DedeCMS文件包含漏洞深度剖析：为什么一个‘无害’的txt文件能让你getshell？
DedeCMS文件包含漏洞技术解析：从文本文件到系统沦陷的连锁反应
在内容管理系统（CMS）的安全领域，最危险的漏洞往往藏匿于最平凡的功能之中。DedeCMS作为国内广泛使用的开源CMS，其文件包含漏洞（CVE-2023-2928）的触发路径令人警醒——一个用于保存超链接的普通文本文件（allowurl.txt），如何成为攻击者获取服务器控制权的跳板？本文将深入剖析漏洞形成的技术链条，揭示防御思维中的盲点。
1. 漏洞技术背景与攻击路径还原
1.1 文件包含漏洞的本质特征
文件包含（File Inclusion）漏洞的本质是程序未能正确校验用户控制的文件路径参数，导致攻击者可以包含并执行非预期的文件。在PHP环境中，这类漏洞通常表现为：
// 危险示例：直接包含用户输入的参数 include($_GET['template'] . '.php');DedeCMS的漏洞特殊之处在于，它通过两个看似独立的组件形成了攻击链：
- 超链接保存功能（article_allowurl_edit.php）：将用户提交的URL数据写入
allowurl.txt - 文件管理功能（file_manage_control.php）：通过构造特殊请求实现文件包含
1.2 攻击步骤的技术拆解
攻击者实际利用过程可分为三个阶段：
| 阶段 | 操作 | 关键点 |
|---|---|---|
| 1. 写入恶意代码 | 向article_allowurl_edit.php提交含PHP代码的"超链接" | 利用stripslashes仅过滤XSS的局限 |
| 2. 构造包含请求 | 创建调用allowurl.txt的PHP文件 | 绕过直接执行检测 |
| 3. 触发代码执行 | 访问构造的PHP文件 | 通过包含机制激活恶意代码 |
# 典型攻击流量特征（简化版） POST /dede/file_manage_control.php HTTP/1.1 Content-Type: application/x-www-form-urlencoded fmdo=edit&filename=malicious.php&str=<?php include('./data/admin/allowurl.txt');?>2. 关键代码逻辑缺陷分析
2.1 输入过滤机制的失效
article_allowurl_edit.php中的过滤逻辑存在根本性缺陷：
// 原始过滤代码（简化版） $allurls = stripslashes($_POST['allurls']); file_put_contents($allowurl_file, $allurls);stripslashes()函数仅用于防止SQL注入和XSS，但：
- 未检测或过滤PHP代码标记（
<?php ?>） - 未限制文件内容类型（纯文本应禁止代码标记）
- 无内容编码或转义处理
2.2 文件管理接口的设计失误
file_manage_control.php暴露了三个致命问题：
- 权限控制缺失：未验证文件操作请求的合法性
- 路径校验不足：允许用户指定任意包含路径
- 功能耦合过度：文件编辑与包含逻辑未隔离
// 危险的文件包含实现（模拟代码） if ($fmdo == 'edit') { file_put_contents($filename, $str); include($filename); // 致命操作 }3. 安全防御的多维度解决方案
3.1 代码层修复方案
针对此类漏洞，需实施纵深防御策略：
输入验证：
// 安全的超链接过滤示例 function validateUrls($input) { $urls = explode("\n", strip_tags($input)); foreach ($urls as $url) { if (!filter_var(trim($url), FILTER_VALIDATE_URL)) { throw new Exception("Invalid URL format"); } } return implode("\n", $urls); }文件操作防护：
- 禁用危险函数：
php.ini中设置disable_functions=include,require - 使用安全包含方式：
$allowed = ['header.php', 'footer.php']; if (in_array(basename($file), $allowed)) { include(__DIR__ . '/templates/' . $file); }
- 禁用危险函数：
3.2 系统配置加固建议
对于使用CMS的运维人员，应立即实施：
文件权限控制：
# 关键目录权限设置 chmod 750 /path/to/dede/data/admin/ chattr +i /path/to/dede/data/admin/allowurl.txtWeb服务器防护：
- Nginx配置限制PHP文件解析：
location ~* ^/uploads/.*\.(txt|log)$ { deny all; }
- Nginx配置限制PHP文件解析：
入侵检测规则：
# ModSecurity规则示例 SecRule ARGS "@contains <?php" "id:1001,deny,msg:'PHP code injection attempt'"
4. 安全开发的最佳实践
4.1 文件处理的安全范式
开发涉及文件操作的功能时，必须遵循：
- 最小权限原则：运行账户仅具有必要目录的读写权
- 白名单校验：严格限制可操作的文件类型和路径
- 内容消毒：对写入文件的数据进行转义或编码
// 安全的文件写入示例 function safeWrite($path, $content) { $base = '/approved/directory/'; $realPath = realpath($base . ltrim($path, '/')); if (strpos($realPath, $base) !== 0) { throw new Exception('Path traversal attempt'); } if (preg_match('/<\?php/i', $content)) { throw new Exception('PHP code detected'); } file_put_contents($realPath, htmlspecialchars($content)); }4.2 CMS安全运维检查清单
对于CMS维护者，建议建立定期检查机制：
补丁管理：
- 订阅官方安全通告
- 建立测试环境的补丁验证流程
文件监控：
- 使用inotify监控关键文件变更
- 定期校验系统文件哈希值
渗透测试：
- 每季度执行授权安全测试
- 重点检测文件上传/包含功能
# 简单的文件完整性检查脚本 #!/bin/bash find /var/www/html -type f -name "*.php" -exec md5sum {} \; > /opt/checksums.txt diff /opt/checksums.txt /opt/baseline.txt在真实环境中，我们曾遇到攻击者通过类似漏洞植入的挖矿脚本。由于攻击者精心构造的请求与正常管理操作流量混合，传统WAF规则未能及时报警。这提醒我们，防御此类漏洞需要代码审计、配置加固和流量监控的多重配合。