0x00 前言
早上浏览sec-news，发现锦行信息安全发布了一篇文章《【漏洞分析】 织梦前台任意用户密码修改》，看完之后就想着自己复现一下。
该漏洞的精髓是php的弱类型比较，'0.0' == '0'，也有一定的限制，只对没有设置安全问题的用户有效（默认是没有设置的）。
0x01 漏洞版本
我复现的是DedeCMS V5.7 SP2正式版，2018-01-09发布的，其他的没测。应该算是最新版本的一个0day了。
0x02 漏洞影响
该漏洞允许攻击者修改任意前台用户密码。
0x03 漏洞利用条件
1，开启会员模块
2，攻击者拥有一个正常的会员账号
3，目标没有设置安全问题
0x04 漏洞分析
问题出现在/member/resetpasswordd.php 文件中。dedecms 用的是全局变量解析
一步步看：
这里先接受了一个id变量，用来查询用户。
接下来看到
这里是整个漏洞的核心所在，从数据库中获取safequestion，然后与传过来的数据进行判等。用的是双等号，又因为用户没有设置安全问题，数据库里面默认存的是0。
通过php弱类型的转换'0.0' == '0'了。（内部运算：先是把0.0（浮点数（0.0）转换为int(0)，然后字符串('0')转换为int(0)，最后 0==0 ，所以相等了。）
直接传0是不行的，因为前面有一个empty的判断，当然你也可以利用十六进制比如:0x0
其内不转换和上面的是一样的。
接下来跟进sn函数（记住这里我们的send默认为N）
继续跟进newmail函数
可以看到当send为N时，直接在前端页面返回了验证码。（而我们这里刚好默认就是N，见前文）
又因为用户id是我们可以控制的，safequestion(默认情况)下可以绕过。
那么也就达成了修改前台任意用户密码的效果。
0x05 漏洞复现
因为这里的模块属于会员模块，包含了member.login.class.php。需要登录才能操作。
那么我先注册一个用户，担任攻击者，再注册另外一个用户担任目标。
请求url应该是这样的:
http://127.0.0.1/dedecms/member/resetpassword.php?dopost=safequestion&safequestion=0.0&id={userid}
test为攻击者，用户id为2，密码:test。test1为目标，用户id为3,修改密码为:hacker
下面就演示一下用test修改test1用户的过程。
Step1: 登陆test用户
Step2：发送请求url
Step3：请求修改页URL：
http://127.0.0.1/dedecms/member/resetpassword.php?dopost=getpasswd&id=3&key=Dj7PeiRm
Step4：修改用户test1的密码为hacker
Step5: 用修改之后的密码登陆进行验证
验证成功。
0x06 思考与总结
虽然说整个漏洞的关键是那一处弱类型比较，也是php的特性与及开发人员对于特性的掌握不够全面所致。漏洞危害其实不太，dede多用于内容，没有什么用户交互而言。如果需要提供用户交流平台，大多数应该会用discuz。
但我觉得对于用户的权限划分不明才是这个漏洞的根本，可以归根为越权。用户id竟然可以直接由用户控制传输，倘若通过session，那么就算用户安全问题没有设置，可以用弱类型比较，最后也仅限于修改自己的密码。
php的弱类型一直是一个问题，特别是早期没有那么重视安全的时候。多少问题都是出在那里。