DEDECMS v5.6漏洞复现

织梦内容管理系统(dedecms) 以简单、实用、开源而闻名，是国内最知名的PHP开源网站管理系统，也是使用用户最多的PHP类cms系统，在经历多年的发展，目前的版本无论在功能，还是在易用性方面，都有了长足的发展和进步，DedeCms免费版的主要目标用户锁定在个人站长，功能更专注于个人网站或中小型门户的构建，当然也不乏有企业用户和学校等在使用该系统。

闲来无事，复现一下dedecms v5.6版本的经典漏洞，为了增加点难度，在环境中设置了5个flag。

实验目标：192.168.1.3；

实验目的：获取服务器上5个key；

实验工具：中国菜刀。

访问192.168.1.3网站，经过工具扫描等，发现无法用工具进行SQL注入，无法取得后台管理员账号密码，只能通过盲注方式取得账号密码。发现后台路径：192.168.1.3/ded/login.php为dedecms默认后台路径。

首先访问“/data/admin/ver.txt”页面获取系统最后升级时间，

然后访问“/member/ajax_membergroup.php?action=post&membergroup=1”发现如下页面，说明该页面讯在漏洞。

通过SQL语句/member/ajax_membergroup.php?action=post&membergroup=@`'`%20Union%20select%20userid%20from%20`%23@__admin`%20where%201%20or%20id=@`'` 爆出管理员账号：admin。

通过SQL语句/member/ajax_membergroup.php?action=post&membergroup=@`'`%20Union%20select%20pwd%20from%20`%23@__admin`%20where%201%20or%20id=@爆出管理员密码：23a7bbd73250516f069，类似md5的加密，去掉前三位最后一位变成7bbd73250516f06的md5加密，解密出来为admin123。

访问后台/dede/，输入管理员账号密码，登录会发现，key2出现在登录的跳转页面；

进入后台，我们就可以拿webshell，在“文件式管理器”中点击“新建文件”中写入一句话木马，保存。

在“文件式管理器”中的“根目录”中我们发现有个“key”的文件夹，点击进去发现有个key.txt文件，双击进入，找到key4。

然后我们用菜刀连接上传的webshell。

创建用户“ net user test zxcvbnm,.123 /add” 并添加到管理员组“net localgroup administrators test /add”远程连接

在C:\wamp\www\templets\default\shell.php文件中，我们发现key3

同样，在服务器的C盘根目录下，我们发现了key5.txt，但是我们发现，无法打开，没有权限，这就尴尬了啊。

所以我们要将文件的访问权限更改为用户完全控制，在key5.txt属性——安全中我们将key5的拒绝选项中的勾选去掉，然后应用、确定。这样我们就可以访问文件，得到key5。

但是，我们在服务器系统文件管理中并没有找到key1,那么，既然是网站，我们或许可以在数据库中找到找到我们想要的。在菜刀中，我们找到C:\wap\www\install\common.inc.php文件中，找到了数据库的账号密码，那么我们就可以访问数据库了

在菜刀中，右键链接，选择“数据库管理”，我们选择root用户，输入密码，访问数据库，我们在网站的数据库中发现有一张名为akey的表中存在我们想要的key1。
（忘记截图了o(╥﹏╥)o）

同本次实验中，我们从破解后台账号密码，再到登陆后台上传shell，再到添加用户，获得权限，访问文件拿到数据，网站的系统在我们面前如同透明一样。

没有符合的翻译结果！

请确认选中的文本是完整的单词或句子。

目前仅谷歌翻译支持汉译英。

轻灵划译

数据来源: