织梦CMS任意修改文章漏洞EXP利用代码详细分析

该漏洞虽然无法直接获取服务器权限（例如获得Shell），但能够实现对任意文章的篡改，这本身已构成极为严重的安全隐患。

无需赘述，直接进入代码分析环节。

漏洞入口位于 member/soft_edit.php 文件。下面我们来逐步拆解其执行逻辑：

当 $dopost 参数为空，即用户直接访问该文件时，系统会执行如下数据查询：

// 读取归档信息
$arcQuery = "Select
    dede_channeltype.typename as channelname,
    dede_arcrank.membername as rankname,
    dede_channeltype.arcsta,
    dede_archives .*
From dede_archives
left join dede_channeltype on dede_channeltype.id=dede_archives.channel
left join dede_arcrank on dede_arcrank.rank=dede_archives.arcrank
where dede_archives.id='$aid'";
// 隐患点：未对 MID 进行任何校验，$aid 为文章ID，攻击者可完全自由指定
$dsql->SetQuery($arcQuery);
$row = $dsql->GetOne($arcQuery);
// 省略一系列验证代码...
include(DEDEMEMBER."/templets/soft_edit.htm");

问题根源在于：此处缺少对当前用户身份（MID）的有效校验，直接依据传入的 $aid 读取文档信息，这为后续攻击行为敞开了大门。

接下来查看 soft_edit.htm 模板中的关键部分——它输出了一个名为 idhash 的隐藏字段：

攻击者能够顺利获取该 idhash 值。而 idhash 的作用，正是用于后续提交修改请求时的合法性校验。

核心验证逻辑位于 archives_edit.php 文件中：

if($dopost=='sa ve')
{
    include(DEDEMEMBER.'/inc/archives_check_edit.php'); // 此处对idhash进行验证
    // 省略大量无关代码
    $upQuery = "Update `dede_archives` set
        ismake='$ismake',
        arcrank='$arcrank',
        typeid='$typeid',
        title="$title",
        litpic='$litpic',
        description='$description',
        keywords='$keywords',
        mtype = '$mtypesid',
        flag='$flag'
    where id='$aid' And mid='$mid';";
    // 注意：默认 mid 为 1，即管理员 admin
}

其中 archives_check_edit.php 的验证逻辑如下：

$ckhash = md5($aid.$cfg_cookie_encode);
if($ckhash != $idhash) // idhash 正是以此方式被使用
{
    ShowMsg('校对码错误，你没权限修改此文档或操作不合法!', '-1');
    exit();
}
// 验证通过，成功修改文章

该验证流程本身并无问题，但漏洞的根本原因在于：攻击者可通过 soft_edit.php 预先获取任意文章的 idhash（由于未对用户身份进行校验），随后构造请求提交至 archives_edit.php 实现对目标文章的篡改。

漏洞利用方法（EXP）

以下是一个典型的利用表单示例，攻击者可构造类似数据提交修改请求：

• aid：文章ID，可在 plus/view.php 中获取
• mid：发布者ID，默认管理员为1
• typeid：栏目ID，若不清楚可新发布一篇文章，通过查看源代码获得
• title：修改后的文章标题
• description：修改后的文章摘要或内容
• idhash：通过第一步获取到的校验值
• vdcode：验证码，通过新发布文章页面获取
• respondids：提交按钮对应的值