DedeCMS 前台任意用户密码修改漏洞（CNVD-2018-0109）修复教程

一、漏洞说明

该漏洞属于「账号接管类高危漏洞」，攻击者无需知道用户账号密码，仅需构造恶意请求，即可绕过验证，直接修改任意用户（包括管理员）的密码，进而登录网站后台，控制整个网站。

漏洞编号：CNVD-2018-0109
危害等级：高危
影响版本：DedeCMS V5.7 SP2 全版本（含各类衍生版本）
漏洞文件：/member/resetpassword.php
漏洞场景：前台会员中心「密码重置」功能，未对请求参数进行有效验证，缺少token校验和身份验证，导致攻击者可越权修改任意用户密码。

二、代码分析

漏洞核心原因：resetpassword.php 文件中，密码重置逻辑仅校验「用户ID」和「邮箱」，但未校验请求的合法性，且未加入随机token防止伪造请求，攻击者可通过构造用户ID和邮箱参数，直接提交密码重置请求。

关键漏洞代码（原文件片段）：

复制代码

<?php
// 原漏洞代码
if($_POST['submit']){
    $uid = $_POST['uid'];
    $email = $_POST['email'];
    $newpwd = $_POST['newpwd'];
    // 仅校验用户ID和邮箱是否匹配，无其他验证
    $row = $dsql->GetOne("SELECT * FROM `#@__member` WHERE mid='$uid' AND email='$email'");
    if($row){
        // 直接修改密码，无token校验、无身份验证
        $newpwd = md5($newpwd);
        $dsql->ExecuteNoneQuery("UPDATE `#@__member` SET pwd='$newpwd' WHERE mid='$uid'");
        echo '密码修改成功';
    }else{
        echo '用户ID或邮箱错误';
    }
}

代码问题分析：

缺少 token 校验：未生成随机token并绑定用户会话，攻击者可直接伪造POST请求，提交任意uid和email参数；
缺少身份验证：未验证请求者是否为该用户本人，仅校验uid和email匹配，而uid和email可通过其他途径获取（如会员列表、文章作者信息）；
参数未过滤：uid参数未进行intval强转，存在SQL注入风险（虽本漏洞核心为密码重置，但可被连带利用）。

三、修复方法（原位修复，不升级、不影响模板）

本修复方案通过添加token校验、身份验证、参数过滤，彻底封堵漏洞，不改动网站原有功能，步骤如下：

步骤1：备份漏洞文件

备份 /member/resetpassword.php 文件，避免修改错误导致密码重置功能异常。

步骤2：修改漏洞文件代码

打开 /member/resetpassword.php 文件，替换为以下修复后的代码（保留原有页面样式，仅修改核心逻辑）：

复制代码

<?php
session_start(); // 启动会话，用于token校验
if($_POST['submit']){
    // 修复1：添加token校验，防止伪造请求
    $token = $_POST['token'];
    if($token != $_SESSION['reset_token'] || empty($token)){
        echo '非法请求，请刷新页面后重试';
        exit;
    }
    // 修复2：参数过滤，uid强转int，防止SQL注入
    $uid = intval($_POST['uid']);
    $email = addslashes($_POST['email']);
    $newpwd = addslashes($_POST['newpwd']);
    // 修复3：验证请求者身份（需登录后才能重置密码）
    if(empty($_SESSION['mid']) || $_SESSION['mid'] != $uid){
        echo '请登录后重置自己的密码';
        exit;
    }
    // 原有校验逻辑保留，增加安全性
    $row = $dsql->GetOne("SELECT * FROM `#@__member` WHERE mid='$uid' AND email='$email'");
    if($row){
        $newpwd = md5($newpwd);
        $dsql->ExecuteNoneQuery("UPDATE `#@__member` SET pwd='$newpwd' WHERE mid='$uid'");
        // 修复4：重置token，防止重复提交
        unset($_SESSION['reset_token']);
        echo '密码修改成功，请重新登录';
    }else{
        echo '用户ID或邮箱错误';
    }
}else{
    // 生成随机token，用于提交校验
    $token = uniqid(mt_rand(), true);
    $_SESSION['reset_token'] = $token;
    // 原有页面展示代码（保留，不修改）
    // ......（此处保留原文件中的HTML页面代码）
}
?>

步骤3：修改前端提交表单

在 resetpassword.php 的HTML表单中，添加token隐藏字段，确保提交时携带token（找到表单form标签内，添加以下代码）：

复制代码

<input type="hidden" name="token" value="<?php echo $_SESSION['reset_token']; ?>" />

步骤4：验证修复效果

未登录状态下，尝试提交密码重置请求，提示「请登录后重置自己的密码」，修复生效；
伪造token提交请求，提示「非法请求」，修复生效；
登录会员后，仅能重置自己的密码，无法修改其他用户密码，修复生效。

四、注意事项

修改后务必测试会员密码重置功能，确保正常用户可重置自己的密码；
若网站开启了会话缓存，需清理缓存，避免token失效；
建议同时修改管理员账号的邮箱，避免攻击者通过邮箱信息构造请求（虽修复后已无法利用，但可进一步提升安全性）。

本文由流觞运维整理，https://www.lnmpweb.cn/archives/7481