏洞挖掘之道
相关推荐
- 10-30【实战】无回显Rce到Getshell
- 11-17从0到tfp0第一部分:基础知识
- 06-24江苏移动送本地2017级高考生福利:30G省内4G
- 10-21由Arduino制作badusb联动cs进行一插上线
- 10-23用油猴脚本hook前端危险生成函数
- 11-06WebLogic-XMLDecoder反序列化漏洞分析
- 11-04XSS实战攻击思路总结
- 11-12UEditor编辑器任意文件上传漏洞分析
- 11-03深入利用Shiro反序列化漏洞
- 10-01联通用户撸摩拜90天卡+免押金
- 11-16SRC混子的漏洞挖掘之道
- 10-26使用VueJS脚本小工具规避防御
- 04-26五一放假个性签名,搞笑51签名,关于五一的个
- 05-28河南体彩端午龙舟大PK抽奖送1-100元微信红包